NIST 사이버보안 프레임워크 간단히 설명

보안 전문가 10명에게 NIST 사이버보안 프레임워크(CSF)가 무엇인지 물어보면 열 가지 약간씩 다른 답변을 얻을 것이다 — 체크리스트, 성숙도 모델, 규정 준수 의무, 공통 언어. 이 모든 것이 맞고, 그 이유를 이해하면 또 다른 확인 항목으로 취급하는 것보다 훨씬 유용하게 활용할 수 있다.

실제로 어떤 문제를 해결하는가?

CSF 등장 전, 조직들은 보안 태세를 설명하기 위해 서로 전혀 다른 용어를 사용했다. CISO의 "우리는 괜찮아"라는 말은 맥락 없이는 아무 의미가 없었다. NIST는 규모, 산업, 기존 성숙도와 관계없이 모든 조직이 현재 사이버보안 태세를 설명하고, 목표 상태를 정의하고, 격차를 파악하고, 이사회나 경영진 같은 비기술 이해관계자들에게 위험을 전달할 수 있도록 공통 구조를 제공하기 위해 프레임워크를 개발했다.

이는 자발적이며 특정 도구나 기술에 대해 규정하지 않는다. 특정 EDR 제품을 구매하거나 방화벽을 특정 방식으로 구성하라고 지시하지 않는다. 대신 달성해야 할 결과를 설명하고 그 방법은 당신이 선택하도록 한다.

핵심 기능

CSF는 사이버 위험 관리의 완전한 생명주기를 나타내는 기능을 중심으로 구성되어 있다. 최신 2.0 버전은 기존 5개 기능과 나란히 있는 기초 기능으로 Govern을 추가했다:

• Govern — 조직의 사이버보안 위험 관리 전략, 역할, 정책, 감시를 수립하고 모니터링한다. 이는 가장 최신 추가 항목이며 사이버보안이 기술적인 문제뿐만 아니라 얼마나 지배구조와 비즈니스 위험 문제가 되었는지를 반영한다.
• Identify — 자산, 데이터, 시스템 및 그들이 직면한 위험을 파악한다. 존재하지 않는다고 생각하는 것은 보호할 수 없다.
• Protect — 접근 제어, 인식 교육, 데이터 보안, 유지보수 절차 등 보안 조치를 구현한다.
• Detect — 이상과 보안 사건을 적시에 감지할 수 있는 능력을 구축한다.
• Respond — 감지된 사건을 포함하고 완화하며, 커뮤니케이션 계획을 포함한다.
• Recover — 사건 중에 손상된 능력과 서비스를 복구하고, 교훈을 프로그램에 피드백한다.

각 기능은 더 세부적으로 카테고리와 세부 카테고리로 나뉜다 — 다음과 같은 구체적인 결과들: