컴플라이언스 프레임워크

규정 준수란 법률, 규정 또는 산업 표준에서 정한 보안 요구사항을 충족하는 것을 의미합니다. 체계는 조직이 구현하고 입증해야 할 통제를 구조화되고 공인된 방식으로 제시합니다.

규정 준수는 보안과 같지는 않지만, 좋은 체계는 실제 개선을 이끌어 냅니다.

ISO/IEC 27001은 ISMS(정보 보안 관리 체계)에 관한 국제 표준입니다. 위험 기반 표준이므로 위험을 식별하고 부록 A에서 통제를 선택한 뒤 지속적으로 개선합니다.

• 인증은 공인 심사원이 발급합니다.
• 기술뿐 아니라 관리 절차를 중시합니다.

SOC 2(시스템 및 조직 통제)는 서비스형 소프트웨어 제공업체에서 흔히 사용하는 검증 보고서입니다. AICPA의 신뢰 서비스 기준인 보안, 가용성, 처리 무결성, 기밀성 및 개인정보 보호를 기반으로 합니다.

• 유형 I: 특정 시점에 설계된 통제입니다.
• 유형 II: 일정 기간 동안 효과적으로 운영된 통제입니다.

PCI DSS(결제 카드 산업 데이터 보안 표준)는 카드 소지자 데이터를 저장, 처리 또는 전송하는 모든 조직에 적용됩니다. 구체적인 요구사항을 제시하는 규정 지정형 표준입니다.

• 카드 소지자 데이터를 암호화하고 네트워크 분할을 사용하십시오.
• 업무상 필요한 사람에게만 access를 허용하십시오.
• 정기적으로 시험하고 감시하십시오.

다음과 같은 체계도 접하게 됩니다.

• GDPR: EU의 데이터 보호 및 개인정보 보호입니다.
• HIPAA: US의 의료 데이터에 관한 규정입니다.
• NIST CSF / 800-53: US의 체계 및 통제 목록입니다.

서로 겹치는 부분이 많으므로 여러 체계에 걸쳐 통제를 대응시킬 수 있습니다.

체계는 다음과 같은 범위에 걸쳐 있습니다.

• 위험 기반(ISO 27001): 위험에 비례하여 통제를 선택합니다.
• 규정 지정형(PCI DSS): 상황과 관계없이 구체적인 필수 요구사항을 적용합니다.

유형을 알면 통제를 얼마나 조직에 맞게 조정할 수 있는지 알 수 있습니다.

범위를 정의하는 것이 실무의 첫 단계입니다. 범위는 체계가 적용되는 시스템, 데이터 및 프로세스를 정합니다.

PCI DSS에서는 카드 소지자 시스템을 네트워크의 나머지 부분과 격리하여 범위와 비용을 줄일 수 있습니다.

체계는 요구사항을 통제로 구성하며, 통제는 접근 제어, 암호화, 기록 및 사고 대응과 같은 그룹으로 묶는 경우가 많습니다.

각 통제에는 담당자, 구현 방법 및 제대로 작동한다는 증거가 필요합니다.

체계에 따라 결과물이 다릅니다.

• 인증(ISO 27001): 공인 기관이 발급하는 합격 여부 인증서입니다.
• 증명(SOC 2): NDA에 따라 공유되는 심사원 의견 보고서입니다.
• 검증(PCI DSS): QSA가 발급하는 AOC 및/또는 ROC입니다.

규정 준수는 일회성 행사가 아닙니다. 표준은 지속적인 운영, 정기적인 재평가 및 개선을 요구합니다.

• ISO 27001은 사후 심사를 요구합니다.
• SOC 2 유형 II는 수개월의 기간을 다룹니다.
• PCI DSS는 분기별 검사와 연례 평가를 요구합니다.

대부분의 조직은 여러 체계를 동시에 적용받습니다. 통제 대응표를 작성하면 MFA와 같이 잘 구현된 하나의 통제가 ISO 27001, SOC 2 및 PCI DSS의 대응 요구사항을 동시에 충족하여 중복 작업을 피할 수 있습니다.

각 체계의 성격을 연결하십시오.

규정 준수 체계는 보안을 구조화하고 입증합니다.

• ISO 27001 = 위험 기반 ISMS 인증입니다.
• SOC 2 = 서비스 제공업체를 위한 신뢰 서비스 증명입니다.
• PCI DSS = 카드 소지자 데이터를 위한 규정 지정형 표준입니다.
• 범위를 정의하고 통제 담당자를 지정하며 효율성을 위해 중복되는 통제를 대응시키십시오.