NIST SP 800-53 정보시스템 및 조직을 위한 보안·개인정보보호 통제
NIST SP 800-53의 정의부터 보안·개인정보보호 관리체계와 책임, 위험 평가와 보안 통제 선정, 접근통제와 신원·인증 관리, 시스템·데이터 보호와 안전한 구성 관리, 보안 모니터링·감사와 통제 평가, 보안사고 대응과 복구, 공급망과 시스템 개발·획득 보안, Control Baseline·Tailoring·Overlay 관리, 통제 평가와 지속적인 개선까지 차례로 소개합니다.
구성
NIST SP 800-53이란?
규제 개요
| 정식 명칭 | NIST Special Publication 800-53 Revision 5 — Security and Privacy Controls for Information Systems and Organizations 정보시스템 및 조직을 위한 보안· |
|---|---|
| 규제 성격 | 미국 연방 강제 표준(Federal Mandatory Standard - FISMA)이자 법적 계약 조건입니다. NIST Special Publication(가이드문서) 자체에는 법적 구속력이 없으며, 연방정보시스템에는 FISMA·OMB A-130·NIST RMF(SP 800-37)에 따라 의무 적용됩니다. |
| 목적 | 연방 정보시스템, 국가 기반시설 및 연방 의 사이버 복원력과 개인정보 보호 강화를 위한 종합 체계 제공 |
| 대상 | 미국 연방정부 행정 기관, 국방부, 연방계약자(Contractors) 및 연방 클라우드 서비스 사업자(Cloud Service Provider, CSP)를 대상으로 합니다. |
어떤 산업에 적용되는가
연방정보시스템을 중심으로 연방정부와 계약하거나 연방에 서비스를 제공하는 산업군에 적용됩니다.
대상별 적용 형태
연방 현대화법(Federal Information Security Modernization Act, FISMA) 대상 연방정보시스템은 OMB Circular A-130과 NIST 프레임워크(Risk Management Framework, RMF, SP 800-37)에 따라 의무 적용합니다.
통제된 비기밀 정보(Controlled Unclassified Information, CUI)를 보호하는 방산공급망은 DFARS 252.204-7012에 따라 계약상 의무로 적용합니다.
연방에 제공되는 클라우드서비스는 FedRAMP(Federal Risk and Authorization Management Program) 이 필수입니다.
민간은 자발적으로 적용합니다. 다만 계약·규제기관에서 참조하거나 요구할 수 있습니다.
누가 의무를 가지는가
연방 기관 안에서 의 보안·개인정보보호 을 관리하고 승인하는 역할별 책임자가 주체가 됩니다.
기관 전체의 보안·개인정보보호 에 최종 책임을 지는 주체입니다.
운영에 따르는 을 검토해 받아들일지 판단하고, 운영을 공식적으로 승인하는 주체입니다.
기관의 정보기술과 정보시스템 운영 전반을 책임지는 주체입니다.
기관의 프로그램을 총괄해 운영하는 주체입니다.
개별 의 개발·획득·운영·유지 전반을 책임지고, 에 적용할 를 관리하는 주체입니다.
소유자를 도와 의 보안 상태를 일상적으로 유지·관리하는 주체입니다.
NIST SP 800-53 를 반영한 보안 템플릿을 작성해 다른 조직이 활용하도록 제공하는 주체입니다.
책임 주체가 따르는 프레임워크(RMF-Risk Management Framework) 6단계
프레임워크(Risk Management Framework, RMF)는 NIST SP 800-37에 정의된 절차로, 연방 기관이 정보시스템의 를 선정·적용·평가·인가하고 지속적으로 감시하는 과정입니다.
어떻게 구성되는가
NIST SP 800-53은 를 20개 패밀리(Control Family)로 나누어 제시합니다. 패밀리를 선택하면 아래에 내용이 표시됩니다.
PM · 프로그램 관리
조직 전체의 보안관리체계를 운영합니다.
PL · 계획수립
보안과 을 마련합니다.
RA ·
과 이 초래할 을 평가합니다.
CA · 평가·인가·모니터링
가 제대로 작동하는지 평가합니다.
AU · 감사 및 책임추적
활동을 기록하고 추적합니다.
AC ·
에 접근할 수 있는 사람과 권한을 관리합니다.
IA · 식별 및
와 장치의 신원을 확인합니다.
PS ·
직원과 외부 인력의 보안위험을 관리합니다.
AT · 인식제고 및 교육
직원의 보안 인식과 대응역량을 강화합니다.
PE · 물리적·환경적 보호
시설과 장비를 물리적 으로부터 보호합니다.
CM ·
설정과 변경사항을 관리합니다.
SC · 및 통신 보호
과 네트워크 통신을 보호합니다.
SI · 및 정보
과 정보의 ·손상을 방지합니다.
MA · 유지보수
장비 유지보수 과정의 보안을 확보합니다.
MP · 매체보호
USB·디스크 등 저장매체를 보호합니다.
PT · 개인식별정보 처리 및 투명성
개인정보 처리의 적절성과 투명성을 확보합니다.
IR · 사고대응
보안사고를 발견하고 피해를 줄입니다.
CP · 비상대응계획
장애나 재해가 발생해도 업무를 복구하도록 준비합니다.
SA · 및 서비스 획득
구매·개발 단계부터 보안을 확보합니다.
SR ·
제품·부품·서비스 의 을 관리합니다.
보안·개인정보보호 관리체계와 책임
조직의 보안·개인정보보호 관리계획은 무엇을 포함하는가
| 관리계획 수립 | 조직 전체에 적용되는 관리계획을 수립하고, 관리체계의 구조·요구사항·책임·경영진의 의지를 문서화합니다.PM-1 |
|---|---|
| 개인정보 보호 관리계획 수립 | 개인정보 보호 프로그램의 구조, 자원, 책임자, 준수 요구사항, 전략적 목표 등을 관리계획에 포함합니다.PM-18 |
| 보안·개인정보 보호 자원 확보 | 보안과 개인정보 보호 프로그램을 운영하는 데 필요한 인력·예산·자원 등을 확보하고 관련 계획에 반영합니다.PM-3 |
| 조직 차원의 보안 아키텍처 | 조직의 업무· 구조에 보안 및 개인정보 보호 요구사항을 반영하고 관련 아키텍처를 관리합니다.PM-7 |
| 조직 공통 관리 | 여러 에서 공동으로 사용할 수 있는 보안·를 식별하고, 책임과 적용 범위를 관리합니다.PM-9PL-9 |
조직의 보안·개인정보보호 책임자는 어떻게 지정되는가
조직 전체의 프로그램을 관리할 고위 책임자를 지정하고 필요한 역할과 책임을 부여합니다.
PM-2개인정보 보호 프로그램에 대한 고위 책임자의 역할과 관련 담당자의 책임을 명확히 정의합니다.
PM-18책임자를 지정하고 조직 전체의 을 일관되게 분석·관리하도록 합니다.
PM-29조직의 책임체계는 어떻게 세워지는가
위험 관리 책임체계 수립
조직 차원의 위험 관리 전략을 수립하고, 보안·개인정보 보호 위험을 어떻게 판단하고 대응할지 정합니다.
PM-9위험 관리 업무의 통합
보안 및 개인정보 보호 위험 관리 활동을 조직의 다른 위험 관리·경영 의사결정과 연계합니다.
PM-10PM-28공급망 위험 관리 책임
조직 차원의 공급망 위험 관리 전략을 수립하고 시스템·제품·서비스의 조달 및 유지보수 과정에 적용합니다.
PM-30SR-2정보시스템별 보안·은 어떻게 수립하는가
정보시스템은 정보를 수집·처리·저장·전송하기 위해 하나로 묶인 하드웨어· 등의 구성요소 전체입니다.
