일반적으로 NIST라고 하는 미국 국립표준기술원은 미국 상무부 산하 기관으로, 정보 시스템의 사이버 보안 위험 관리에 대한 지침을 제공합니다.
NIST 사이버 보안 프레임워크(NIST CSF)는 수년에 걸친 공동 노력의 결과로, 2014년 버락 오바마 대통령의 행정명령에 따라 발표되었습니다. 이후 2017년 도널드 트럼프 대통령은 모든 연방 정부 기관 및 그 공급망 내 모든 기관에서 NIST CSF를 준수하도록 법제화했습니다.
“측정 과학, 표준, 기술을 발전시켜 미국의 혁신과 산업 경쟁력을 촉진하고, 경제적 안보를 강화하며, 삶의 질을 향상시킨다.”
NIST 핵심 임무
NIST 사이버보안 프레임워크는 처음에 미국의 핵심 인프라 보안을 강화하기 위해 설계되었습니다. 핵심 인프라는 국가에 필수적인 자산, 시스템, 기능을 의미하며, 프레임워크는 다음의 16개 핵심 인프라 부문을 정의합니다.
- 화학
- 상업 시설
- 통신
- 핵심 제조
- 댐
- 국방 산업 기지
- 응급 서비스
- 에너지(공공 시설 포함)
- 금융 서비스
- 식량 및 농업
- 정부 시설
- 의료 및 공중 보건
- 정보 기술
- 원자로, 핵물질, 폐기물
- 운송 시스템
- 상수 및 하수 처리 시스템
미국 정부는 이후 2017년에 NIST 사이버 보안 프레임워크를 모든 연방 정보 시스템의 보안을 규제하는 의무 표준으로 채택했습니다.
비연방 기관과 민간 기업에는 의무 사항이 아니지만, NIST 사이버 보안 프레임워크의 모범 사례, 표준, 권장사항은 사이버 공격을 식별, 탐지, 대응하는 데 널리 활용되고 있습니다.
또한 프레임워크의 지침은 공격 예방 및 복구에도 사용됩니다. 비연방 기관이 NIST 사이버보안 프레임워크를 채택하면 시스템의 보안성을 최적화할 수 있으며, 대중에게 보안에 대한 신뢰를 줄 수 있습니다.
이 프레임워크는 사이버보안 위험의 우선순위를 정하고 완화하기 위한 방법을 설명합니다. 카테고리와 하위 카테고리는 구체적인 기술적, 관리적 방법을 정의하며, 보안 관행과 사고 대응 계획을 지원합니다.
NIST CSF 2.0의 주요 업데이트
2.0 버전은 2024년 2월에 발표된 NIST 사이버보안 프레임워크의 첫 번째 대규모 개정판입니다. 업데이트의 주요 목적은 다음과 같습니다.
- NIST 개인정보 프레임워크, NIST 위험 관리 프레임워크(RMF), NIST 안전한 소프트웨어 개발 프레임워크(SSDF) 등 다른 NIST 프레임워크와의 정렬 및 통합
- 핵심 인프라 부문을 넘어 모든 산업, 규모, 성숙도 수준의 조직에 NIST CSF 적용 확대
- 공급망 위험, 사이버 보안 거버넌스, 구현 강조
- 조직이 프레임워크를 필요에 맞게 맞춤화하고, 위험에 기초해 조치의 우선순위를 정한 다음, 계획에서 조치로 더 쉽게 전환할 수 있도록 지원
NIST CSF 2.0으로의 여정
NIST CSF 2.0으로의 여정은 10년간의 진화하는 사이버 보안 과제와 경험을 통해 얻은 교훈을 반영합니다. NIST CSF 2.0은 사이버 보안에 대한 보다 총체적이고 위험에 기반한 접근 방식을 지원합니다. 사이버 복원력 강화만을 위해 설계된 것은 아니지만, 조직이 사이버 복원력을 이해 및 평가하고, 비즈니스 목표에 맞게 보안 노력을 설정할 수 있도록 돕습니다.
