방법론
ControlMapping은 보안 요구사항을 50개의 주제(암호화, 다중 인증, 침해사고 대응, …)로 묶고, 각 프레임워크에서 어떤 요구사항이 각 주제를 다루는지 보여줍니다. 이 페이지는 모든 매핑이 어디서 왔는지 설명하여, 해당 매핑을 어느 정도까지 신뢰할지 판단할 수 있도록 돕습니다.
기호 읽는 법
같은 다섯 가지 기호는 모든 페이지에서 같은 의미를 갖습니다. 각 기호에는 레이블이 붙어 있으며, 색상은 보조 수단일 뿐입니다.
- 주제 정의: 해당 주제를 정의하는 NIST CSF 2.0 결과(outcome).
- 대응표: 공개된 대응표(NIST, ENISA, CIS, PCI SSC)가 두 항목을 연결합니다.
- 편집 콘텐츠: 대응표가 없는 경우 ControlMapping의 판단이며, 그 근거가 함께 표시됩니다.
- : CSF 2.0 결과 하나를 공유할 뿐입니다. 확인할 가치는 있으나 매핑은 아닙니다.
- 보유 데이터에 매핑 없음: 보유 데이터에 매핑된 항목이 없습니다. 대부분 신규 작업일 가능성이 높지만, 적용 범위 주석을 확인하십시오.
매핑은 대응표 또는 편집 콘텐츠에 해당하며, 두 요구사항이 같은 주제로 선별되었거나 직접 연결된 경우입니다. 격차 도구, 비교, 집계에서는 매핑만 적용 범위로 인정됩니다. 은 확인할 단서일 뿐이며, 적용 범위로 인정되지 않습니다.
보유 데이터에 매핑 없음은 보유 데이터에 매핑된 항목이 없다는 뜻입니다. 대부분의 프레임워크에서는 신규 작업일 가능성이 높지만, 적용 범위는 고르지 않습니다. CIS v8.1: CIS 연결의 대부분은 편집 콘텐츠이며, CIS가 공개한 대응표는 153개 안전장치 중 49개만 다룹니다. SOC 2: SOC 2 연결은 모두 편집 콘텐츠입니다. GDPR: GDPR의 보안 조항만 매핑되어 있으며, 편집 방식으로 작성되었습니다. Essential Eight: Essential Eight 연결은 모두 편집 콘텐츠입니다. DORA: DORA 연결은 편집 콘텐츠이며, 기술 표준은 매핑되어 있지 않습니다. CPS 234: CPS 234는 원칙 기반이며 연결은 편집 콘텐츠입니다. Cyber Essentials: Cyber Essentials는 기술적 통제 5개만 다룹니다. 여기서 매핑이 없다는 것은 “아직 매핑되지 않음”으로 이해하고, 예산을 편성하기 전에 확인하십시오.
1. NIST CSF 2.0이 중심입니다
각 주제는 하나 이상의 NIST 사이버보안 프레임워크(CSF) 2.0 하위 범주(subcategory)에 의해 정의됩니다(예: 암호화 = 저장 데이터 PR.DS-01 및 전송 데이터 PR.DS-02). 이러한 하위 범주의 선택은 ControlMapping의 편집 판단이며, 모든 주제 페이지에 표시됩니다.
2. 대응표 대 편집 콘텐츠
그 밖의 모든 프레임워크에 대해, 주제에 연결된 각 요구사항은 NIST의 Online Informative References(OLIR) 카탈로그에 있는 공개 대응표와 대조하여 확인합니다.
- 대응표: 공개된 대응표가 해당 요구사항을 주제의 CSF 하위 범주 중 하나에 직접 연결하거나, 이미 연결된 SP 800-53 통제를 거쳐 연결합니다. 연결 내용은 “대응표: PR.DS-01” 또는 “NIST HIPAA 매핑: SC-13”처럼 표시됩니다.
- 편집 콘텐츠: 이 연결을 만드는 공개 대응표는 없지만, 관련이 있다고 판단하며 그 근거를 표시합니다. 모든 GDPR, SOC 2, Essential Eight 매핑은 편집 콘텐츠입니다. 이들에 대해서는 공개 라이선스의 대응표가 존재하지 않기 때문입니다.
대응표마다 권위의 수준이 다릅니다. NIST 또는 프레임워크 소유자(CIS Controls의 경우 CIS)가 작성한 대응표가 가장 신뢰도가 높습니다. PCI DSS 대응표는 PCI SSC 자체 자료입니다. ISO 27001의 CSF 2.0 대응표는 독립 기관이 제출한 것이며, NIST는 NIST 외부 제출물의 정확성을 검증하지 않습니다. ISO 연결은 NIST 자체의 800-53 → ISO 27001 매핑과도 대조하여 확인합니다. 아래 표에는 각 출처가 명시되어 있습니다.
800-53 통제 계열 전체를 거치는 연결(NIST의 이전 데이터는 일부 하위 범주를 모든 계열에 연결합니다)은 근거로 인정하지 않습니다. SP 800-53 통제를 거치는 CMMC, HIPAA 또는 ISO 연결은 해당 800-53 통제 자체가 주제에 대응표로 연결되어 있을 때만 인정합니다.
CSF 2.0 이외의 968개 요구사항 매핑 중 475개는 대응표로 뒷받침되고, 493개는 편집 콘텐츠입니다.
3. 요구사항 간 관계
요구사항 페이지, 비교, 격차 도구, 다운로드 자료는 프레임워크를 넘나드는 요구사항들을 연결합니다. 두 요구사항은 다음의 경우 매핑된 것으로 봅니다.
- 둘 다 같은 ControlMapping 주제의 선택 항목인 경우(위와 같이 선별되고 검증됨). 해당 주제에서 두 선택 항목이 모두 대응표로 뒷받침되면 연결은 대응표이고, 그렇지 않으면 편집 콘텐츠입니다. 또는
- 쌍별 매핑이 둘을 직접 연결하는 경우: ENISA의 NIS2 → ISO 27001 표, NIST의 HIPAA → SP 800-53 대응표, NIST의 SP 800-53 → ISO 27001 매핑, 또는 CMMC의 경우 NIST의 SP 800-171r2 부록 D 및 SP 800-171r3 → SP 800-53 참조(모두 대응표). 대응표가 없는 경우, 명백한 공백을 메우기 위해 ControlMapping의 소수 편집 쌍(예: SOC 2 CC4.1 ↔ ISO 27001 9.2항)이 사용되며, 각 쌍에는 근거(편집 콘텐츠)가 함께 표시됩니다.
그 밖에 같은 NIST CSF 2.0 하위 범주에 연결된 두 요구사항은 으로 표시됩니다. 이들은 관련된 결과를 다루지만, 한쪽이 다른 쪽을 충족하지는 않습니다. 이러한 단서는 순위가 매겨지며(대응표로 뒷받침되는 항목이 먼저, 이후 공유 결과 수 기준), 요구사항 페이지에서 프레임워크당 최대 8개로 제한되고 접힌 상태로 유지됩니다. 두 가지 연결은 노이즈로 간주해 제외합니다. CSF의 일반적 개선 결과(ID.IM)만을 통해 공유되는 연결, 그리고 공유 결과가 정책 관련(GV.PO)이 아닌 경우의 SP 800-53 “-1” 정책 및 절차 통제입니다.
CMMC 실무는 SP 800-171 Rev 3의 대응 요구사항 또는 부록 D의 800-53 통제를 통해 CSF 2.0에 도달하며, HIPAA 요구사항은 NIST의 HIPAA → SP 800-53 대응표를 통해 도달합니다. 다운로드 자료에는 모든 요구사항 → CSF 2.0 연결이 포함되어 있으므로, 이 작업을 직접 확인하거나 확장할 수 있습니다.
4. 모든 ID는 검증됩니다
요구사항 ID가 해당 프레임워크의 카탈로그에 존재하지 않거나 폐지된 경우(예: CSF 2.0에서 폐지된 ID.BE-01과 같은 CSF 1.1 ID) 빌드가 실패합니다.