각 에 대한 보안·을 수립하고, 담당자의 책임과 관련 의 구현 상태를 문서화합니다.
PL-2보안·개인정보 보호 요구사항을 정의할 때 관련 법률·규정·정책 및 조직의 업무 요구사항을 반영합니다.
PL-2PL-10PL-11정보시스템의 과 는 어떻게 평가되고 운영이 인가되는가
운영과 개인정보 처리에서 발생할 수 있는 ··을 평가하고 대응 필요성을 판단합니다.
RA-3개인정보 처리 활동이 개인에게 미칠 수 있는 을 평가하고 필요한 보호조치를 검토합니다.
RA-8적용한 보안·가 의도한 대로 구현되어 효과적으로 작동하는지 평가합니다.
CA-2책임 있는 고위 관리자가 운영에 따른 을 검토하고 인가 여부를 결정합니다.
CA-6평가 결과 발견된 과 미비점을 시정계획으로 관리하고 개선 진행상황을 추적합니다.
CA-5조직의 관리체계는 어떻게 감시하고 개선하는가
지속적인 보안상태 감시
보안·의 효과와 의 보안상태를 지속적으로 감시하고, 변화에 따라 을 재평가합니다.
CA-7조직 차원의 모니터링 전략
조직 전체의 보안·개인정보 보호 상태를 지속적으로 확인할 수 있도록 감시 전략을 수립합니다.
PM-31보안관리 성과 측정
보안·개인정보 보호 프로그램의 성과를 측정할 지표를 정하고, 결과를 활용하여 관리체계를 개선합니다.
PM-6개인정보 보호 보고체계
개인정보 보호 프로그램의 운영·준수 상황을 관련 보고 요구사항에 따라 관리합니다.
PM-27위험 평가와 보안 통제 선정
조직의 판단 기준은 어떻게 정하는가
조직이 어떤 을 중요하게 판단하고 어느 수준까지 허용할 것인지 기준을 정합니다. 전략은 조직의 업무 목적과 을 고려하여 수립합니다.
PM-9을 분석할 때 사용할 가정, 제약조건, 허용범위 및 우선순위를 정해 조직 전체가 일관된 기준으로 을 판단하도록 합니다.
PM-28의 대상은 어떻게 정하는가
| 보안 도 분류 | 정보의 ··이 침해될 경우 조직에 미치는 을 평가하여 의 보안 영향도를 분류합니다.RA-2 |
|---|---|
| 중요 자산 및 식별 | 대상이 되는 과 구성요소를 파악하고, 각 자산이 조직의 업무에 얼마나 중요한지 확인합니다.CM-8RA-9 |
| 범위 설정 | 에 사용되는 제품·부품·와 공급업체를 포함하여 외부 에서 발생할 수 있는 을 검토합니다.SR-6RA-3 |
| 핵심 구성요소 중요도 분석 | 의 중요 기능과 구성요소를 식별하고, 장애·침해가 발생했을 때 업무에 미치는 을 고려하여 우선 보호 대상을 정합니다.RA-9 |
의 은 어떻게 분석하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
및 식별
에 을 줄 수 있는 공격, 장애, 내부 오류 등 과 을 식별합니다. 결과는 문서화하고 관련 담당자에게 전달합니다.
RA-3발생 가능성과 분석
정보의 무단 접근·공개·변경·파괴 또는 중단으로 발생할 수 있는 피해의 가능성과 규모를 분석합니다.
RA-3개인정보 보호
개인정보의 적법한 처리 과정에서도 개인에게 불이익이 발생할 수 있는지 평가하고, 그 가능성과 을 검토합니다.
RA-3RA-8점검 및 모니터링
과 애플리케이션의 을 정기적으로 점검하고, 새로운 이 발견되면 추가 점검과 개선을 수행합니다.
RA-5위협정보 수집 및 활용
외부 공격 동향과 위협정보를 수집·공유하고 와 보안 대응에 활용합니다.
PM-16RA-10공급업체 및
공급업체와 제공 제품·서비스에서 발생할 수 있는 을 평가하고, 에 대한 관리 필요성과 대응 우선순위를 결정합니다.
SR-6RA-3는 어떤 순서로 선정하고 조정하는가
의 영향도에 맞는 기준선(Baseline)을 출발점으로 삼아 에 맞게 조정하고 문서화합니다.
의 보안 영향도와 적용 요구사항을 고려하여 적절한 을 선택합니다. NIST SP 800-53B는 Low·Moderate·High 보안 기준선과 별도의 개인정보 보호 기준선을 제공합니다.
PL-10NIST SP 800-53B선정된 기준선을 의 , 업무 특성, 및 수준에 맞게 조정합니다. 필요하면 를 추가하거나 를 선정합니다.
PL-11조직의 업무 목적, 법률·정책 및 시스템별 요구사항을 검토하고 이를 보안·에 반영합니다.
PL-2PL-11조직 전체가 공동으로 사용하는 와 개별 에 적용할 를 구분하고, 각 의 적용 책임을 명확하게 합니다.
PL-2PL-9NIST SP 800-37 Rev. 2선정한 를 에 어떻게 적용할지 결정하고, 필요한 경우 적용 범위··구현 조건을 구체화합니다.
PL-11PL-2선정된 와 구현 상태, , 담당자 및 책임을 문서화하고 변경사항을 반영하여 관리합니다.
PL-2결과에 따른 대응과 운영 인가는 어떻게 이루어지는가
위험 대응방안 결정
위험 평가와 보안 점검에서 발견된 문제를 조직의 위험 허용범위에 따라 처리합니다. 위험을 줄이기 위한 조치를 우선 검토하고 적절한 대응방안을 결정합니다.
RA-7미흡사항 개선계획 수립
보안 통제 평가에서 확인된 취약점과 미비사항에 대해 개선 조치, 일정 및 진행상황을 관리합니다.
CA-5보안 통제 효과성 평가
선정·구현한 통제가 올바르게 적용되었고 의도한 결과를 달성하는지 평가합니다.
CA-2잔여위험 검토 및 운영 인가
통제 적용 후에도 남아 있는 위험을 검토하고, 권한 있는 책임자가 시스템 운영을 인가할지 결정합니다.
CA-6조직의 는 어떻게 계속 개선되는가
| 및 보안상태의 | 운영 중에도 변경, 신규 및 효과를 감시하여 와 대응조치를 갱신합니다.CA-7RA-3RA-5 |
|---|---|
| 조직 차원의 개선 | 평가·모니터링 결과를 활용하여 조직의 전략과 선정 기준을 지속적으로 개선합니다.PM-9PM-31 |
접근통제와 신원·인증 관리
와 신원·의 정책은 어떻게 수립하는가
조직이 접근에 관한 정책과 실행 절차를 수립하고, 담당자에게 전달하며, 정해진 주기에 따라 검토·갱신합니다.
AC-1·장치의 식별과 에 관한 정책·절차를 수립하고 책임과 적용범위를 명확히 합니다.
IA-1계정은 생성부터 삭제까지 어떻게 관리되는가
| 계정 관리 | 허용·금지할 계정 유형을 정의하고, 계정 생성··변경·비활성화·삭제 절차를 운영합니다.AC-2 |
|---|---|
| 계정별 접근권한 지정 | 계정별로 허가된 , 소속 그룹, 역할 및 접근권한을 지정하여 관리합니다.AC-2 |
| 계정 변경 및 퇴직자 관리 | 의 퇴직·이동·업무 변경 등으로 접근권한이 달라지면 관련 담당자에게 알리고 계정을 조정합니다.AC-2PS-4PS-5 |
| 공유·그룹 계정 관리 | 공유 또는 그룹 계정의 사용 조건을 정하고, 구성원이 변경되면 필요한 인증정보를 변경하는 등 접근 을 관리합니다.AC-2(9)AC-2(10) |
| 계정의 정기적 검토 | 계정이 여전히 필요한지, 승인된 가 적절한 권한을 가지고 있는지 정해진 주기로 검토합니다.AC-2 |
접근권한은 어떤 원칙으로 부여하고 제한하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
승인된 접근권한의 강제 적용
이 승인된 접근권한을 실제로 적용하여, 허가된 와 프로세스만 정보 및 자원에 접근하도록 합니다.
AC-3원칙 적용
와 프로세스에는 업무 수행에 필요한 최소한의 접근권한만 부여합니다.
AC-6관리자· 관리
설정이나 을 변경할 수 있는 특권을 필요한 ·역할에 한정하고, 일반 업무와 특권 작업을 구분합니다.
AC-6AC-6(1)AC-6(5)업무 분리 및 권한 충돌 방지
중요한 업무가 한 사람에게 집중되지 않도록 역할과 책임을 분리하고, 서로 충돌하는 권한을 제한합니다.
AC-5접근권한뿐 아니라 ·네트워크·보안영역 사이에서 정보가 이동하는 경로와 조건도 통제합니다.
AC-4접근 시도 제한
에 연속으로 실패한 경우 계정을 잠그거나 일정 시간 접근을 제한하는 등 무단 접근 시도에 대응합니다.
AC-7에 접근하는 와 장치의 신원은 어떻게 확인하는가
조직 내부 를 고유하게 식별하고 인증하며, 를 대신하여 실행되는 프로세스에도 해당 식별정보를 연계합니다.
IA-2협력업체·고객 등 가 에 접근할 때 고유한 신원을 확인하고 인증합니다.
IA-8에 연결되는 장치나 다른 의 신원을 식별하고 인증하여 허가되지 않은 연결을 제한합니다.
IA-3식별자와 인증정보는 어떻게 관리하는가
식별자(Identifier) - 이 ·장치 등 특정 대상을 구분하기 위해 사용하는 고유한 표시입니다. 이름이나 카드번호가 식별자의 예입니다.
| 식별자 관리 | ·장치 등에 부여하는 식별자를 ·발급·관리하고, 중복이나 부적절한 재사용을 방지합니다.IA-4 |
|---|---|
| 인증정보 관리 | 비밀번호·인증서·토큰 등 을 안전하게 발급·보관·변경·폐기하고, 최초 사용 전에 기본 인증정보를 변경합니다.IA-5 |
| (Multi-Factor Authentication, MFA) | 과 일반 계정의 접근에 대해 해당 강화통제가 선정된 경우 두 가지 이상의 인증요소를 사용하도록 합니다.IA-2(1)IA-2(2) |
| 인증정보 노출 방지 | 과정에서 비밀번호 등 민감한 인증정보가 화면에 그대로 표시되지 않도록 보호합니다.IA-6 |
| 에 접근하는 운영자나 관련 주체의 신원을 확인하고, 허용된 역할에 따라 기능을 사용하도록 합니다.IA-7 | |
| 재인증 요구 | 권한 상승이나 지정된 보안상황 등 조직이 정한 조건이 발생하면 의 신원을 다시 인증합니다.IA-11 |
| 신원확인 절차 관리 | 에게 을 발급하기 전에 필요한 신원확인 절차를 수행하고, 조직이 정한 신원확인 수준을 적용합니다.IA-12 |
원격·무선·모바일 장치 등 외부에서의 접속은 어떻게 통제하는가
원격접속 유형별 사용 제한, 접속 조건 및 구현 지침을 정하고, 접속을 허용하기 전에 해당 유형을 승인합니다.
AC-17무선접속 방식별 보안 설정과 연결 조건을 정하고, 승인된 무선접속만 허용합니다.
AC-18조직이 관리하는 모바일 장치의 연결·사용 조건을 정의하고 연결을 승인합니다.
AC-19에서 조직 에 접근하거나 조직 정보를 처리·저장·전송할 때 필요한 조건과 를 정합니다.
AC-20접속 세션은 어떻게 관리하는가
동시 세션 제한
조직이 지정한 계정 유형별로 동시에 유지할 수 있는 세션 수를 제한합니다.
AC-10비활성 장치 잠금
일정 시간 사용하지 않거나 자리를 비울 때 장치를 잠그고, 다시 사용하려면 정해진 절차를 거치도록 합니다.
AC-11세션 자동 종료
조직이 정한 시간·조건·이벤트가 발생하면 세션을 자동 종료합니다.
AC-12없는 예외적 기능 관리
없이 허용할 기능을 명확히 지정하고, 그 필요성과 근거를 에 기록합니다.
AC-14접근 활동은 어떻게 기록하고 검증하는가
계정 사용, 및 권한 관련 활동 중 조직이 정한 이벤트를 기록하여 사후 확인이 가능하도록 합니다.
AU-2AU-3생성된 을 검토·분석하여 부적절한 접근이나 보안상 이상 징후를 확인하고 대응합니다.
AU-6관리자 등 의 활동을 감사할 수 있도록 기록하고, 권한 오남용 여부를 검토합니다.
AC-6(9)AU-12계정관리··권한통제 등이 의도대로 구현되어 효과적으로 작동하는지 평가하고 미흡사항을 개선합니다.
CA-2CA-5시스템·데이터 보호와 안전한 구성 관리
의 계획과 기준은 어떻게 정하는가
| 정책 및 절차 | 설정과 변경을 관리하기 위한 정책·절차를 수립하고, 담당자와 검토·갱신 주기를 정합니다.CM-1 |
|---|---|
| 설정 | 운영체제, , 등 의 승인된 기준 상태를 문서화하고 최신 상태로 유지합니다.CM-2 |
| 목록 관리 | 을 구성하는 하드웨어·· 등의 목록을 작성하고 변경사항을 반영하여 유지합니다.CM-8 |
| 계획 | 활동의 책임, 절차, 도구, 대상 구성요소 및 변경관리 방법을 계획으로 문서화합니다.CM-9 |
구성 변경은 어떻게 통제하는가
변경사항을 검토··기록하고, 승인되지 않은 변경을 제한합니다.
CM-3CM-4설정을 변경할 수 있는 권한을 승인된 담당자에게만 부여하고 관련 접근을 통제합니다.
CM-5새로운 기능이나 구성요소의 추가·변경이 보안 및 개인정보 보호에 미치는 을 분석합니다.
CM-4설정과 구성요소의 변경 상태를 지속적으로 확인하여 승인되지 않은 변경이나 기준 이탈을 발견합니다.
CM-3CM-6CM-8CA-7의 공격 가능 영역은 어떻게 줄이는가
보안 설정 기준 적용
시스템 구성요소별 보안 설정값을 정하고 적용하며, 승인된 설정에서 벗어난 변경을 관리합니다.
CM-6불필요한 기능·서비스 제거
업무에 필요하지 않은 기능, 포트, 프로토콜, 서비스 등을 비활성화하거나 제한하여 공격 가능 영역을 줄입니다.
CM-7실행 제한
승인된 만 실행하거나 지정된 의 사용을 제한하는 정책을 운영합니다.
CM-7(2)CM-7(5)설치 관리
가 임의로 를 설치하지 않도록 설치 조건과 권한을 정하고 준수 여부를 확인합니다.
CM-11통신과 저장정보는 어떻게 보호하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
네트워크
의 외부 연결과 주요 내부 경계에서 통신을 감시·통제하고, 외부에 공개되는 구성요소를 적절히 분리합니다.
SC-7전송정보 ·
네트워크로 전달되는 정보가 무단으로 노출되거나 변경되지 않도록 전송 구간에 보호 조치를 적용합니다.