식별, 보호, 탐지, 대응, 복구 그리고 거버넌스
NIST 사이버 보안 프레임워크 버전 1.0에서 확립된 5가지 핵심 기능은 버전 2.0에서 변경되지 않았습니다. NIST CSF 2.0은 기존의 식별, 보호, 탐지, 대응, 복구 기능에 거버넌스라는 새로운 핵심 기능을 추가했습니다. 이 새로운 기능은 사이버 보안 위험 관리에서 거버넌스의 중요성을 강조하기 위해 도입되었습니다.
거버넌스
사이버 보안 위험 관리 전략, 기대치, 정책을 수립하고, 이를 전달하며, 모니터링합니다. 이 기능에는 다음이 포함됩니다.
- 조직적 맥락(GV.OC)
- 위험 관리 전략(GV.RM)
- 역할, 책임, 권한(GV.RR)
- 정책(GV.PO)
- 감독(GV.OV)
- 사이버 보안 공급망 위험 관리(GV.SC)
식별
시스템, 자산, 데이터, 리소스의 사이버 보안 위험을 식별하고 평가합니다. 이 기능에는 다음이 포함됩니다.
- 자산 관리(ID.AM)
- 위험 평가(ID.RA)
- 개선(ID.IM)
보호
조직의 자산을 보호하기 위한 통제 및 절차를 적용합니다. 이 기능에는 다음이 포함됩니다.
NIST CSF의 구현 단계
NIST 사이버 보안 프레임워크의 구현 섹션은 네 가지 단계로 구성되어 있으며, 단계별로 조직이 NIST 통제 항목을 구현한 정도와 사이버 보안 위험 관리 관행이 지침을 따르는 정도를 설명합니다.
- 1단계: 부분적
1단계에 해당하는 조직은 사이버 보안 조정 또는 절차가 마련되어 있지 않을 수 있습니다. 이 단계의 조직은 사이버 보안을 우선순위로 두지 않습니다. - 2단계: 위험 인식
2단계 조직은 일부 위험을 인식하고, 규정 준수를 위해 이에 대응할 계획을 세웁니다. 그러나 이러한 노력이 있더라도, 모든 보안 문제를 충분히 빠르게 파악하거나 해결하지 못할 수 있습니다. - 3단계: 반복 가능
3단계 조직은 명확하게 정의되고 정기적으로 반복 가능한 사이버 보안 프로세스를 갖추고 있습니다. 또한 경영진이 위험 관리와 사이버 보안 모범 사례의 구현을 지원합니다. 이 단계의 조직은 사이버 보안 위험과 위협에 대응할 준비가 되어 있으며, 환경 내 취약점을 식별하고 수정할 수 있습니다. - 4단계 – 적응형
최상위 단계인 4단계 조직은 선제적으로 사이버 보안 조치를 구현하고 강화합니다. 이들은 고도화된 적응형 보안 관행을 통해 위험한 행동과 사건을 지속적으로 평가하고, 위협이 발생하기 전에 이를 예방하거나 대응할 수 있도록 합니다.
NIST CSF 구현 단계
NIST 사이버 보안 프레임워크를 구현하는 과정은 일련의 전략적 및 운영적 단계를 포함합니다. 이 과정은 모든 규모와 산업의 조직에서 유연하게 사용할 수 있도록 설계되었습니다. NIST CSF 구현의 주요 단계는 다음과 같습니다.
