NIST CSF 2.0 사이버보안 프레임워크
CSF의 구성부터 관리체계와 책임, 자산관리와 위험평가, 보호조치, 모니터링과 탐지, 사이버보안 사고 대응과 복구, 공급망 위험관리, 현재·목표 수준 비교, 지속적인 개선까지 차례로 소개합니다.
구성
NIST CSF란?
프레임워크 개요
| 정식 명칭 | The NIST Cybersecurity Framework (CSF) 2.0 NIST 사이버보안 프레임워크 2.0 |
|---|---|
| 규제 성격 | 법적 구속력이 없는 자율 프레임워크입니다. 조직이 스스로의 위험과 사업목표에 맞춰 유연하게 적용하며, 미국 연방정부와 정부 계약 등에서는 참조하거나 요구할 수 있습니다. |
| 목적 | 조직이 사이버보안 위험을 파악·평가·관리하고 줄일 수 있도록 공통 언어와 구조를 제공합니다. |
| 대상 | 규모·분야·성숙도와 관계없이 모든 공공·민간 조직이 활용할 수 있습니다. |
| 발표 | 1.0 2014년 2월 12일 · 1.1 2018년 4월 16일 · 2.0 2024년 2월 26일 |
어떤 산업에 적용되는가
CSF는 특정 산업이나 대기업만을 위한 것이 아니라, 규모·분야·성숙도와 관계없이 모든 조직이 활용할 수 있습니다. NIST CSF 2.0부터 중요 기반시설에서 모든 조직으로 대상이 넓어졌습니다.
§1주요 적용 분야
누가 의무를 가지는가
사이버보안 위험관리는 이사회와 경영진이 방향을 정하고, 보안책임자와 관련 부서가 실행합니다.
사이버보안 거버넌스와 정책, 위험 감수 기준, 공급망 책임을 정하고 그 결과에 책임을 집니다.
CSF를 기준으로 현재 수준을 평가하고, 목표를 정하며, 이행계획을 세워 측정하고 보고합니다.
공급업체 계약과 제3자 위험관리를 맡습니다.
보안은 보안팀만의 일이 아니라 IT·법무·인사·조달 등 조직 전체가 함께 이행합니다.
어떻게 구성되는가
CSF는 사이버보안 활동 전체를 여섯 으로 나눕니다. 여섯 은 같은 계층이며, 거버넌스가 가운데에서 나머지 다섯 을 뒷받침합니다.
GOVERN · GV · 거버넌스
조직의 보안 방향·책임·정책을 정하고 관리합니다. 다른 다섯 의 우선순위와 수행 방향을 결정하는 기반입니다.
IDENTIFY · ID · 식별
보호해야 할 자산과 현재 위험을 파악하여 보안활동의 우선순위를 정합니다.
PROTECT · PR · 보호
확인된 위험을 줄이기 위한 보호조치를 적용합니다.
DETECT · DE · 탐지
시스템과 환경을 계속 감시하여 공격이나 침해 징후를 발견하고, 실제 사이버보안 사고인지 분석합니다.
RESPOND · RS · 대응
탐지된 사이버보안 사고를 분석·보고하고 피해를 줄입니다.
RECOVER · RC · 복구
피해를 입은 시스템과 업무를 정상 상태로 복구합니다.
사이버보안 관리체계와 책임
위험관리 방향을 정하기 전에 무엇을 파악하는가
조직의 임무와 의무, 다른 조직과의 의존관계를 먼저 파악하여 위험관리 방향을 정하는 기준으로 삼습니다.
GV.OC조직의 임무
조직의 핵심 임무와 사업목표를 이해하고, 이를 사이버보안 위험관리의 판단 기준으로 활용합니다.
GV.OC-01이해관계자 요구
고객, 직원, 경영진, 협력업체 등 내부·외부 이해관계자의 보안 관련 요구와 기대를 파악하여 위험관리에 반영합니다.