SC-8저장정보 보호
에 저장된 지정 정보의 과 을 보호하고, 필요한 경우 암호화 등 적절한 보호수단을 적용합니다.
SC-28암호기술 적용
보호 목적에 적합한 암호기술을 선정하고, 암호화가 필요한 정보와 통신에 적용합니다.
SC-13암호키 관리
암호키의 생성·설정·배포·저장·교체·폐기 등 필요한 관리 절차와 보호 메커니즘을 운영합니다.
SC-12공유 자원 정보 유출 방지
메모리나 저장공간 등 공유 자원을 재사용할 때 이전 의 정보가 비인가 대상에게 노출되지 않도록 합니다.
SC-4·프로세스 격리
을 보안 요구에 따라 분할하고 프로세스를 분리하여 침해가 다른 영역으로 확산되는 을 줄입니다.
SC-32SC-39세션 및 통신 경로 보호
통신 세션의 진위성을 보호하고, 지정된 상황에서 연결을 종료하여 세션 위조·오용 을 줄입니다.
SC-23SC-10무선 통신 보호
무선 연결의 노출·간섭·기만 등 을 고려하여 조직이 정한 무선 링크 보호 조치를 적용합니다.
SC-40과 의 은 어떻게 지키는가
(Integrity) - 정보가 부적절하게 변경되거나 파괴되지 않도록 지키는 것으로, 정보의 부인방지와 진위성 확보를 포함합니다.
시스템 결함 및 보안패치 관리
시스템 결함을 식별·보고·수정하고, 관련 보안 업데이트를 적용하며 조치 효과를 확인합니다.
SI-2악성 코드 방지
악성 코드 유입·실행을 탐지하고 대응할 수 있도록 조직이 정한 보호 메커니즘을 적용합니다.
SI-3시스템 보안 모니터링
시스템의 공격 징후, 비인가 사용 및 비정상 활동을 탐지하기 위한 모니터링 기능을 운영합니다.
SI-4보안 경보 및 권고 대응
보안 경보·권고·지시사항을 수신하고 분석하여 필요한 대응조치를 시행합니다.
SI-5소프트웨어·정보 무결성 검증
조직이 지정한 소프트웨어, 펌웨어 및 정보에 대해 무단 변경이나 무결성 훼손 여부를 탐지합니다.
SI-7입력 데이터 검증
시스템에 입력되는 정보의 유효성을 검사하여 잘못되거나 허용되지 않은 입력이 처리되지 않도록 합니다.
SI-10오류 및 예외 처리
시스템 오류가 발생했을 때 필요한 오류 처리를 수행하고, 오류 메시지로 중요 정보가 노출되지 않도록 관리합니다.
SI-11메모리 보호
메모리 관련 취약점을 악용한 공격을 줄이기 위해 조직이 지정한 메모리 보호 메커니즘을 적용합니다.
SI-16소프트웨어·펌웨어 변경 검증
중요 실행코드나 펌웨어가 변경되지 않았는지 확인하고, 필요한 경우 실행 전 무결성을 검증합니다.
SI-7SI-7(1)장애나 침해에 대비한 백업과 복구는 어떻게 하는가
수준 및 수준의 정보를 조직이 정한 주기에 따라 백업하고, 백업 정보의 ··을 보호합니다.
CP-9장애나 침해 발생 시 정해진 복구 목표에 따라 을 복구하고 정상적인 운영 상태로 재구성합니다.
CP-10USB·디스크 등 저장매체는 어떻게 보호하는가
| 저장매체 | 디지털·비디지털 저장매체에 대한 접근을 승인된 나 역할로 제한합니다.MP-2 |
|---|---|
| 저장매체 보호 및 보관 | 중요 정보가 포함된 저장매체를 지정된 장소에 안전하게 보관하고, 필요할 경우 물리적·논리적 보호조치를 적용합니다.MP-4 |
| 저장매체 반출·이동 보호 | 저장매체를 외부로 이동하거나 운송할 때 무단 접근·유출·를 방지하고, 필요한 경우 이동을 추적합니다.MP-5 |
| 저장매체 정보 삭제·정화 | 저장매체를 폐기하거나 재사용하기 전에 저장된 정보가 복구·노출되지 않도록 적절한 정화(Sanitization)를 수행합니다.MP-6 |
| 저장매체 사용 제한 | 조직이 지정한 저장매체 유형의 사용을 제한하거나 금지하여 비인가 정보 이동과 유입 을 줄입니다.MP-7 |
설계·개발 단계의 보안과 보호상태 검증은 어떻게 하는가
개발·설계 시 , 분리, 최소화 등 적절한 보안 설계 원칙을 적용합니다.
SA-8개발 중인 ··의 변경을 관리하고, 개발 과정의 구성 상태를 통제합니다.
SA-10와 보호 가 의도한 대로 구현·작동하는지 평가하고 발견된 미비사항을 개선합니다.
CA-2CA-5보안 모니터링·감사와 통제 평가
은 어떤 기준으로 남기는가
| 감사정책 및 절차 수립 | 조직이 의 생성·관리·검토에 관한 정책과 절차를 수립하고, 책임자와 검토 주기를 정합니다.AU-1 |
|---|---|
| 감사 대상 이벤트 선정 | 보안·개인정보 보호 목적에 맞춰 기록할 이벤트 유형을 선정하고, 선정 이유와 기록 주기를 정합니다.AU-2 |
| 내용 정의 | 에 사건 유형, 발생 시각, 위치, 원인·결과 및 관련 ·프로세스 등의 정보를 포함하도록 합니다.AU-3 |
| 저장용량 확보 | 을 보관할 수 있는 저장공간을 마련하고, 필요한 기록이 저장되지 못하는 상황을 방지합니다.AU-4 |
| 처리 실패 대응 | 로그 저장공간 부족이나 처리 오류가 발생하면 지정된 담당자에게 알리고 정해진 대응조치를 수행합니다.AU-5 |
| 생성 기능 관리 | 에서 필요한 을 생성하도록 하고, 기록할 이벤트를 선택·관리할 수 있도록 합니다.AU-12 |
| 시간의 일관성 | 에 사용할 시간정보를 생성하고 간 시간 차이로 사건 분석이 어려워지지 않도록 관리합니다.AU-8 |
은 어떻게 검토하고 보호하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
검토 및 분석
조직이 정한 주기로 을 검토하고, 비정상적이거나 부적절한 활동과 그 을 분석합니다.
AU-6감사 분석 결과 보고
분석에서 발견한 문제를 지정된 담당자에게 보고하고, 이 달라지면 검토 수준을 조정합니다.
AU-6감사정보 검색·분석 지원
을 검색·정렬·요약할 수 있는 기능을 활용하여 조사와 분석을 지원합니다.
AU-7보호
감사정보와 감사도구를 무단 접근·변경·삭제로부터 보호하고, 관리 권한을 제한합니다.
AU-9보존
법률·규정·정책 및 조직의 요구사항을 고려하여 정한 기간 동안 을 보존합니다.
AU-11행위의 책임추적
조직이 지정한 중요 행위에 대해 해당 나 프로세스가 수행했다는 사실을 입증할 수 있는 증거를 제공합니다.
AU-10과 다른 보안정보 연계
을 점검·성능· 모니터링 정보와 함께 분석하여 이상행위를 더 효과적으로 탐지합니다.
AU-6(5)개인정보 관련 관리
개인정보 관련 활동도 조직이 정한 감사 대상에 포함하고, 자체에 담긴 개인정보의 접근·보존 을 함께 관리합니다.
AU-2AU-3AU-6AU-9AU-11의 보안상태는 어떻게 감시하는가
보안 모니터링
공격 징후, 비인가 사용 및 비정상적인 활동을 탐지하도록 조직이 정한 감시·탐지 기능을 운영합니다.
