NIST 사이버보안 프레임워크

NIST 사이버보안 프레임워크(CSF)는 US 국립표준기술연구소가 발표한 자발적 적용 방식의 위험 기반 프레임워크입니다. 특정 기술에 종속되지 않으며 조직의 규모나 분야에 관계없이 적용할 수 있도록 설계되었습니다.

이 프레임워크의 강점은 보안 프로그램을 구성하기 위한 단순하고 기억하기 쉬운 구조입니다. 원래 핵심 기반 시설을 위해 만들어졌지만, 현재는 사이버보안 위험을 표현하는 공통 언어로 전 세계에서 폭넓게 사용됩니다.

CSF의 중심에는 상위 수준의 기능들로 구성된 핵심이 있습니다. 전통적인 다섯 가지 기능은 다음과 같습니다:

• 식별 — 자산과 위험을 파악합니다.
• 보호 — 보호 조치를 마련합니다.
• 탐지 — 사건이 발생할 때 찾아냅니다.
• 대응 — 탐지된 사고에 조치를 취합니다.
• 복구 — 복구하고 학습합니다.

CSF 2.0(2024)에서는 다른 기능들을 감독과 전략으로 아우르는 여섯 번째 기능인 거버넌스가 추가되었습니다.

식별은 위험을 관리하는 데 필요한 조직 차원의 이해를 구축합니다. 보유한 사실을 모르면 보호할 수 없습니다.

• 하드웨어, 소프트웨어, 데이터, 서비스를 포함한 자산 관리.
• 사업 환경과 핵심 의존 관계.
• 위험 평가 및 위험 관리 전략.
• 공급망 위험.

이 기능은 무엇을 보유하고 있으며 무엇이 그것을 위협하는가?라는 질문에 답합니다. 이후의 모든 단계는 이를 정확히 파악하는 데 달려 있습니다.

보호는 사건의 영향을 제한하거나 억제하기 위한 보호 조치를 구현합니다. 예방 통제의 대부분이 여기에 해당합니다:

• 신원 관리 및 접근 통제(최소 권한, MFA).
• 인식 제고 및 교육.
• 데이터 보안, 저장 중 및 전송 중 암호화.
• 유지 관리 및 보호 기술(보안 강화, 보안 업데이트 적용).

보호 기능은 사고가 발생하기 전에 사고가 일어날 가능성과 피해 범위를 줄입니다.

탐지는 사이버보안 사건을 적시에 식별하기 위한 활동을 정의합니다. 예방은 결국 항상 실패하므로 탐지가 필수적입니다.

• 지속적인 보안 모니터링(SIEM, EDR, 네트워크 센서).
• 기준 상태를 파악한 상태에서 이상 징후 및 사건 탐지.
• 검증하고 유지 관리하는 탐지 프로세스.

여기서의 지표는 탐지 시간입니다. 위협이 발견되지 않은 채 더 오래 지속될수록 피해가 커집니다.

대응은 사고가 탐지된 후 그 영향을 억제하기 위해 취하는 조치를 다룹니다.

• 대응 계획, 문서화된 사고 대응 계획.
• 법무 및 PR을 포함한 내부 및 외부 의사소통.
• 범위와 근본 원인을 파악하는 분석.
• 위협을 억제하고 제거하는 완화 조치.

SOAR 자동화 절차와 IR 대응 절차가 이곳에 해당합니다. 충분히 연습한 대응은 모든 침해 사고의 영향을 줄입니다.

복구는 사고로 손상된 기능을 복원하고, 교훈을 프로그램에 다시 반영합니다.

• 복구 계획 및 검증된 백업.
• 통제를 업데이트하는 사고 후 검토를 포함한 개선.
• 복구 중 의사소통.

복구는 순환을 완성합니다. 사고 후 교훈을 정리하는 단계가 있어야 고통스러운 침해 사고를 반복되는 실수가 아니라 더 강한 프로그램으로 전환할 수 있습니다.

CSF 2.0에서는 다른 모든 기능을 아우르는 기능으로 거버넌스를 도입했습니다. 거버넌스는 조직의 사이버보안 위험 관리 전략, 기대 사항 및 정책을 수립하고 모니터링합니다.

• 역할, 책임 및 책임성.
• 사업 목표에 맞춘 위험 관리 전략.
• 이사회 차원의 참여를 포함한 정책 및 감독.

거버넌스는 사이버보안이 단순한 기술 문제가 아니라 리더십과 전사적 위험 관리의 문제라는 점을 반영합니다.

각 기능은 코드로 참조되는 범주와 하위 범주(구체적인 성과)로 세분화됩니다.

CSF는 위험 관리가 얼마나 성숙하고 통합되어 있는지를 1단계부터 4단계까지 설명하는 이행 단계를 정의합니다:

• 1단계 부분적 — 임시방편적이고 사후 대응 중심입니다.
• 2단계 위험 인식 — 관행이 승인되었지만 조직 전체에 적용되지는 않습니다.
• 3단계 반복 가능 — 공식 정책이 일관되게 적용됩니다.
• 4단계 적응형 — 지속적으로 개선되며 위협에 따라 대응합니다.

단계는 무작정 높여야 하는 성숙도 점수가 아닙니다. 위험과 자원에 맞는 단계를 선택하십시오.

CSF는 프로필을 통해 실행 가능한 체계가 됩니다. 두 프로필을 만들고 비교하십시오:

• 현재 프로필 — 현재 달성하고 있는 결과입니다.
• 목표 프로필 — 위험과 비즈니스 목표를 고려할 때 필요한 결과입니다.

두 프로필 사이의 차이가 우선순위가 지정된 로드맵입니다. 이 차이 분석은 추상적인 체계를 구체적이고 예산이 반영된 계획으로 바꿉니다. 가장 위험이 큰 차이부터 해소하십시오. 이를 통해 CSF는 참고 문서로 남는 대신 투자 결정을 이끌게 됩니다.

NIST 사이버 보안 체계:

• 보안 프로그램을 구성하기 위한 자발적이고 위험 기반이며 기술 중립적인 구조입니다.
• 핵심 기능은 식별, 보호, 탐지, 대응, 복구이며, CSF 2.0에서 추가된 거버넌스가 이 모든 기능을 포괄합니다.
• 식별은 자산과 위험을 파악하고, 보호는 예방하며, 탐지는 사건을 찾고, 대응은 확산을 막으며, 복구는 복원하고 교훈을 얻습니다.
• 기능은 범주와 하위 범주로 세분화됩니다. 이는 코드가 부여된 결과이며, 프로필은 목표로 삼는 결과의 집합입니다.
• 이행 단계는 1단계 부분적부터 4단계 적응형까지의 성숙도를 설명합니다. 위험에 맞는 단계를 선택하고 무작정 최대화하지 마십시오.