본문으로 건너뛰기
☰
cm/ controlmapping
⌕ 요구사항, 주제 또는 프레임워크로 이동: "A.8.24", "CC6.1", "NIS2 11.7"을 입력해 보세요 ⌘K
홈 / 용어집
용어집
감사 추적 사건의 순서를 입증하는 문서 증거를 제공하는, 시스템 활동에 대한 시간순 기록입니다. 감사 추적은 보안 위반, 성능 문제, 애플리케이션 결함을 탐지하는 데 사용됩니다. 개인정보 GDPR에 따라, 식별되었거나 식별 가능한 자연인과 관련된 모든 정보입니다. 이름, 이메일 주소, IP 주소, 위치 데이터, 온라인 식별자가 포함됩니다. 개인정보 영향평가(DPIA) GDPR 제35조에 따라 개인의 권리와 자유에 높은 위험을 초래할 가능성이 있는 프로젝트나 시스템의 데이터 보호 위험을 식별하고 최소화하기 위해 요구되는 절차입니다. 거버넌스 사이버보안 활동이 비즈니스 목표 및 규제 요구사항과 일치하도록 보장하는 정책, 프로세스, 조직 구조의 체계입니다. 거버넌스는 책임 체계를 확립하고, 역할을 정의하며, 전략적 방향을 설정합니다. 격차 분석 누락된 작업을 찾기 위해, 이미 수행하고 있는 업무나 이미 충족하고 있는 프레임워크를 다른 프레임워크의 요구사항과 비교하는 작업입니다. ControlMapping의 격차 분석은 두 프레임워크 사이에서 요구사항별로 이를 수행합니다. 공급망 위험 조직의 공급업체, 협력업체 또는 서비스 제공업체의 취약점을 통해 조직의 보안이 침해될 위험입니다. 공급망 공격은 신뢰 관계를 악용하여 직접적인 방어를 우회합니다. 관찰 기간 SOC 2 Type II 보고서가 다루는 기간으로, 보통 3~12개월입니다. 이 기간 동안 감사인이 통제가 효과적으로 작동했는지 테스트합니다. 권한 부여 인증된 사용자가 특정 리소스에 접근하거나 특정 작업을 수행할 권한이 있는지 판단하는 과정입니다. 일반적으로 역할 기반 접근 통제(RBAC) 또는 속성 기반 접근 통제(ABAC)로 구현됩니다. 대응표 두 프레임워크의 요구사항 간에 공개된 매핑으로, 예를 들어 NIST가 SP 800-53을 ISO 27001에 매핑한 자료가 있습니다. 대응표는 요구사항들이 관련된 결과를 다룬다는 것을 보여줄 뿐, 한쪽을 충족하면 다른 쪽도 충족된다는 의미는 아닙니다. 본 사이트에서 대응표에서 비롯된 링크는 '대응표'로 표시되며 채워진 사각형으로 나타납니다. 데이터 관리자 GDPR에 따라 개인정보 처리의 목적과 수단을 결정하는 주체입니다. 관리자는 데이터 보호 원칙 준수에 대해 1차적인 책임을 집니다. 데이터 분류 데이터를 민감도 수준과 무단 공개 시 영향에 따라 범주로 구분하는 과정입니다. 일반적인 등급으로는 공개, 내부, 기밀, 제한이 있습니다. 데이터 유출 민감하거나 보호되거나 기밀인 데이터가 인가되지 않은 당사자에 의해 접근, 공개 또는 탈취된 사건입니다. 유출 통지 요건은 규정마다 다릅니다(GDPR은 72시간 이내 통지, HIPAA는 60일 이내 통지를 요구함). 데이터 처리자 GDPR에 따라 데이터 관리자를 대신하여 개인정보를 처리하는 주체입니다. 처리자는 관리자의 지시를 따라야 하며 적절한 보안 조치를 구현해야 합니다. 보상 통제 주요 통제를 구현할 수 없을 때 적용하는 대체 보안 조치입니다. 보상 통제는 원래 요구사항의 취지를 충족하고, 이에 준하는 수준의 방어를 제공하며, 문서화되어야 합니다. 비즈니스 연속성 파괴적 사건이 발생한 후에도 사전에 정한 수용 가능한 수준에서 제품이나 서비스를 계속 제공할 수 있는 조직의 역량입니다. 