- 리더십과 거버넌스 구축
o 주요 이해관계자를 식별하고 경영진의 동의 확보
o 사이버 보안 거버넌스에 대한 역할과 책임 정의
o 비즈니스 목표에 맞춘 사이버 보안 정책, 위험 허용 범위, 목표 설정 - 조직의 맥락 이해
o 핵심 자산, 데이터, 시스템, 비즈니스 프로세스 식별
o 내부 및 외부 위협, 취약점, 법적·규제 요건 파악 - CSF 프로파일 작성
o 조직의 현재 사이버 보안 상태와 목표 상태 기술
o 관련 커뮤니티 프로파일을 검토하여 참고 - 격차 분석 수행
o 현재 프로파일을 목표 프로파일과 비교
o CSF 기능, 카테고리, 하위 카테고리 간의 차이 식별 - 실행 계획 개발 및 이행
o 이정표, 일정, 역할 및 책임을 포함한 로드맵 수립
o 식별된 격차를 해소하기 위해 보안 통제, 프로세스 변경, 기술 업데이트 실행
o NIST CSF가 제공하는 구현 예시 참조 - 측정 및 모니터링
o 목표 프로파일에 대한 진행 상황을 추적할 수 있는 지표와 KPI 정의
o 위협, 취약점, 통제의 효과성을 지속적으로 모니터링
o 조직 및 위협 환경의 변화에 따라 전략과 통제 조정 - 정기적 소통 및 검토
o 경영진, 이해관계자, 팀과 진행 상황 및 업데이트 공유
o 주요 비즈니스 변화, IT 변경, 보안 사고, 규제 업데이트 발생 시 NIST CSF 프로파일 재평가
NIST 사이버 보안 프레임워크 시작하기
NIST 사이버 보안 프레임워크는 미국에서 가장 널리 사용되는 사이버 보안 프레임워크 중 하나입니다. 그러나 구현에는 노력이 필요합니다. 핵심 기능을 이해하고 구현 계획을 개발하는 것 외에도, 관련 커뮤니티 프로파일과 다른 NIST CSF 구현 사례를 검토하는 것도 중요합니다.
NIST 사이버 보안 프레임워크의 사용 사례
NIST CSF는 일반적으로 다음을 안내하는 목적으로 사용됩니다.
- 위험 관리: 정보에 기반한 의사결정 및 자원 할당을 가능하게 하기 위해 사이버 보안 위험을 식별 및 평가하고 우선순위를 지정하는 방법
- 사이버 보안 프로그램 개발: 사이버 보안 프로그램을 구축하거나 강화하고, 보안 활동을 비즈니스 목표와 일치시키기 위한 기반
- 규정 준수 및 표준 연계: 규정 준수 노력을 간소화하기 위해 사이버 보안 관행을 다양한 표준(예: NIST SP 800-53, ISO/IEC 27001)에 매핑
- 공급망 위험 관리: 서드파티 및 공급업체의 위험을 평가하고 관리하는 방법
- 커뮤니케이션: 기술팀, 경영진, 이해관계자 간의 명확한 의사소통을 위한 공통 언어 제공
- 지속적 개선: 진행 상황을 측정하고, 변화하는 위협에 적응하며, 장기적으로 사이버 보안 태세를 성숙시키기 위한 결과 중심 접근 방식
NIST 사이버 보안 프레임워크 예시
NIST는 NIST 사이버 보안 프레임워크 외에도 위험 평가, ID 접근 통제, 보호 기술 관리, 사이버 보안 이벤트 또는 사고 대응과 같은 특정 사이버 보안 위험 관리 영역에 초점을 맞춘 200개 이상의 특별 간행물을 발행했습니다. 가장 자주 사용되는 NIST 사이버 보안 프레임워크 관련 간행물은 다음과 같습니다.
NIST 특별 간행물(SP) 800-30
NIST SP 800-30 ‘위험 평가 수행 가이드’는 사이버 위험 평가 및 관리에 대한 지침을 제공합니다. 산업 표준과 권장 사항을 기반으로 한 통제 및 통제 기준선을 포함하며, 경영진이 이해할 수 있는 방식으로 사이버 위험을 제시하는 방법을 안내합니다.
NIST 특별 간행물(SP) 800-37
NIST SP 800-37 ‘정보 시스템 및 조직을 위한 위험 관리 프레임워크(RMF): 보안 및 개인정보 보호를 위한 시스템 수명주기 접근 방식’은 위험 관리 프레임워크(RMF)를 설명합니다. 또한 RMF를 정보 시스템 및 조직에 적용하는 방법과 보안 및 개인정보 보호 위험을 관리하기 위한 6단계 절차를 제시합니다.