5. 출처 및 버전
| 프레임워크 | 요구사항 카탈로그 | 사용된 대응표 | 매핑 (대응표) |
|---|---|---|---|
| NIST 사이버보안 프레임워크 2.0 | NIST CPRT의 CSF 2.0 내보내기 (폐지된 1.1 하위 범주 포함) | 허브: 모든 주제는 CSF 2.0 하위 범주로 정의됨 | — |
| ISO/IEC 27001:2022 | 부속서 A 통제 및 조항 번호와 짧은 제목 (표준 본문은 ISO의 저작권) | ISO/IEC 27001:2022 → CSF 2.0 (OLIR, 독립 제출자) 및 NIST 자체의 SP 800-53 Rev 5 → ISO/IEC 27001:2022 매핑 | 105 (99) |
| CIS Controls v8.1 | CIS 제목이 포함된 CIS Controls v8.1 안전장치 (CC BY-NC-ND 4.0) | OLIR에 있는 CIS 자체의 CIS Controls v8.1 → CSF 2.0 매핑으로, 153개 안전장치 중 49개를 다룸. 나머지는 편집 콘텐츠 | 163 (40) |
| SOC 2 (신뢰 서비스 기준) | 2017 신뢰 서비스 기준 ID(2022년 개정 중점 사항 포함)와 ControlMapping의 한 줄 요약; 기준 본문은 AICPA의 저작권 | AICPA는 TSC 매핑(예: NIST 800-53 및 ISO 27001 대상)을 공개하지만 공개 라이선스가 아니므로, 여기의 모든 SOC 2 매핑은 ControlMapping의 편집 콘텐츠 | 66 (0) |
| PCI DSS v4.0.1 | PCI DSS v4.0.1 요구사항 번호(대응표와 대조) 및 ControlMapping의 한 줄 요약; 요구사항 본문은 PCI SSC의 저작권 | PCI SSC 자체의 PCI DSS v4.0.1 → CSF 2.0 매핑(자문위원회), NIST CSF 2.0 참고 자료에 게시됨 | 95 (70) |
| CMMC Level 2 | NIST CPRT의 SP 800-171 Rev 2 내보내기(CMMC Level 2 실무 110개) 및 DoD의 CMMC Level 2 실무 명칭 | NIST SP 800-171 Rev 2 부록 D(→ SP 800-53, Rev 4 ID를 Rev 5로 이월), 그리고 대응하는 Rev 3 요구사항을 통한 SP 800-171 Rev 3 → SP 800-53 및 CSF 2.0 → 800-171r3 참조 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | NIST OSCAL 카탈로그, SP 800-53 Rev 5.2.0 (폐지된 통제 포함) | NIST CSF 2.0 참고 자료(800-53 Rev 5.2.0 및 5.1.1) | 120 (106) |
| HIPAA 보안 규칙 | NIST SP 800-66r2(CPRT): 보안 규칙 표준 및 구현 명세. ID는 NIST의 형식을 따르며, 이는 표준의 CFR 말미 (1)을 생략합니다. 여기서 §164.310(a)는 §164.310(a)(1)을 뜻합니다 | NIST의 HIPAA 보안 규칙 → SP 800-53 Rev 5.1.1 대응표(OLIR), 주제의 대응표로 뒷받침되는 800-53 통제를 통해 | 47 (36) |
| GDPR | 보안 의무를 담은 GDPR 조항(제5조, 제24–25조, 제28–30조, 제32–35조, 제37–39조) | 존재하지 않음(GDPR은 개인정보 보호 법률이므로), 따라서 모든 GDPR 매핑은 편집 콘텐츠 | 34 (0) |
| NIS2 이행 규정 (EU) 2024/2690 | 위원회 이행 규정 (EU) 2024/2690 부속서의 49개 요구사항 항목, ENISA 제목 포함 | ENISA의 공식 매핑 표(v1.2)로, 각 항목을 NIST CSF 2.0 및 ISO/IEC 27001:2022에 연결; 정규화됨(예: 폐지된 CSF 1.1 ID는 NIST 데이터를 통해 이동), 일반 ID.IM 개선 연결은 다른 매핑이 없을 때만 사용 | 65 (64) |