GV.OC-02법률·규제·계약상 의무
적용되는 사이버보안 관련 법률, 규제, 계약요건과 개인정보 보호 및 개인의 권리·자유 보호에 관한 의무를 파악하고 관리합니다.
GV.OC-03조직이 외부에 제공하는 핵심 서비스
외부 이해관계자가 조직에 기대하거나 의존하는 핵심 목표, 역량, 서비스를 파악하고 관계자에게 알립니다.
GV.OC-04조직이 외부에서 받는 서비스·인프라
조직의 업무 수행에 필요한 외부 서비스와 인프라 등 주요 의존관계를 파악하고 관계자에게 알립니다.
GV.OC-05위험을 어떤 기준으로 관리하는가
위험관리 전략에는 위험을 판단하고 대응하는 데 쓸 여섯 가지 기준을 담습니다.
GV.RM위험관리 목표를 정하고 이해관계자와 합의합니다.
GV.RM-01어떤 위험을 얼마나 감수할지, 위험선호도와 위험허용도를 정합니다.
GV.RM-02위험에 대응하는 선택지와 전략 방향을 정합니다.
GV.RM-04조직 전체가 같은 방법으로 위험을 산정·기록·분류하고 우선순위를 정하도록 공통 방법을 마련합니다.
GV.RM-06통합사이버보안 위험을 재무·운영·사업위험과 함께 전사 위험관리에서 다룹니다.
소통공급업체·제3자 위험을 포함한 위험정보를 조직 안에서 공유할 경로를 마련합니다.
GV.RM-03GV.RM-05새로운 기술이나 사업기회 같은 긍정적인 위험도 함께 논의합니다.
GV.RM-07누가 책임지고, 역할·자원·인사는 어떻게 정하는가
사이버보안 위험에 대한 책임은 경영진이 집니다. 이와 함께 담당자별 역할과 권한을 정하고, 필요한 자원을 배정하며, 인사 절차에도 보안을 반영합니다.
GV.RR경영진은 사이버보안 위험에 대한 책임을 지고, 위험을 인식하며 윤리적이고 지속적으로 개선하는 조직문화를 만듭니다.
GV.RR-01사이버보안 위험관리에서 누가 무엇을 맡고 결정하는지 정하고, 구성원이 이를 이해하고 실제로 이행하도록 알립니다.
GV.RR-02위험관리 전략과 정해진 역할, 보안정책을 실제로 수행할 수 있도록 인력·예산·도구 등 필요한 자원을 충분히 배정합니다.
GV.RR-03채용, 직무 배치, 역할 변경, 퇴직 등 인사 절차에 사이버보안 고려사항을 반영합니다.
GV.RR-04보안정책은 어떻게 만들고 유지하는가
보안정책은 한 번 만들고 끝나는 것이 아니라, 환경이 바뀔 때마다 검토하고 갱신하여 다시 시행합니다.
GV.PO정책 수립·시행
조직의 환경, 사이버보안 전략, 우선순위에 맞는 위험관리 정책을 수립하고 전달하며 실제로 시행합니다.
GV.PO-01정책 검토·갱신
법적 요구사항, 위협, 기술 및 조직 임무가 바뀌면 정책을 검토·갱신하고 다시 전달·시행합니다.
GV.PO-02자산관리와 보안 위험평가
자산 목록에는 무엇이 들어가는가
조직이 관리하는 자산을 다섯 가지 목록으로 정리하고 최신 상태로 유지합니다. 무엇을 보호해야 하는지 알아야 보호조치를 정할 수 있기 때문입니다.