SI-4모니터링 및 점검
과 응용프로그램의 을 정기적으로 점검하고, 새롭게 알려진 에 대응합니다.
RA-5보안 경보·권고사항 관리
보안 경보·권고·지시사항을 수신하고, 에 미치는 을 검토하여 필요한 조치를 수행합니다.
SI-5침해사고 모니터링
보안사고를 추적·문서화하고, 관련 정보를 분석하여 대응과 재발 방지에 활용합니다.
IR-5은 과 조직 수준에서 어떻게 운영되는가
시스템 수준 지속적 모니터링
감시 지표·주기·평가 방법을 정하고, 통제 평가와 시스템 상태 분석을 지속적으로 수행합니다.
CA-7모니터링 결과에 따른 대응
모니터링 결과와 통제 평가정보를 연계·분석하고, 확인된 위험에 대응하며 관련 담당자에게 상태를 보고합니다.
CA-7조직 수준 모니터링 전략
여러 시스템의 보안·개인정보 보호 상태를 조직 차원에서 파악할 수 있도록 공통 모니터링 전략을 수립합니다.
PM-31평가는 어떤 절차로 진행되는가
보안·의 평가, 운영 인가 및 모니터링에 관한 정책·절차를 수립하고 담당자의 책임을 정합니다.
CA-1평가할 와 강화항목, 평가 절차, 평가환경, 및 책임을 정한 을 마련합니다.
CA-2평가 목적에 적합한 나 평가팀을 선정하고, 평가 시작 전에 권한 있는 책임자로부터 을 승인받습니다.
CA-2보안·가 올바르게 구현되고 의도한 대로 작동하며 요구사항을 충족하는지 평가합니다.
CA-2결과를 문서화하고 관련 담당자에게 전달하며, 발견된 미흡사항의 개선 필요성을 검토합니다.
CA-2평가를 보완하는 추가 점검은 무엇인가
조직이 해당 강화항목을 선정한 경우, 평가 대상에 대해 충분한 독립성을 갖춘 를 활용합니다.
CA-2(1)조직이 정한 ·구성요소를 대상으로 지정된 주기에 을 수행하여 공격 가능성과 을 확인합니다.
CA-8간 연결을 승인하고 연결의 특성·을 문서화하며, 연결 상태를 검토합니다.
CA-9평가 결과는 운영 인가와 에 어떻게 반영되는가
| 보안 미흡사항 개선계획 수립 | 와 모니터링에서 발견한 미흡사항을 개선계획에 반영하고, 조치내용과 일정을 관리합니다.CA-5 |
|---|---|
| 잔여위험 검토 및 운영 인가 | 평가 결과와 위험정보를 검토하여 권한 있는 인가권자가 운영 또는 의 사용을 인가할지 결정합니다.CA-6 |
| 지속적인 인가 관리 | 해당 강화항목을 선정한 경우, 결과를 활용하여 인가 상태와 수용의 적절성을 계속 판단합니다.CA-6(2) |
| 평가 결과의 반영 | ·모니터링 결과를 조직의 와 의사결정에 반영합니다.RA-3RA-7CA-7 |
| 보안·개인정보 보호 성과관리 | 관리성과를 측정할 지표를 마련하고 결과를 검토하여 조직의 보안·개인정보 보호 프로그램을 개선합니다.PM-6 |
보안사고 대응과 복구
보안사고 대응체계는 사전에 어떻게 준비하는가
| 대응 정책 및 절차 수립 | 보안사고 대응의 목적·범위·책임·협업체계를 정한 정책과 절차를 문서화하고, 담당자에게 전달하며 정기적으로 갱신합니다.IR-1 |
|---|---|
| 대응계획 수립 | 대응체계의 구성, 대응능력, 자원, 역할 및 보고체계를 정리하고 대응계획을 수립·배포·검토합니다.IR-8 |
| 대응 담당자 교육 | 대응 역할이나 접근권한을 부여받은 에게 필요한 교육을 실시하고, 변경 시 교육내용을 갱신합니다.IR-2 |
| 대응 절차 시험 | 조직이 정한 주기로 대응능력을 시험하여 절차가 실제로 작동하는지 확인하고, 시험 결과를 개선에 반영합니다.IR-3 |
| 대응 지원체계 마련 | 와 운영자가 를 신고하거나 대응 지원을 요청할 수 있도록 조직이 정한 지원체계를 제공합니다.IR-7 |
| 대응팀 및 외부기관 협력 | 대응팀의 역할과 연락체계를 정하고, 필요할 경우 외부 지원기관·공급업체와 협력할 수 있도록 준비합니다.IR-8IR-7IR-4(11) |
| 대응과 복구계획의 연계 | 대응계획과 복구계획을 서로 연계하여 대응 과정에서 업무 연속성과 복구 요구사항을 함께 고려합니다.IR-4CP-2 |
보안사고는 어떤 단계로 처리하는가
의 공격 징후와 비정상 활동을 확인하고, 관련 정보를 분석하여 보안사고 여부와 을 판단합니다.
IR-4SI-4대응체계에 준비, 탐지·분석, 피해 확산 방지, 제거 및 복구 활동을 포함합니다.
IR-4가 다른 이나 업무로 확산되지 않도록 감염·침해된 의 통신을 제한하거나 격리하는 등 적절한 조치를 수행합니다.
IR-4, 공격자의 비인가 접근수단 등 를 지속시키는 원인을 제거하고 복구를 준비합니다.
IR-4SI-3SI-2발생부터 처리 완료까지 진행상황과 관련 정보를 추적·문서화하여 후속 분석과 개선에 활용합니다.
IR-5내부자·개인정보 관련 와 증거는 어떻게 다루는가
내부자의 악의적 행위나 권한 오남용으로 발생하는 에도 대응할 수 있도록 별도 대응능력을 마련합니다.
IR-4(6)원인과 피해 범위를 확인할 수 있도록 관련 로그· 상태·분석자료를 적절히 확보하고 보호합니다.
IR-4AU-9AU-11개인정보가 관련된 도 조직의 대응절차에 포함하고, 적용 법률과 정책에 따른 별도 통지·보고 의무를 확인합니다.
IR-4IR-6IR-8보안사고 보고와 정보 공유는 어떻게 하는가
사고 보고체계 수립
사고가 의심되는 상황을 조직의 사고 대응 담당부서에 정해진 시간 안에 보고하도록 하고, 지정된 기관에도 필요한 정보를 전달합니다.
IR-6사고 정보의 보고 및 공유
사고 관련 정보를 조직이 지정한 기관·담당자에게 보고하고, 대응에 필요한 정보가 전달되도록 관리합니다.
IR-6IR-8자동화된 사고 보고
해당 강화통제를 선정한 경우, 자동화된 수단을 이용하여 사고 정보를 보고합니다.
IR-6(1)공급망 관련 사고 통지
제품·서비스 공급망과 관련된 사고가 발생하면 해당 공급업체 및 공급망 관련 조직에 필요한 사고 정보를 전달합니다.
IR-6(3)SR-8비상대응·복구계획은 어떻게 마련하는가
| 비상대응·복구 정책 수립 | 중단과 장애에 대비한 정책·절차를 수립하고 담당자와 검토·갱신 기준을 정합니다.CP-1 |
|---|---|
| 복구계획 수립 | 중요 업무, 복구 목표, 복구 우선순위, 담당자 및 연락체계를 포함하는 비상대응계획을 수립합니다.CP-2 |
| 중요 업무의 연속성 확보 | 중단·침해·장애가 발생하더라도 핵심 업무를 유지하거나 필요한 시간 안에 재개할 수 있도록 계획합니다.CP-2CP-2(3) |
| 복구 담당자 교육 | 복구계획을 수행하는 담당자에게 역할과 책임에 맞는 교육을 제공하고 관련 절차를 숙지하도록 합니다.CP-3 |
| 복구계획 시험 및 개선 | 비상대응계획을 정해진 주기로 시험하고, 발견된 문제와 개선사항을 계획에 반영합니다.CP-4 |
복구에 필요한 대체 수단은 어떻게 확보하는가
대체 저장시설 확보
복구에 필요한 백업정보와 관련 자료를 보관할 수 있는 대체 저장시설을 마련합니다.