비즈니스 연속성 계획(BCP)은 위협을 식별하고 복원력을 확보하기 위한 절차를 수립합니다. 비즈니스 협력사 HIPAA에 따라, 적용 대상 기관을 대신하여 보호 대상 건강 정보를 생성, 수신, 보관 또는 전송하는 개인이나 기관으로, 클라우드 제공업체나 청구 대행업체 등이 해당합니다. 비즈니스 협력사는 보안 규칙을 준수해야 하며 비즈니스 협력사 계약을 체결해야 합니다. 사고 대응 사이버보안 사고를 탐지하고, 봉쇄하고, 제거하고, 복구하기 위한 체계적인 접근 방식입니다. 사고 대응 계획은 역할, 절차, 커뮤니케이션 프로토콜, 상향 보고 경로를 정의합니다. 상호 보완적 사용자 기업 통제(CUEC) SOC 2 보고서에 따르면, 기술된 통제가 제대로 작동하기 위해 서비스 조직의 고객이 직접 운영해야 하는 통제입니다. 예를 들어 고객 자신의 사용자 계정을 관리하는 것이 여기에 해당합니다. 선택적 구현 명세 HIPAA 보안 규칙의 명세로, 조직은 이를 합리적이고 적절한 경우 평가하고 구현해야 하며, 구현하지 않는 경우에는 그 이유를 문서화하고 이에 상응하는 대체 조치를 채택해야 합니다. 이는 선택 사항이라는 뜻이 아닙니다. '필수'로 표시된 명세는 반드시 구현해야 합니다. 성숙도 수준 ASD의 Essential Eight에서 점점 더 역량이 높은 공격자에 대비해 보호 수준을 높이는 세 가지 단계(1~3) 중 하나입니다. 전략은 해당 수준 및 그 이하의 모든 요구사항이 충족되어야만 그 수준에 도달한 것으로 봅니다. 시스템 보안 계획(SSP) 시스템의 경계, 환경, 그리고 각 보안 요구사항이 어떻게 구현되는지를 설명하는 문서입니다. NIST SP 800-171(CMMC 레벨 2 실무 항목 CA.L2-3.12.4) 및 NIST 위험 관리 프레임워크에서 요구합니다. 시정 계획 및 이정표(POA&M) 보안 취약점과 이를 해결하기 위한 조치 및 기한을 기록한 문서로, NIST SP 800-53, SP 800-171 및 CMMC 평가에서 사용됩니다. 시행규정 (EU) 2024/2690 DNS, 클라우드, 데이터 센터, 관리형 서비스 및 기타 디지털 제공업체를 대상으로 NIS2 제21조의 위험 관리 조치를 상세히 규정한 유럽위원회 규정입니다. ControlMapping의 NIS2 요구사항은 해당 규정의 부속서 항목을 기준으로 합니다. 신뢰 서비스 기준 SOC 2 보고서에 사용되는 AICPA 기준으로, 다섯 가지 범주로 구성됩니다. 보안(항상 포함), 가용성, 기밀성, 처리 무결성, 개인정보 보호입니다. 심층 방어 IT 시스템 전반에 걸쳐 여러 겹의 통제를 적용하는 보안 전략입니다. 한 계층이 실패하더라도 추가 계층이 계속 보호를 제공합니다. 다계층 보안이라고도 합니다. 암호화 인가되지 않은 접근을 방지하기 위해 데이터를 암호화된 형태(암호문)로 변환하는 과정입니다. 데이터는 저장 중(保存), 전송 중(네트워크 이동), 그리고 점점 더 사용 중에도 암호화되어야 합니다. 위험 대장 식별된 위험의 발생 가능성, 영향, 현재 통제, 위험 책임자, 처리 계획을 포함하여 문서로 정리한 목록입니다. 위험 대장은 지속적인 위험 관리를 뒷받침하는 살아 있는 문서입니다. 위험 평가 위협과 취약점을 식별하고, 발생 가능성과 잠재적 영향을 분석하며, 적절한 완화 조치를 결정하는 체계적인 과정입니다. 위험 평가는 정기적으로, 그리고 중대한 변경이 발생할 때마다 수행해야 합니다. 