ID.AM자산 목록
| 목록 | 담는 내용 | 예시·참고 |
|---|---|---|
| 하드웨어ID.AM-01 | 조직이 관리하는 하드웨어 | 서버, PC, 네트워크 장비, 산업용 제어기 등 |
| 소프트웨어·서비스·시스템ID.AM-02 | 조직이 관리하는 소프트웨어, 서비스, 시스템 | 사용 중인 기술자산 파악 |
| 네트워크·데이터 흐름ID.AM-03 | 승인된 네트워크 통신과 내부·외부 데이터 흐름 | 시스템 간 연결관계와 정보 이동경로 파악 |
| 공급업체 제공 서비스ID.AM-04 | 공급업체가 제공하는 서비스 | 클라우드, 원격 유지보수, 외부 운영서비스 등 |
| 데이터·메타데이터ID.AM-07 | 조직이 지정한 유형의 데이터와 관련 메타데이터 | 모든 데이터에 같은 수준의 상세 목록이 필요한 것은 아닙니다 |
목록에 올린 자산은 어떻게 관리하는가
자산 목록을 만든 뒤에는 중요한 자산부터 관리 순서를 정하고, 도입부터 종료까지 계속 관리합니다.
ID.AM중요한 자산부터 관리합니다
네 가지 기준으로 자산의 중요도를 판단하여 관리 우선순위를 정합니다.
ID.AM-05도입부터 종료까지 관리합니다
시스템, 하드웨어, 소프트웨어, 서비스, 데이터를 생명주기 전반에서 관리합니다.
ID.AM-08위험은 무엇을 바탕으로 판단하는가
파악한 자산의 취약점과 위협을 각각 확인한 뒤, 위협이 취약점을 악용할 가능성과 그 영향을 종합하여 위험을 판단합니다.
ID.RA취약점 식별·검증·기록
하드웨어, 소프트웨어 및 시스템 등에 존재하는 보안 취약점을 찾아 실제 여부를 확인하고 기록합니다.
ID.RA-01위협정보 수집·위협 파악
정보공유 조직과 관련 정보원에서 사이버 위협 인텔리전스를 확보하여 위험평가에 활용합니다. 조직에 영향을 줄 수 있는 내부 및 외부 위협도 파악하고 기록합니다.
ID.RA-02ID.RA-03발생 가능성과 영향
위협이 취약점을 악용했을 때 발생할 수 있는 영향과 그 가능성을 파악하고 기록합니다.
ID.RA-04고유위험과 대응 우선순위
위협, 취약점, 발생 가능성 및 영향을 종합하여 고유위험을 이해하고 대응 우선순위를 정하는 데 활용합니다.
ID.RA-05위험평가 결과와 변경·신고는 어떻게 관리하는가
대응방안을 정하고 끝까지 추적합니다
위험평가 결과에 따라 대응방안을 선택하고 우선순위를 정하며, 실행계획과 진행상태를 관리하고 관계자에게 전달합니다.
ID.RA-06변경과 예외가 위험에 주는 영향을 평가합니다
시스템 변경이나 예외사항을 관리하면서 위험에 미치는 영향을 평가하고, 결과를 기록·추적합니다.
ID.RA-07외부에서 제보한 취약점을 처리합니다
외부 연구자, 사용자, 협력업체 등이 제보하는 보안 취약점을 접수하고 분석하여 대응하는 절차를 마련합니다.
ID.RA-08보안 보호조치
누가, 무엇에 접근할 수 있는가
사용자뿐 아니라 서비스와 장비까지 신원을 관리하고 인증하며, 업무에 필요한 만큼만 접근을 허용합니다.
PR.AA신원·인증정보 관리
승인된 사용자, 서비스, 하드웨어의 신원과 인증정보를 관리하여 누가 또는 어떤 시스템이 접근하는지 식별합니다.
PR.AA-01신원 확인과 인증정보 연결
접근 상황에 맞게 사용자의 신원을 확인하고, 확인된 신원을 적절한 인증정보와 연결합니다.
PR.AA-02사용자·서비스·장비 인증
사용자뿐 아니라 서비스와 하드웨어도 인증하여 접근 주체가 정당한지 확인합니다.
PR.AA-03최소권한과 직무분리
접근권한을 정책에 따라 정의·관리·시행·검토하고, 업무에 필요한 최소권한과 직무분리 원칙을 반영합니다.
PR.AA-05신원 주장정보 보호
인증 과정에서 전달되는 신원 주장정보를 보호하고, 안전하게 전달하며, 그 유효성을 검증합니다.