CP-6대체 처리시설 확보
주 을 사용할 수 없을 때 필요한 업무를 수행할 수 있도록 대체 처리시설과 복구 수단을 준비합니다.
CP-7대체 통신서비스 확보
주요 통신서비스가 중단되더라도 필요한 통신을 유지·복구할 수 있도록 대체 통신서비스를 마련합니다.
CP-8복구에 사용되는 백업정보는 어떻게 관리하는가
정보, 정보 및 문서를 조직이 정한 주기에 따라 백업하고, 백업자료를 보호합니다.
CP-9백업정보가 무단으로 공개·변경·손상되지 않도록 ··을 보호합니다.
CP-9해당 강화통제를 선정한 경우 백업정보를 실제로 복원할 수 있는지 시험하여 복구 가능성을 확인합니다.
CP-9(1)은 어떻게 복구하고 운영을 재개하는가
중단·침해·장애가 발생하면 복구 목표와 비상대응계획에 따라 을 복구하고 정상 운영 상태로 재구성합니다.
CP-10복구된 이 정상적으로 작동하고 가 유지되는지 확인한 뒤 운영을 재개합니다.
CP-2CP-10CA-2복구 후 과 의 정상 작동을 확인하고 필요한 모니터링 및 를 다시 수행합니다.
CP-10CA-7이후 대응능력은 어떻게 개선하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
대응 결과의 교훈 반영
실제 처리 과정에서 얻은 교훈을 대응절차·교육·시험에 반영하여 대응능력을 개선합니다.
IR-4대응계획 갱신
처리 결과와 조직·의 변화에 따라 대응계획을 검토하고 필요한 사항을 수정합니다.
IR-8원인 및 개선
에 이용된 결함이나 을 식별하고, 수정·패치 등 필요한 개선조치를 시행합니다.
SI-2RA-5보안 개선계획 관리
대응과 복구 과정에서 발견된 보안 미흡사항을 개선계획에 반영하고 조치 결과를 추적합니다.
CA-5복구 이후 재평가
복구·변경 후 남아 있는 을 평가하고, 필요하면 나 운영절차를 조정합니다.
RA-3CA-7공급망과 시스템 개발·획득 보안
개발·획득의 보안 기반은 어떻게 마련하는가
획득(Acquisition)은 계약을 통해 ·구성요소·서비스를 구매하거나 외부에서 들여오는 것으로, 조직이 직접 만드는 개발과 구분됩니다.
개발과 구매·도입 과정에 적용할 보안·개인정보 보호 정책과 절차를 수립하고 담당자의 책임을 정합니다.
SA-1개발·획득에 필요한 보안·개인정보 보호 자원을 결정하고 예산과 업무계획에 반영합니다.
SA-2의 개발·도입·운영·폐기 단계에 보안과 개인정보 보호를 통합하고 각 단계의 책임을 지정합니다.
SA-3을 획득할 때 은 어떻게 반영하는가
| 개발·획득 정의 | 과 구성요소를 구매하거나 개발할 때 필요한 , 보안 보증 및 개인정보 보호 요구사항을 계약·획득 과정에 반영합니다.SA-4 |
|---|---|
| 공급업체 계약 반영 | 외부 공급업체에 요구할 보안·개인정보 보호 조건을 정의하고, 계약 및 서비스 제공 조건에 포함합니다.SA-4SA-9 |
| 보안문서 확보 | 안전한 설치·설정·운영 방법, 사용법, 알려진 등을 설명하는 관리자· 문서를 확보하거나 작성합니다.SA-5 |
| 외부 서비스 보안관리 | 외부 서비스 제공자가 조직의 보안·개인정보 보호 요구사항을 충족하도록 하고, 역할과 책임 및 서비스 준수상태를 관리합니다.SA-9 |
에게는 어떤 이 적용되는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
보안·개인정보 보호 설계 원칙 적용
설계 단계부터 , 접근 분리 등 적절한 보안·개인정보 보호 공학 원칙을 적용합니다.
SA-8개발 단계
개발 중인 하드웨어··의 구성과 변경사항을 관리하고 승인되지 않은 변경을 방지합니다.
SA-10보안시험 및 평가
가 ·구성요소에 대한 보안·개인정보 보호 시험과 평가를 수행하고 결과 및 발견된 결함을 관리하도록 합니다.
SA-11개발 프로세스 및 도구 관리
가 안전한 개발 프로세스와 표준·도구를 사용하도록 요구하고, 개발 활동의 적절성을 확인합니다.
SA-15보안교육
에게 적용되는 보안·개인정보 보호 교육 요구사항을 정하고, 필요한 교육을 이수하도록 합니다.
SA-16보안 아키텍처·설계 자료
에게 보안·와 설계자료를 제공하도록 요구하여 설계의 적절성을 검토합니다.
SA-17중요 구성요소의 맞춤형 개발
조직이 정한 중요 에 대해 필요한 경우 맞춤형 개발 요구사항을 적용합니다.
SA-20심사·검증
조직이 정한 중요 구성요소의 에 대해 ·보안 적합성을 확인하는 심사 또는 검증을 수행합니다.
SA-21지원 종료 구성요소 관리
나 공급업체의 지원이 종료된 구성요소는 교체하거나 적절한 대체 지원체계를 마련합니다.
SA-22공급망 위험 관리체계는 어떻게 세우는가
(Supply Chain) - 여러 단계의 조직이 서로 연결된 자원과 프로세스의 집합으로, 각 조직은 획득자이며 제품·서비스의 조달에서 시작해 그 수명주기 전반으로 이어지는 것입니다.
의 목적·책임·운영절차를 정하고 관련 담당자에게 전달하며 주기적으로 갱신합니다.
SR-1·구성요소·서비스의 을 관리하기 위한 계획을 수립하고 개발·획득·운영과 연계합니다.
SR-2에 필요한 업무·보안·구매·법무 등 관련 전문인력을 포함한 관리팀을 구성합니다.
SR-2(1)조직 차원에서 목표·전략·실행체계를 마련하고 관련 조직에 적용합니다.
PM-30의 과 관리상 미흡사항을 식별·개선하고 필요한 를 선정·적용하며 문서화합니다.
SR-3공급업체와 제품·구성요소는 어떻게 평가하고 확인하는가
공급망 위험 평가
공급업체·부품·제품·서비스 및 공급과정에서 발생할 수 있는 위협과 취약점을 분석합니다.
RA-3SR-6공급업체 보안평가 및 재검토
공급업체의 보안·개인정보 보호 및 공급망 위험을 평가하고 정해진 주기나 필요 시 재검토합니다.
SR-6중요 공급업체·서비스 제공자 보호
공급망에 참여하는 지정 조직과 서비스를 식별하고, 위험 수준에 맞는 보안 보호조치를 적용합니다.
SR-3SR-5SR-6제품·구성요소 출처 관리
시스템과 구성요소의 출처 및 이력을 확인하여 공급과정의 신뢰성을 높입니다.
SR-4제품·부품 조달 방식 관리
조직이 정한 시스템·구성요소·서비스에 대해 신뢰할 수 있는 조달 방식과 획득 전략을 수립·적용합니다.
