위험 프레임워크: NIST CSF 및 ISO 27001

보안 팀은 무한히 많은 잠재적 통제 수단과 제한된 자원에 직면합니다. 위험 관리 체계는 구조화된 용어 체계, 통제 목록 및 평가 방법을 제공하여 조직이 보안 투자의 우선순위를 정하고, 경영진에게 위험을 전달하며, 규정 준수를 입증할 수 있도록 지원합니다.

NIST CSF(버전 2.0)는 사이버 보안 활동을 관리, 식별, 보호, 탐지, 대응, 복구의 6개 기능으로 구성합니다. 각 기능에는 특정 보안 결과에 연결되는 범주와 하위 범주가 포함됩니다. 이 체계는 US 핵심 기반 시설과 그 밖의 영역에서 널리 채택되고 있습니다.

식별 기능에는 자산 관리, 위험 평가, 위험 관리 전략 및 공급망 위험 관리가 포함됩니다. 보유 사실을 모르는 자산은 보호할 수 없습니다. 완전한 자산 목록과 위험 평가는 이후 모든 보안 통제의 기반입니다.

보호 기능에는 접근 통제, 교육, 데이터 보안, 프로세스 강화 및 유지 관리가 포함됩니다. 탐지 기능은 이상 징후, 보안 이벤트 및 지속적인 모니터링을 다룹니다. 성숙한 탐지 기능은 침입을 신속하게 발견하여 공격자의 장기 체류를 방지합니다.

대응 기능은 사고 대응 계획 수립, 의사소통, 분석, 완화 및 개선을 정의합니다. 복구 기능은 복구 계획 수립, 개선 및 의사소통을 다룹니다. IR 계획과 복구 절차를 시험하면 필요할 때 제대로 작동하는지 확인할 수 있습니다.

ISO 27001은 정보 보안 관리 시스템(ISMS)에 관한 국제 표준입니다. ISMS를 수립, 구현, 유지 관리하고 지속적으로 개선하기 위한 요구 사항을 규정합니다. ISO 27001 인증은 고객과 규제 기관에 제3자가 검증한 보안 수준을 입증합니다.

ISO 27001:2022 부록 A에는 조직(통제 37개), 인력(8개), 물리적 보안(14개), 기술적 보안(34개)의 네 가지 주제로 구성된 93개 통제가 포함되어 있습니다. 부록 A는 목록이므로, 적용성 선언서를 통해 위험 프로필에 적합한 통제를 선택하십시오.

ISMS 위험 처리 프로세스는 자산 식별, 위협과 취약점 식별, 가능성과 영향 평가, 처리 방법 선택(수용, 회피, 이전, 완화), 부록 A 통제 선택, 적용성 선언서에 문서화하는 단계로 이루어집니다. 매년 위험 평가를 검토하면 ISMS를 최신 상태로 유지할 수 있습니다.

NIST CSF는 사이버 보안 관행을 구성하고 개선하기 위한 체계이며, 인증 표준은 아닙니다. ISO 27001은 ISMS 범위와 제3자 심사를 포함하는 인증 가능한 표준입니다. 많은 조직이 두 가지를 모두 사용합니다. NIST CSF는 운영 지침에, ISO 27001은 인증과 고객 신뢰 확보에 활용합니다.

NIST CSF는 성숙도를 네 가지 등급(부분적 → 위험 정보 기반 → 반복 가능 → 적응형)으로 정의합니다. CMMI 보안 성숙도 수준도 이와 유사하게 매핑됩니다. 성숙도 평가를 사용하여 격차를 식별하고, 측정 가능하고 단계적으로 진행되는 높은 보안 성숙도 달성 로드맵을 수립하십시오.

NIST CSF와 ISO 27001은 PCI-DSS, HIPAA, GDPR, SOC 2 및 NIST 800-53과 같은 주요 규정에 매핑됩니다. 체계를 사용하면 여러 규정의 준수를 간소화할 수 있습니다. 일반적으로 NIST CSF의 보호 통제를 입증하면 여러 규정 체계에서 유사한 요구 사항을 동시에 충족할 수 있습니다.

NIST CSF와 ISO 27001은 보안 거버넌스에 상호 보완적인 접근 방식을 제공합니다. NIST CSF는 운영 지침을 위해 관리/식별/보호/탐지/대응/복구 전반에 걸쳐 보안 활동을 구성하는 반면, ISO 27001은 공식적인 위험 처리 프로세스와 부록 A 통제 목록을 포함하는 인증 가능한 ISMS 체계를 제공합니다.