PR.AA-04시설·자산의 물리적 접근통제
자산이 있는 시설에 사람이 드나드는 것을 위험 수준에 맞게 관리·감시·통제합니다. 서버실이나 제어실의 출입통제가 대표적인 예입니다.
PR.AA-06구성원은 어떤 보안교육을 받는가
모든 구성원
구성원이 일상업무를 수행할 때 사이버보안 위험을 고려할 수 있도록 필요한 보안 지식과 기술을 교육합니다.
PR.AT-01전문 역할 담당자
보안관리자, 개발자, 시스템 운영자 등 전문 역할을 맡은 사람에게는 업무별 보안위험을 이해하고 대응할 수 있는 교육을 추가로 제공합니다.
PR.AT-02데이터는 어떤 상태에서 보호하는가
데이터는 저장되어 있을 때, 전송 중일 때, 사용 중일 때 각 상태에 맞게 기밀성·무결성·가용성을 보호합니다.
PR.DS저장 데이터 보호
저장된 데이터를 보호합니다. 저장장치 접근통제, 암호화, 무결성 확인 등이 가 될 수 있습니다.
PR.DS-01전송 데이터 보호
네트워크 등을 통해 전송되는 데이터를 보호합니다. 안전한 통신 프로토콜 사용 등이 가 될 수 있습니다.
PR.DS-02사용 중 데이터 보호
시스템이 처리하거나 사용하는 데이터를 보호합니다. 실행환경과 메모리 보호 등이 가 될 수 있습니다.
PR.DS-10백업 관리
데이터 백업을 생성하고 보호하며 유지·시험하여 필요할 때 복구에 활용할 수 있도록 관리합니다.
PR.DS-11시스템과 소프트웨어는 어떻게 안전하게 운영하는가
하드웨어, 소프트웨어, 서비스로 이루어진 플랫폼을 위험 수준에 맞게 설정·유지·교체하고, 운영 기록을 남깁니다.
PR.PS안전한 구성관리
시스템과 플랫폼의 구성설정을 체계적으로 관리합니다. 승인된 설정기준과 변경관리 등이 가 될 수 있습니다.
PR.PS-01소프트웨어 유지·교체·제거
위험 수준에 따라 소프트웨어를 유지관리하고, 필요하면 교체하거나 제거합니다. 취약한 소프트웨어의 업데이트와 지원종료 대응 등이 포함될 수 있습니다.
PR.PS-02하드웨어 유지·교체·제거
위험 수준을 고려하여 하드웨어를 유지관리하고 노후화되거나 부적절한 장비를 교체·제거합니다.
PR.PS-03보안 로그 생성
지속적 보안 모니터링에 사용할 로그 기록을 생성하고 이용할 수 있도록 관리합니다.
PR.PS-04비인가 소프트웨어 차단
조직이 승인하지 않은 소프트웨어가 설치되거나 실행되지 않도록 보호조치를 적용합니다.
PR.PS-05안전한 소프트웨어 개발
소프트웨어 개발 생명주기 전반에 보안개발 관행을 통합하고, 그 이행 성과를 모니터링합니다.
PR.PS-06장애나 공격에도 어떻게 버티는가
기술 인프라를 보호하여 정상 상황과 장애·공격 같은 불리한 상황에서도 서비스가 유지되도록 합니다.
PR.IR네트워크와 기술 운영환경에 승인된 접속과 사용만 허용되도록 보호합니다. 네트워크 분리, 접근통제 등이 가 될 수 있습니다.
PR.IR-01이런 환경적 위험이 생겨도 기술자산이 피해를 입지 않도록 보호합니다.
PR.IR-02평소는 물론 장애나 공격이 발생한 상황에서도 조직이 정한 복원력 수준을 유지할 수 있도록 필요한 수단을 갖춥니다.
PR.IR-03가용성을 위한 자원 확보
시스템과 서비스를 계속 이용할 수 있도록 처리능력, 저장공간 등 필요한 자원을 충분히 확보하고 유지합니다.