SR-5공급 과정의 위조· 은 어떻게 막는가
운영·제조·배송 보안
개발·제조·보관·배송 등 공급과정에서 발생할 수 있는 위조··도난·비인가 접근 에 대응합니다.
SR-3SR-7방지·탐지
공급과정에서 ·구성요소가 무단으로 변조되는 것을 방지하거나 탐지하는 보호조치를 적용합니다.
SR-9구성요소의 진위 확인
위조 부품이나 변조된 구성요소의 도입을 방지하고, 발견된 위조품에 대응하는 절차를 마련합니다.
SR-11구성요소 폐기·처분
사용이 종료된 ·구성요소를 조직이 정한 절차에 따라 안전하게 폐기·처분합니다.
SR-12침해와 외부 유지보수 인력은 어떻게 관리하는가
에 참여하는 조직과 침해 발생 시 필요한 정보를 통지하기 위한 협약과 절차를 마련합니다.
SR-8침해나 공급업체 관련 가 발생했을 때 필요한 정보를 공유하고 조직의 대응절차와 연계합니다.
SR-8IR-4IR-6외부 인력이 수행하는 유지보수와 관련 접근권한을 관리하고, 작업 중 발생할 수 있는 보안 을 통제합니다.
MA-4MA-5SA-9은 어떻게 계속 검토하고 개선하는가
| 개발·공급 구성요소의 변경관리 | 와 개발 산출물의 변경사항을 관리하여 승인되지 않은 수정이나 훼손을 방지합니다.SA-10CM-3SI-7 |
|---|---|
| 의 지속적 검토 | 공급업체·제품·서비스의 변화와 새로운 을 고려하여 과 적용 의 적절성을 재검토합니다.SR-6RA-3CA-7 |
| 보안 미흡사항 개선 및 후속관리 | 공급업체 평가·개발시험·운영 점검에서 발견된 문제를 개선하고 조치 결과를 확인합니다.SA-11SR-3CA-5 |
Control Baseline·Tailoring·Overlay 관리
(Control Baseline) - 그룹·조직·이해관계 공동체의 보호 요구를 다루기 위해 특별히 구성해 미리 정의한 의 집합입니다.
조정(Tailoring) - 를 식별·지정하고, 의 적용범위를 고려하고, 를 선정하고, 조직이 정하는 파라미터에 구체적인 값을 지정하고, ·강화통제를 추가하고, 구현에 필요한 세부 정보를 제시하여 을 수정하는 과정입니다.
Overlay - 조정 과정에서 사용하는 ·강화통제·보충 지침과 기타 지원 정보의 명세로, 을 보완하고 더 구체화하기 위한 것입니다. 원래 기준선보다 엄격하거나 완화될 수 있으며 여러 정보시스템에 적용할 수 있습니다.
의 은 어떻게 선정하는가
에서 처리·저장·전송하는 정보와 의 중요도를 평가하여 ··에 대한 보안 영향도를 결정합니다.
RA-2FIPS 199의 보안 영향도와 적용 요구사항에 맞는 을 선정합니다.
PL-10선정한 기준선을 최종 목록으로 그대로 확정하지 않고, 시스템별 요구사항을 반영하기 위한 출발점으로 활용합니다.
NIST SP 800-53BPL-11NIST SP 800-53에서 선정하는 은 NIST SP 800-53B에 어떻게 정의되어 있는가
보안 침해가 발생했을 때 예상되는 부정적 이 낮은 을 위한 기본 집합입니다.
NIST SP 800-53B보안 침해가 발생했을 때 예상되는 부정적 이 중간 수준인 을 위한 기본 집합입니다.
NIST SP 800-53B보안 침해가 발생했을 때 예상되는 부정적 이 높은 을 위한 기본 집합입니다.
NIST SP 800-53B개인정보 처리로 개인에게 발생할 수 있는 과 개인정보 보호 요구사항을 고려하는 별도의 입니다.
NIST SP 800-53B선정한 은 에 맞게 어떻게 조정(Tailoring)하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
선정 기준선 조정
선택한 에 NIST가 제시하는 조정 활동을 적용하여 에 적합한 집합을 마련합니다.
PL-11적용범위 결정(Scoping)
의 기술적 특성, , 업무 목적 및 적용 조건을 고려하여 개별 의 적용범위를 결정합니다.
NIST SP 800-53B식별
여러 에서 공동으로 제공·사용하는 를 식별하고 개별 이 이를 상속받아 활용할 수 있도록 관리합니다.
NIST SP 800-53BNIST SP 800-37 Rev. 2파라미터 지정
문장에 조직이 결정하도록 남겨둔 주기, 대상, 임계값, 조건 등의 값을 구체적으로 지정합니다.
NIST SP 800-53B적용
기존 를 그대로 구현하기 어려운 경우, 과 보호 목적을 고려하여 적절한 를 검토하고 적용 근거를 문서화합니다.
NIST SP 800-53B추가 선정
기준선만으로 충분하지 않은 이나 특정 요구사항을 충족하기 위해 또는 강화통제를 추가합니다.
NIST SP 800-53BRA-3조정(Tailoring) 결과는 어떻게 기록하는가
의 적용·제외·추가·대체 이유를 기록하여 이후 평가와 과정에서 검토할 수 있도록 합니다.
PL-11PL-2최종 선정된 , 적용 방법, 구현 상태 및 책임을 보안·에 반영합니다.
PL-2Overlay는 어떻게 구성하는가
특정 산업·기술· 유형·에 공통으로 적용할 보안·개인정보 보호 요구사항을 정리합니다.
NIST SP 800-53BOverlay를 적용할 유형, 기술적 특성, 업무 목적 및 을 명확히 합니다.
NIST SP 800-53B기존 기준선을 조정하거나 카탈로그에서 직접 선정하여 특정 분야에 필요한 ·강화통제 목록을 구성합니다.
NIST SP 800-53B특정 분야의 요구사항에 따라 를 추가하거나 적용방식을 조정하고, 제외가 필요한 의 근거를 명확히 합니다.
NIST SP 800-53B동일한 분야에 속하는 들이 일관된 보안 수준을 적용하도록 의 주기·대상·조건 등의 값을 지정합니다.
NIST SP 800-53BOverlay는 어떻게 활용하는가
산업용 제어시스템, IoT, 의료, AI 등 특정 환경에서 를 어떻게 해석하고 적용할지 안내합니다.
NIST SP 800-53B유사한 을 운영하는 조직이나 산업 공동체가 공통 Overlay를 활용하여 선정의 일관성을 높입니다.
NIST SP 800-53BNIST Control Overlay Repository공통 Overlay를 적용하더라도 개별 의 ·환경을 확인하고 필요한 추가 조정을 수행합니다.
NIST SP 800-53BPL-11과 Overlay 적용 결과는 와 어떻게 연결되는가
조직 위험 관리 전략 반영
조직의 위험 허용범위와 업무 목적을 고려하여 기준선 선정 및 조정 원칙을 결정합니다.
PM-9시스템 위험 평가 반영
위협·취약점·발생 가능성 및 영향을 분석하여 추가 통제와 강화통제의 필요성을 판단합니다.
RA-3통제 구현계획 관리
최종 선정된 통제의 구현방법, 담당자 및 운영 상태를 시스템 보안·개인정보보호 계획에 반영합니다.
PL-2통제 효과성 평가
선정·조정된 통제가 의도대로 구현되고 작동하는지 평가합니다.
CA-2미흡사항 개선관리
통제 평가에서 확인된 미흡사항을 개선계획에 반영하고 이행 상태를 관리합니다.
CA-5운영 인가 및 잔여위험 검토
통제 적용 후 남은 위험과 평가 결과를 검토하여 권한 있는 책임자가 운영 인가 여부를 결정합니다.