위협 인텔리전스 여러 출처(ISAC, 정부 피드, 상용 플랫폼, OSINT)에서 수집된 현재 및 새롭게 등장하는 사이버 위협에 대한 정보입니다. 위협 인텔리전스는 탐지 규칙, 취약점 우선순위 지정, 사고 대응에 반영됩니다. 인증 사용자, 장치 또는 시스템의 신원을 검증하는 과정입니다. 일반적인 방법으로는 비밀번호, 다중 인증(MFA), 생체 인식, 디지털 인증서가 있습니다. 인증 승인 인증기관이 표준에 따라 인증을 수행할 역량이 있다는 공식적인 인정입니다. ISO 27001의 경우, 국제인정포럼(IAF)에 가입된 국가 인정기구로부터 인정을 받은 인증기관인지 확인하십시오. 인증기관 ISO 27001 같은 표준에 따라 경영 시스템을 감사하고 인증서를 발급하는 기관입니다. 고객은 일반적으로 해당 기관이 인정을 받은 곳이기를 기대합니다. 적용 가능성 선언서(SoA) ISO 27001에서 부속서 A의 모든 통제가 적용되는지, 그리고 그 이유가 무엇인지를 나열한 문서입니다. 위험 처리와 현재 시행 중인 통제를 연결하는 문서이며, 감사인이 면밀히 검토합니다. 적용 대상 기관 HIPAA에 따라 개인정보 보호 규칙과 보안 규칙을 준수해야 하는 기관입니다. 건강보험 플랜, 의료 정보 청산소, 건강 정보를 전자적으로 전송하는 의료 제공자가 해당합니다. 접근 통제 컴퓨팅 환경에서 누가 또는 무엇이 리소스를 조회하거나 사용할 수 있는지를 규율하는 보안 조치입니다. 접근 통제에는 인증(신원 확인), 권한 부여(권한 승인), 그리고 감사 기록(접근 추적)이 포함됩니다. 정보보안 매뉴얼(ISM) 호주 신호국(Australian Signals Directorate)이 CC BY 4.0 라이선스로 공개한 사이버보안 통제 프레임워크입니다. Essential Eight 요구사항은 성숙도 수준이 표시된 ISM 통제입니다. 제로 트러스트 "절대 신뢰하지 말고, 항상 검증하라"는 원칙에 기반한 보안 모델입니다. 제로 트러스트는 네트워크 위치와 관계없이 모든 접근 요청에 대해 신원과 권한을 지속적으로 검증할 것을 요구합니다. 구현에는 마이크로 세그먼테이션, 신원 인식 프록시, 장치 상태 점검이 포함됩니다. 증명 확인 CPA 회계법인이 SOC 2 보고서에서 회사의 통제에 대해 내놓는 의견처럼, 독립된 실무자가 특정 대상에 대해 밝히는 의견입니다. 증명 확인은 인증이 아닙니다. 인증서도 없고 합격 점수도 없습니다. 최소 권한 사용자, 시스템, 프로세스에는 인가된 기능을 수행하는 데 필요한 최소한의 접근 권한만 부여해야 한다는 원칙입니다. 공격 표면을 줄이고 침해된 계정의 영향 범위를 제한합니다. 취약점 위협 행위자가 악용하여 인가되지 않은 접근을 얻거나 피해를 일으킬 수 있는 시스템, 애플리케이션 또는 프로세스의 약점입니다. 취약점은 CVSS(공통 취약점 채점 시스템)를 사용하여 점수가 매겨집니다. 침투 테스트 시스템의 보안을 평가하기 위해 승인을 받아 수행하는 모의 공격입니다. 침투 테스트는 공격자가 악용할 수 있는 취약점을 찾아내고 기존 통제가 효과적인지 검증합니다. 통제 정보 시스템과 데이터의 기밀성, 무결성, 가용성을 보호하기 위해 설계된 안전장치 또는 대응 조치입니다. 통제는 기술적(방화벽, 암호화), 관리적(정책, 교육), 물리적(잠금장치, 출입 카드) 통제로 나눌 수 있습니다. 패치 관리 보안 취약점을 해결하기 위해 소프트웨어 업데이트를 식별하고, 테스트하고, 배포하는 과정입니다. 