PR.IR-04지속적인 보안 모니터링과 탐지
무엇을 지속적으로 감시하는가
자산과 환경을 계속 감시하여 이상징후, 침해지표 및 잠재적인 유해 이벤트를 발견합니다.
DE.CM네트워크와 네트워크 서비스
조직의 네트워크와 네트워크 서비스를 감시하여 침입 시도, 비정상 통신 등 사이버보안에 부정적인 영향을 줄 수 있는 이벤트를 발견합니다.
DE.CM-01물리적 환경
시설과 장비가 있는 물리적 환경을 감시하여 무단출입, 물리적 침해 등 이상 상황을 발견합니다.
DE.CM-02인력 활동과 기술 사용
직원 및 관계자의 활동과 기술 사용 현황을 감시하여 비정상적인 계정 사용, 권한 오남용 등을 발견합니다.
DE.CM-03외부 서비스 제공자
클라우드, 외주 운영, 원격 유지보수 등 외부 서비스 제공자의 활동과 서비스를 감시합니다.
DE.CM-06하드웨어·소프트웨어·실행환경·데이터
컴퓨팅 하드웨어, 소프트웨어, 실행환경 및 관련 데이터를 감시하여 악성행위, 비정상적인 실행, 데이터 이상 등을 발견합니다.
DE.CM-09발견한 이상징후는 어떻게 분석하는가
발견한 이상징후가 단순 오류인지 공격 징후인지 판단하기 위해, 다섯 가지 질문에 답하는 방식으로 성격과 영향을 분석합니다.
DE.AE발견된 이상징후와 관련 활동을 분석하여 해당 이벤트의 성격과 의미를 이해합니다.
DE.AE-02네트워크 로그, 시스템 로그, 사용자 활동기록 등 여러 출처의 정보를 연계하여 개별 이벤트 간의 관련성을 분석합니다.
DE.AE-03최신 공격기법, 알려진 위협지표, 관련 상황정보 등을 분석에 반영하여 탐지 결과의 정확성과 판단 근거를 높입니다.
DE.AE-07유해 이벤트가 조직에 미칠 것으로 예상되는 영향과 관련 시스템·서비스의 범위를 파악합니다.
DE.AE-04분석에 필요한 유해 이벤트 정보를 승인된 담당자와 도구에 제공하여 추가 분석과 대응이 가능하도록 합니다.
DE.AE-06언제 사이버보안 사고로 선언하는가
조직이 정한 사이버보안 사고 판정기준을 충족할 때
탐지한 유해 이벤트가 조직이 미리 정해 둔 사이버보안 사고 판정기준에 해당하면, 이를 공식적인 사이버보안 사고로 선언합니다. 선언한 때부터 사이버보안 사고 대응이 시작됩니다.
DE.AE-08사이버보안 사고 대응과 보고
사이버보안 사고 대응은 어떻게 진행하는가
사이버보안 사고가 선언되면 사이버보안 사고 대응계획을 실행하고, 접수된 사이버보안 사고 보고를 검증·분류하여 우선순위에 따라 처리하며, 필요하면 상위로 격상합니다.
RS.MA사이버보안 사고가 공식적으로 선언되면 사이버보안 사고 대응계획을 실행합니다. 필요하면 외부 전문업체나 관련 제3자와 협력하여 대응합니다.
RS.MA-01접수된 사이버보안 사고 보고를 먼저 살펴보고 실제 사이버보안 사고인지 확인합니다. 신고된 이상징후를 곧바로 확정된 사이버보안 사고로 취급하지 않고 사실관계를 검증합니다.
RS.MA-02사이버보안 사고를 유형과 심각도 등에 따라 분류하고, 대응이 시급한 사이버보안 사고부터 처리할 수 있도록 우선순위를 정합니다.
RS.MA-03사이버보안 사고의 심각성이나 대응 필요성에 따라 상위 담당자, 전문 대응조직 또는 경영진에게 넘겨 대응 수준을 높입니다.