NIST 특별 간행물(SP) 800-53
NIST SP 800-53 ‘정보 시스템 및 조직을 위한 보안 및 개인정보 보호 통제’는 NIST 사이버 보안 프레임워크를 구현하기 위한 필수 통제 항목을 제공합니다. 20개의 통제군과 1,000개 이상의 세부적인 통제 항목이 포함되어 있습니다.
이를 통해 조직은 연방 정보 보안 현대화법(FISMA)의 보안 요건을 충족할 수 있습니다. 또한 NIST SP 800-53의 통제 항목을 구현함으로써 모든 연방 기관 및 그 공급망이 준수해야 하는 연방 정보 처리 표준 간행물(FIPS) 200의 요건도 충족할 수 있습니다.
NIST 특별 간행물(SP) 800-122
NIST SP 800-122 ‘개인 식별 정보(PII) 기밀성 보호 가이드’는 PII(개인 식별 정보)를 다루는 방법에 대한 권장 사항으로, PII를 식별하기 위한 상황 기반의 실용적 지침을 제공합니다.
NIST SP 800-122는 각 인스턴스에 적절한 보호 수준을 결정하고 보호 조치를 권장합니다. 또한 PII와 관련된 침해 사고 대응 계획 개발에 대한 방향을 제시합니다.
NIST 특별 간행물(SP) 800-125
NIST SP 800-125 ‘전체 가상화 기술 보안을 위한 가이드’는 서버 및 데스크톱 가상화 기술의 보안 과제에 대응하기 위한 권장 사항을 제공합니다. 정부 사용을 위한 가상화를 정의하고 가상 시스템의 보안 강화 및 프로비저닝에 대한 요구 사항을 설명합니다.
NIST 특별 간행물(SP) 800-171
NIST SP 800-171 ‘비연방 시스템 및 조직에서의 통제된 미분류 정보 보호’는 미국 국방부(DoD)와 계약하는 모든 조직에서 의무적으로 준수해야 하며, DoD 계약업체가 처리, 저장, 전송하는 모든 통제된 미분류 정보(CUI)에 적용됩니다. NIST SP 800-171에 따라, 이러한 조직은 국방 연방 조달 규정 보충조항(DFARS)이 정한 최소 보안 기준을 충족해야 DoD 계약을 유지할 수 있습니다.
NISTIR 8170
또 다른 NIST 간행물인 NISTIR 8170 ‘연방 기관이 NIST 사이버보안 프레임워크를 사용하는 방법’은 NIST 사이버 보안 프레임워크 사용을 위한 8가지 접근 방식을 제시합니다.
- 범용적인 위험 용어를 사용해 엔터프라이즈 및 사이버 보안 위험 관리를 통합합니다.
- 통합적이고 우선순위를 지정할 수 있는 구조를 통해 사이버 보안 요구 사항을 관리합니다.
- 공통적이고 간결한 언어로 요구 사항과 우선순위를 전달하여 사이버 보안과 조달 프로세스를 통합 및 정렬합니다.
- 표준화되고 간단한 측정 척도 및 자체 평가 기준을 사용하여 조직의 사이버 보안을 평가합니다.
- 공통 통제 항목이 필요한 결과를 식별하고, 이에 대한 업무 및 책임을 배분함으로써 보안 프로그램을 관리합니다.
- 표준화된 구조를 사용해 사이버 보안 위험에 대한 포괄적 이해를 유지합니다.
- 보안 위험을 보편적이고 이해하기 쉬운 형태로 보고합니다.
- 사이버 보안 요구 사항을 조정하기 위한 종합적인 절충 절차를 지원합니다.
면책 조항: 이 기사에 포함된 정보는 정보 제공의 목적으로만 제공되며, 이 기사에 전달된 어떠한 내용도 어떠한 형태의 법적 조언을 구성할 의도가 없습니다. SailPoint는 법적 조언을 제공할 수 없으며, 관련 법률 문제에 대해서는 법률 전문가와 상담하시기를 권장합니다.