효과적인 패치 관리에는 정확한 자산 목록, 위험 기반 우선순위 지정, 조치 기한에 대한 정의된 SLA가 필요합니다. 편집 매핑 공개된 대응표가 존재하지 않는 경우 ControlMapping이 짧은 사유와 함께 직접 만든 링크입니다. 윤곽선 사각형으로 표시됩니다. 본 사이트의 모든 SOC 2, GDPR, Essential Eight 링크는 편집 매핑입니다. 프레임워크 구조화된 보안 요구사항 또는 결과의 집합입니다. 일부는 법률(HIPAA, GDPR, NIS2)이고, 일부는 계약상 의무(카드사 계약을 통한 PCI DSS, 방산 계약을 통한 CMMC)이며, 일부는 자발적(NIST CSF, CIS Controls)이고, 일부는 인증이 가능합니다(ISO 27001). 필수 및 중요 기관 NIS2의 두 가지 범주입니다. 두 범주 모두 동일한 위험 관리 및 보고 의무를 충족해야 합니다. 필수 기관은 사전 감독과 더 높은 최대 과징금을 적용받고, 중요 기관은 사후에 감독을 받습니다. 하위 서비스 조직 서비스를 호스팅하는 클라우드 제공업체처럼, 그 통제가 SOC 2 보고서에 중요한 영향을 미치는 공급업체입니다. 제외 방식(carve-out)을 적용하면 보고서에서 해당 업체의 통제는 제외되며, 대신 업체 자체의 보증 보고서에 의존합니다. C3PAO CMMC 제3자 평가 기관(CMMC Third-Party Assessment Organization): 방산 계약업체를 대상으로 CMMC 레벨 2 인증 평가를 수행할 자격을 부여받은 기관입니다. CIA 삼원칙 정보 보안의 세 가지 핵심 원칙입니다. 기밀성(무단 공개 방지), 무결성(무단 변경 방지), 가용성(필요할 때 인가된 접근 보장)을 말합니다. CSF 하위 범주 NIST 사이버보안 프레임워크에서 가장 구체적인 수준으로, PR.AA-03(사용자, 서비스, 하드웨어가 인증됨)과 같은 결과를 말합니다. CSF 2.0에는 22개 범주와 6개 기능에 걸쳐 106개의 활성 하위 범주가 있습니다. ControlMapping은 이를 모든 프레임워크가 연결되는 허브로 사용합니다. CUI 통제된 비분류 정보(Controlled Unclassified Information) — 정부가 생성하거나 소유하며 보호가 필요하지만 기밀 등급으로 분류되지 않은 정보입니다. CUI 보호 요구사항은 NIST SP 800-171에 정의되어 있으며 CMMC를 통해 시행됩니다. DLP 데이터 유출 방지(Data Loss Prevention) — 민감 데이터가 조직 외부로 인가되지 않게 전송되는 것을 탐지하고 방지하는 기술 및 정책입니다. DLP 솔루션은 이메일, 웹, 엔드포인트, 클라우드 서비스를 모니터링합니다. EDR 엔드포인트 탐지 및 대응(Endpoint Detection and Response) — 엔드포인트에 배치되어 사이버 위협을 지속적으로 모니터링하고 이에 대응하는 보안 솔루션입니다. EDR은 기존 백신을 넘어 행위 분석, 위협 헌팅, 포렌식 기능을 제공합니다. ePHI 전자 보호 건강 정보(Electronic Protected Health Information) — 전자적으로 생성, 저장, 전송 또는 수신되는 개인을 식별할 수 있는 건강 정보입니다. HIPAA 보안 규칙은 ePHI 보호를 구체적으로 다룹니다. FedRAMP 연방 위험 및 인가 관리 프로그램(Federal Risk and Authorization Management Program) — 