| ASD Essential Eight | ASD가 Essential Eight 성숙도 수준으로 태그한 126개 정보보안 매뉴얼 통제(ISM 2026년 9월, CC BY 4.0), ASD의 8개 전략별로 분류 | 없음: ASD는 NIST 또는 ISO에 대한 Essential Eight/ISM 대응표를 발행하지 않으므로, 전략 → CSF 2.0 연결과 주제 매핑은 ControlMapping의 편집 콘텐츠. 통제-전략 배정은 ASD의 Essential Eight 성숙도 모델을 따름 | 62 (0) |
| DORA (규정 (EU) 2022/2554) | 공식 저널(출판청)에 게재된 규정 (EU) 2022/2554: 금융기관에 구속력을 갖는 22개 조항, 각 항 및 호 본문 포함 | 존재하지 않으므로, 모든 DORA 매핑은 항 또는 호 수준에서 각각 근거를 달아 작성한 편집 콘텐츠 | 93 (0) |
| APRA CPS 234 정보보안 | 호주 연방 법률 등록부(F2018L01745, CC BY 4.0)에 등록된 APRA 건전성 기준 CPS 234: ControlMapping의 짧은 제목과 함께 운영 항 13~36 | 존재하지 않으므로, 모든 CPS 234 매핑은 편집 콘텐츠 | 35 (0) |
| 영국 Cyber Essentials (NCSC) | NCSC Cyber Essentials IT 인프라 요구사항 v3.3(2026년 4월): 기술적 통제 주제 5개(영국 왕실 저작권: 명칭만) | 존재하지 않으므로, 모든 Cyber Essentials 매핑은 편집 콘텐츠이며 각각 구체적 요구사항을 명시 | 11 (0) |
원본 데이터 수집일 2026-10-16; 매핑 생성일 2026-10-27.
6. 알려진 공백
- PCI SSC의 CSF 매핑에는 다중 인증 요구사항(8.4.x)과 요구사항 1의 네트워크 보안 통제 대부분을 포함한 일부 핵심 요구사항이 빠져 있습니다. 우리가 이를 포함하는 경우, 편집 콘텐츠로 표시합니다.
- CIS의 OLIR 대응표는 153개 CIS v8.1 안전장치 중 49개만 다루므로, 많은 CIS 매핑이 편집 콘텐츠입니다. CIS는 다운로드 양식 뒤에 더 완전한 매핑을 공개하고 있으나, 이는 반영되지 않았습니다.
- NIST의 HIPAA 대응표는 SP 800-53에 매핑되므로, HIPAA 요구사항은 주제의 대응표로 연결된 800-53 통제 중 하나에 도달하는 경우에만 대응표로 뒷받침되는 것으로 간주합니다.
- CMMC Level 2는 SP 800-171 Rev 2입니다. 공식 연결은 Rev 2 자체의 부록 D(SP 800-53 Rev 4 통제를 명시하며, Rev 5에서 폐지된 7개는 NIST의 통합 연결을 따르고, VoIP를 위한 SC-19는 후속 통제가 없음)와 대응하는 Rev 3 요구사항에서 나옵니다. Rev 3은 일부 요구사항을 재작성했으므로, Rev 3 연결은 동일한 문구가 아니라 같은 주제에 대한 근거입니다.
- 일부 주제는 프레임워크에 대응하는 요구사항이 없습니다. 예를 들어 CMMC Level 2에는 복구 계획 실무가 없고, CIS v8.1에는 거버넌스 안전장치가 없습니다. 이러한 공백은 누락이 아니라 실제로 존재하는 것입니다.
7. 컴플라이언스 자문이 아닙니다
대응표는 프레임워크들이 유사한 결과를 어디에서 다루는지 보여줄 뿐입니다. 한 요구사항을 충족한다고 해서 다른 요구사항이 충족되는 것을 증명하지는 않습니다. 각 프레임워크의 공식 원문과 심사자 또는 감사인에게 반드시 확인하십시오.