CA-6기준선·Overlay 적용상태 재검토
시스템 변경과 새로운 위험을 모니터링하고, 필요할 경우 선정 통제 및 적용방식을 재검토합니다.
CA-7PL-2RA-3통제 평가와 지속적인 개선
평가는 어떻게 준비하는가
보안·의 평가, 인가 및 모니터링에 관한 정책과 절차를 마련하고 책임자와 검토 주기를 정합니다.
CA-1평가할 보안·와 통제 강화항목을 명확히 정하고 평가범위를 설정합니다.
CA-2평가 절차, 평가환경, 평가팀, 역할 및 책임을 포함한 계획을 작성합니다.
CA-2를 실시하기 전에 권한 있는 담당자로부터 을 검토·승인받습니다.
CA-2평가에 필요한 기술과 전문성을 갖춘 또는 평가팀을 선정합니다.
CA-2독립성 요구가 적용되는 경우 평가 대상과 이해충돌이 없는 또는 평가팀을 활용합니다.
CA-2(1)는 어떤 방법과 기준으로 평가하는가
평가방법 선정
문서·설정자료 검토, 담당자 인터뷰, 기능 시험 등 적절한 방법을 선택해 평가증거를 확보합니다.
NIST SP 800-53A Rev. 5구현 여부 확인
선정된 보안·가 계획과 요구사항에 맞게 실제로 구현되었는지 평가합니다.
CA-2운영 상태 검증
가 설치·설정되어 있는지만 확인하지 않고 의도한 방식으로 작동하는지 평가합니다.
CA-2요구사항 충족 확인
적용된 가 조직의 보안·개인정보 보호 요구사항을 충족하는지 판단합니다.
CA-2평가 결과는 어떻게 남기고 보고하는가
평가 결과와 발견된 미흡사항을 평가보고서로 작성하여 추후 검토와 개선에 활용합니다.
CA-2평가보고서를 지정된 담당자와 책임자에게 전달하여 개선 및 의사결정에 활용합니다.
CA-2평가에 함께 활용하는 점검 결과는 무엇인가
조직이 지정한 이나 구성요소에 대해 을 실시하여 공격 가능성과 보안 을 확인합니다.
CA-8모니터링·스캔 결과를 와 에 활용합니다.
RA-5을 검토·분석하여 미흡사항이나 비정상적인 활동의 증거를 확인합니다.
AU-6평가에서 발견된 미흡사항은 어떻게 개선하는가
항목을 선택하면 오른쪽에 내용이 표시됩니다.
개선조치 계획 수립
에서 확인된 결함·미흡사항과 알려진 을 해결하기 위한 조치계획을 작성합니다.
CA-5개선 일정 및 진행상태 관리
개선조치의 일정과 주요 이정표를 관리하고, ·감사·모니터링 결과에 따라 계획을 갱신합니다.
CA-5개선계획의 정확성·최신성 유지
해당 강화통제를 선정한 경우 자동화된 수단을 활용하여 개선계획이 정확하고 최신 상태로 유지되도록 합니다.
CA-5(1)조직 차원의 개선조치 관리
여러 과 부서의 개선계획을 조직 차원에서 관리하고 전략 및 우선순위와 일치하는지 검토합니다.
PM-4보안 수정
의 결함과 을 식별·수정하고 필요한 보안 업데이트와 검증을 수행합니다.
SI-2RA-5위험 대응방안 결정
평가에서 확인된 에 대해 완화·수용·회피·공유 또는 이전 등 적절한 대응방안을 결정합니다.
RA-7개선조치 결과 확인
개선이 완료되었다는 보고만으로 종결하지 않고, 필요할 경우 관련 를 다시 평가하여 효과를 확인합니다.
CA-2CA-5CA-7평가 결과에 따른 정보시스템 운영 인가는 어떻게 이루어지는가
운영에 따른 보안·개인정보 보호 을 검토하고 인가 결정을 내릴 권한 있는 책임자를 지정합니다.
CA-6결과와 미해결 미흡사항을 검토하여 운영에 따른 잔여위험을 판단합니다.
CA-6RA-3권한 있는 책임자가 관련 을 고려하여 운영 또는 의 사용을 인가할지 결정합니다.
CA-6, 통제 평가보고서 및 개선계획 등을 최신 상태로 유지하여 판단에 활용합니다.
CA-6PL-2CA-5에서 확보한 최신 증거를 활용하여 운영 인가 상태와 수용의 적절성을 계속 검토합니다.
CA-6CA-7수준의 은 어떻게 운영되는가
| 수준 모니터링 전략 수립 | 조직 차원의 전략에 맞춰 시스템별 모니터링 대상, 방법, 주기와 보고체계를 정합니다.CA-7 |
|---|---|
| 모니터링 지표 선정 | 보안·개인정보 보호 상태를 확인할 수 있는 수준 지표를 선정합니다.CA-7(a) |
| 모니터링·평가 주기 설정 | 의 특성과 수준을 고려하여 상태 모니터링과 효과성 평가의 주기를 정합니다.CA-7(b) |
| 지속적인 | 조직이 정한 모니터링 전략에 따라 의 구현·운영 상태를 반복적으로 평가합니다.CA-7(c) |
| 보안상태 지표 모니터링 | 및 조직이 정한 지표를 지속적으로 확인하여 보안·개인정보 보호 상태의 변화를 파악합니다.CA-7(d) |
| 평가·모니터링 결과의 통합 분석 | 여러 평가 및 모니터링 결과를 연계하여 의 변화와 의 문제점을 분석합니다.CA-7(e) |
| 모니터링 결과에 따른 대응 | 분석 결과에서 확인된 과 미흡사항에 대해 필요한 대응조치를 시행합니다.CA-7(f) |
| 보안·개인정보 보호 상태 보고 | 의 보안·개인정보 보호 상태를 지정된 책임자에게 조직이 정한 주기로 보고합니다.CA-7(g) |
을 강화하는 활동은 무엇인가
독립적 지속 평가
해당 강화통제를 선정한 경우 독립 를 활용하여 를 지속적으로 평가합니다.
CA-7(1)추세 분석을 통한 개선
와 모니터링 결과의 추세를 분석하여 구현방식이나 평가 주기를 조정할 필요가 있는지 판단합니다.
CA-7(3)모니터링 통합
효과, 규정 준수, 변경에 따른 모니터링을 전략에 통합합니다.
CA-7(4)운영의 일관성 검증
조직이 정한 방법으로 정책 수립 여부와 가 일관되게 작동하는지를 검증합니다.
CA-7(5)자동화된 모니터링 지원
해당 강화통제를 선정한 경우 자동화된 수단을 활용하여 모니터링 결과의 정확성·최신성·을 유지합니다.
CA-7(6)평가와 모니터링 결과는 조직 차원의 개선에 어떻게 반영되는가
조직 차원의 모니터링 전략
조직 전체의 보안·개인정보 보호 상태를 확인하기 위한 공통 지표, 평가주기, 분석·보고체계를 마련합니다.
PM-31보안 성과지표 관리
보안·개인정보 보호 프로그램과 통제의 효과성·효율성을 확인할 성과지표를 개발·모니터링·보고합니다.
PM-6위험 관리 전략과 개선활동 연계
개선 우선순위와 통제 재평가 결과를 조직의 위험 관리 전략 및 허용 가능한 위험 수준과 연계합니다.
PM-9PM-4시스템 변경에 따른 보안영향 검토
시스템 구성이나 운영 환경이 변경될 때 보안·개인정보 보호에 미치는 영향을 검토하고 필요한 통제를 재평가합니다.
CM-4CA-7사고 경험의 개선 반영
실제 보안사고에서 얻은 교훈을 사고 대응절차·교육·시험에 반영하고 관련 통제의 개선 필요성을 검토합니다.
IR-4