RS.MA-04복구로 넘어가는 시점
대응 중에는 미리 정한 복구 착수기준을 적용하여 복구 단계로 전환할 수 있는지 판단합니다.
RS.MA-05사이버보안 사고에서 무엇을 분석하고 보존하는가
경위와 근본원인
사이버보안 사고 중 실제로 어떤 일이 발생했는지 조사하고, 사이버보안 사고를 일으킨 근본원인을 분석하여 대응과 재발 방지의 근거를 마련합니다.
RS.AN-03사이버보안 사고 규모
사이버보안 사고가 어느 정도의 규모로 발생했는지 추정하고 검증하여, 영향을 받은 자산이나 서비스의 범위를 판단합니다.
RS.AN-08조사활동 기록
사이버보안 사고 조사 과정에서 수행한 활동을 기록하고, 그 기록이 변조되지 않았으며 어디에서 생성되었는지 확인할 수 있도록 무결성과 출처를 보존합니다.
RS.AN-06사이버보안 사고 데이터·메타데이터
로그, 사이버보안 사고 관련 데이터 및 메타데이터를 수집하고 무결성과 출처를 보존하여 향후 사이버보안 사고 분석과 디지털 포렌식에 활용합니다.
RS.AN-07사이버보안 사고를 누구에게 알리는가
사이버보안 사고 발생 사실을 필요한 내부 및 외부 이해관계자에게 통지합니다.
RS.CO-02사이버보안 사고 대응에 필요한 정보를 공유하여 대응조직 간 협력과 의사결정을 지원합니다.
RS.CO-03실제 통지 대상과 방법은 적용 법률, 규제, 조직 정책 및 계약요건 등을 고려하여 정해야 합니다.
RS.CO-02피해 확산은 어떻게 막는가
사이버보안 사고 확산 방지
사이버보안 사고가 다른 시스템이나 서비스로 번지지 않도록 격리합니다. 침해된 시스템의 연결을 제한하는 방법 등이 적용 예시가 될 수 있습니다.
RS.MI-01원인과 위협 제거
사이버보안 사고를 일으킨 악성요소나 침해수단 등을 제거합니다. 구체적인 제거 방법은 사이버보안 사고 유형과 운영환경에 따라 달라질 수 있습니다.
RS.MI-02사이버보안 사고 복구와 운영 정상화
복구는 어떻게 시작하고 마무리하는가
대응 과정에서 복구를 시작하기로 하면 사이버보안 사고 대응계획에 미리 담아 둔 복구 절차를 실행하고, 정상 운영을 확인한 뒤 정해진 기준에 따라 복구 종료를 선언합니다.
RC.RP복구 절차 실행
대응 과정에서 복구를 시작하기로 결정하면, 사이버보안 사고 대응계획에 미리 담아 둔 복구 절차를 실행합니다. 복구가 대응과 끊기지 않고 이어지도록 하기 위한 것입니다.
RC.RP-01복구 대상과 우선순위 결정
어떤 시스템과 서비스를 복구할지 정하고, 복구 범위와 우선순위를 정한 뒤 필요한 복구조치를 수행합니다.
RC.RP-02백업과 복원자산 검증
복원에 쓰기 전에 백업 데이터와 복원용 자산이 변조되거나 손상되지 않았는지 확인합니다. 백업이 있더라도 바로 쓰지 않고, 믿고 쓸 수 있는 상태인지부터 검증하는 것입니다.
RC.RP-03사이버보안 사고 이후 운영기준 설정
핵심 업무기능과 사이버보안 위험관리를 함께 고려하여 어떤 조건으로 운영을 재개할지 정합니다. 사이버보안 사고 전 상태로 그대로 돌아가는 것이 아니라 안전한 운영 조건을 검토합니다.
RC.RP-04정상 운영 확인
복원된 자산의 무결성을 검증하고, 시스템·서비스가 실제로 복원되어 정상 운영 상태에 도달했는지 확인합니다.
RC.RP-05복구 종료 선언
미리 정한 종료기준에 따라 복구 완료를 공식적으로 선언하고, 사이버보안 사고 관련 문서작업을 마무리합니다.
RC.RP-06복구 상황은 누구에게, 어떻게 알리는가
복구 진행상황 공유
복구활동의 진행상황과 운영능력의 회복 정도를 지정된 내부·외부 이해관계자에게 전달합니다. 경영진, 고객, 협력업체 등이 조직 상황에 따라 포함될 수 있습니다.
RC.CO-03승인된 방법과 메시지로 공지
사이버보안 사고 복구와 관련한 공개 업데이트는 조직이 승인한 방법과 메시지로 전달합니다. 확인되지 않은 복구 상황이 임의로 대외에 발표되지 않도록 관리합니다.
RC.CO-04공급망 보안 위험관리
공급망 위험관리 체계는 어떻게 세우는가
공급망 위험을 관리하려면 먼저 관리체계와 책임, 우선순위를 정해 둡니다.
GV.SC관리체계 수립
공급망 보안위험을 체계적으로 관리할 수 있도록 프로그램, 전략, 목표, 정책 및 절차를 수립하고 이해관계자들과 합의합니다.
GV.SC-01관계자별 책임
공급업체, 고객 및 협력업체의 사이버보안 역할과 책임을 정하고, 조직 내부와 외부에 전달하며 관계자 간 업무를 조정합니다.
GV.SC-02전사 위험관리와 통합
공급망 보안 위험관리를 조직의 사이버보안 위험관리, 전사 위험관리, 위험평가 및 개선 절차에 포함하여 통합적으로 운영합니다.
GV.SC-03중요 공급업체 우선관리
거래하는 공급업체를 파악하고, 조직의 업무와 시스템에 미치는 중요도에 따라 관리 우선순위를 정합니다.
GV.SC-04공급업체와 계약 전부터 종료 후까지 무엇을 관리하는가
공급업체와의 관계는 계약 전부터 계약 종료 후까지 이어지며, 단계마다 관리할 내용이 다릅니다.
계획과 실사
공식적인 계약을 맺기 전에 계획을 수립하고 실사를 수행하여 보안위험을 줄입니다.
GV.SC-06중요 공급업체 평가
중요 공급업체를 조달 전에 평가하여 공급망 보안위험을 미리 파악합니다.
ID.RA-10진위성·무결성 평가
하드웨어와 소프트웨어를 획득하거나 사용하기 전에 정품 여부와 변조 여부를 평가합니다.
ID.RA-09계약상 보안요구사항
공급망 위험을 줄이기 위한 사이버보안 요구사항을 정하고 우선순위를 매겨, 공급업체 및 관련 제3자와의 계약이나 협약에 반영합니다.
GV.SC-05위험평가·모니터링
공급업체, 제공 제품·서비스 및 관련 제3자의 위험을 파악·기록·평가·대응하고, 계약 관계가 유지되는 동안 지속적으로 모니터링합니다.
GV.SC-07사이버보안 사고 대응·복구 협력
관련 공급업체와 제3자를 사이버보안 사고 대응계획 수립, 실제 사이버보안 사고 대응 및 복구활동에 포함합니다.
GV.SC-08생명주기 전반의 관리
기술 제품·서비스의 생명주기 전반에 공급망 보안관행을 통합하고 그 이행 성과를 모니터링합니다.
GV.SC-09종료 후 보안활동
계약이나 협력관계가 끝난 뒤 수행할 보안활동도 계획에 포함합니다. 계정·접근권한 정리, 자료 반환·삭제 등이 적용 예시가 될 수 있습니다.
GV.SC-10현재 수준과 목표 수준 비교
현재 수준과 목표 수준은 어떻게 나타내는가
조직의 사이버보안 상태를 의 성과를 기준으로 표현한 것을 이라고 합니다. 지금의 수준은 로, 앞으로 달성할 수준은 로 나타내며, 조직 전체뿐 아니라 특정 사업부나 시스템을 대상으로 작성할 수도 있습니다.
§3.1조직이 현재 달성하고 있거나 달성하려고 노력 중인 보안 성과를 식별하고, 각 성과가 어느 정도 구현되었는지 파악합니다.
§3.1조직이 달성하려는 보안 성과를 선택하고 우선순위를 정합니다. 새로운 법적 요구사항, 기술 도입, 위협정보 변화 등을 고려합니다.
§3.1공통 프로파일
산업이나 기술 분야에 공통으로 적용할 수 있는 프로파일입니다. 이를 참고하여 조직의 을 수립할 수 있습니다.
§3.1함께 고려할 요소
현재·을 작성할 때 조직의 임무, 이해관계자의 기대, 위협환경 및 적용되는 요구사항을 함께 고려합니다.
§3.1두 수준은 어떤 순서로 비교하고 개선하는가
범위를 정하고 필요한 정보를 모아 과 을 작성한 뒤, 두 프로파일의 차이를 분석하여 실행계획을 세우고 실행합니다.
§3.11 · 범위 설정
조직 전체, 특정 공장, 생산라인, 정보시스템 등 프로파일의 적용 범위와 기본 가정을 정합니다.
§3.1 Step 12 · 정보 수집
보안정책, 위험관리 우선순위, 자원, 업무영향분석, 보안기준, 운영절차, 담당자 역할 등 평가에 필요한 정보를 수집합니다.
§3.1 Step 23 · 프로파일 작성
선정한 CSF 성과별로 현재 달성 상태와 목표 상태를 기록합니다. 현재 위험이 목표 설정과 우선순위에 미치는 영향도 고려합니다.
§3.1 Step 34 · 차이 분석·실행계획
현재 프로파일과 을 비교하여 개선이 필요한 부분을 찾고, 차이를 줄이기 위한 조치의 우선순위를 정합니다. 위험등록부나 개선조치계획서 등을 활용할 수 있습니다.
§3.1 Step 45 · 실행·프로파일 갱신
개선조치를 실행하고 그 결과를 반영해 프로파일을 갱신합니다. 조치 결과는 위험등록부, 진행보고서 등으로 공유하여 경영진의 위험관리 의사결정에 활용합니다. 필요하면 1단계부터 다시 진행하여 보안관리 수준을 지속적으로 개선합니다.
§3.1 Step 5§5보안관리 수준과 지속적인 개선
보안관리 수준은 어떻게 나타내는가
는 조직의 사이버보안 위험 거버넌스와 위험관리 관행이 얼마나 체계적으로 운영되는지를 1부터 4까지로 설명합니다.
§3.2를 정할 때 고려할 점
조직은 과 을 작성할 때 를 참고할 수 있으며, 위험 수준, 조직 요구사항, 비용 대비 효과 등을 고려합니다.
§3.2보안관리 활동의 개선점은 어디에서 찾는가
평가, 시험·훈련, 일상 운영에서 드러난 문제를 개선사항으로 정리하고, 사이버보안 사고 대응계획과 보안계획에 반영합니다.
ID.IM보안관리체계에 대한 평가 결과를 검토하여 부족한 부분과 개선이 필요한 사항을 찾고, 실제 개선활동에 활용합니다.
- 근거 조항
- ID.IM-01
위험관리 전략은 어떻게 점검하고 조정하는가
조직은 위험관리 전략이 성과를 내고 있는지, 조직의 요구와 위험을 충분히 다루는지 검토하고 필요하면 조정합니다.
GV.OV사이버보안 위험관리 전략이 어떤 성과를 내고 있는지 검토하고, 그 결과를 바탕으로 전략과 관리 방향을 조정합니다.
GV.OV-01현재 위험관리 전략이 조직의 요구사항과 사이버보안 위험을 충분히 다루는지 확인하고 필요하면 수정합니다.
GV.OV-02조직 차원의 사이버보안 위험관리 성과를 평가하고, 관리 방식이나 운영활동을 조정할 필요가 있는지 검토합니다.
GV.OV-03