연방 기관이 사용하는 클라우드 제품 및 서비스에 대해 표준화된 보안 평가와 인가를 제공하는 미국 정부 프로그램입니다. NIST SP 800-53 통제를 기반으로 합니다. FISMA 연방 정보보안 현대화법(Federal Information Security Modernization Act) — 연방 기관이 정보보안 프로그램을 수립, 문서화, 시행하도록 요구하는 미국 법률입니다. FISMA 준수는 NIST SP 800-53 통제를 기준으로 측정됩니다. IDS/IPS 침입 탐지 시스템/침입 방지 시스템(Intrusion Detection System / Intrusion Prevention System) — 트래픽에서 의심스러운 활동을 모니터링하는 네트워크 보안 도구입니다. IDS는 탐지하고 경보를 발생시키며, IPS는 탐지하고 차단합니다. 네트워크 기반(NIDS/NIPS) 또는 호스트 기반(HIDS/HIPS)일 수 있습니다. ISMS 정보보안 관리 체계(Information Security Management System) — 민감한 정보가 안전하게 유지되도록 이를 관리하는 체계적인 접근 방식입니다. ISO 27001 인증을 받으려면 ISMS를 구현하고 유지해야 합니다. MFA 다중 요소 인증(Multi-Factor Authentication) — 접근을 위해 둘 이상의 확인 요소(알고 있는 것, 가지고 있는 것, 본인의 특성)를 요구하는 방식입니다. FIDO2 및 패스키와 같이 피싱에 강한 MFA 방식이 SMS 기반 코드보다 선호됩니다. MITRE ATT&CK 실제 관찰을 바탕으로 한 공격자의 전술, 기법, 절차(TTP)를 전 세계에서 열람할 수 있는 지식 기반입니다. 보안팀이 탐지, 위협 헌팅, 레드팀 훈련을 개선하는 데 사용합니다. OLIR NIST의 온라인 참조 정보(Online Informative References) 프로그램으로, NIST 프레임워크와 기타 표준 간 대응표를 모은 목록입니다. NIST가 직접 제출하거나 제3자가 제출하며, NIST는 제3자 제출물의 정확성이 아니라 형식만 확인합니다. QSA, ROC, SAQ 및 AOC PCI DSS 평가 용어입니다. 공인 보안 평가기관(QSA)은 준수 보고서(ROC)를 작성하며, 소규모 가맹점은 대신 자가 평가 설문지(SAQ)를 작성할 수 있습니다. 두 방식 모두 준수 증명서(AOC)로 마무리됩니다. SIEM 보안 정보 및 이벤트 관리(Security Information and Event Management) — IT 환경 전반의 로그 데이터를 집계하고 상관분석하여 중앙 집중식 가시성, 위협 탐지, 준수 보고를 제공하는 플랫폼입니다. SOC 2 Type I 및 Type II Type I 보고서는 특정 일자에 통제가 적절히 설계되어 있고 시행되고 있었는지를 다룹니다. Type II 보고서는 여기에 더해 일정 기간 동안 통제가 효과적으로 운영되었는지도 다루며, 대부분의 고객이 요청하는 보고서입니다. SOC(보안 운영 센터) 보안 사고를 모니터링하고, 탐지하며, 대응하는 팀으로, 때로는 전용 시설을 갖추기도 합니다. SOC 2 감사 보고서와 혼동하지 않아야 합니다. WAF 웹 애플리케이션 방화벽(Web Application Firewall) — 웹 애플리케이션으로 오가는 HTTP/HTTPS 트래픽을 검사하여 SQL 인젝션, XSS, 원격 파일 포함 같은 일반적인 공격을 차단하는 보안 솔루션입니다.