NIST 사이버 보안 프레임워크

NIST 사이버 보안 프레임워크(, 또는 NIST CSF)는 조직이 사이버 보안 위협에 대한 준비 태세를 평가하고 개선할 수 있도록 설계된 일련의 가이드라인이다. 2014년 미국 국립표준기술연구소에 의해 개발된 이 프레임워크는 전 세계의 사이버 보안 전문가와 조직들에 의해 채택되었다. NIST 프레임워크는 민간 부문과 정부와 같은 공공 부문 모두에서 조직 간의 소통과 사이버 보안 원칙에 대한 이해의 기반을 제공해 왔다. 온라인에서 무료로 공개되어 있는 이 프레임워크는 기존의 사이버 보안 표준과 조직이 사이버 보안 위험을 완화하기 위해 취할 수 있는 조치들에 대한 권고 사항을 제공한다.

NIST CSF는 세 가지 주요 구성 요소로 이루어져 있다. 그것은 CSF 코어(CSF Core), CSF 조직 프로필(CSF Organizational Profiles), CSF 티어(CSF Tiers)이다. CSF 코어는 사이버 보안 준비 태세의 극대화, 소통 개선, 위험 완화에 초점을 맞춘 6가지 기능으로 나뉜다. 6가지 CSF 코어 기능은 거버넌스(Govern), 식별(Identify), 보호(Protect), 탐지(Detect), 대응(Respond), 복구(Recover)를 포함한다. 이 6가지 핵심 기능은 다시 하위 범주로 세분화된다. CSF 조직 프로필은 조직이 CSF 코어의 관점에서 스스로를 어떻게 평가할 수 있는지, 그리고 그들의 사이버 보안 관행이 어디에서 개선되고 구현될 수 있는지에 대한 지침을 제공한다. CSF 티어는 조직의 사이버 보안 준비 상태와 위험 완화 능력을 특성화하고 평가한다. CSF 티어는 조직이 현재 어떤 수준의 사이버 보안 보호를 갖추고 있는지와 그 보호 이면의 프로세스를 파악하는 데 유용하다.

2014년 발표된 이후, NIST CSF는 최신의 사이버 보안 관행을 반영하기 위해 지속적으로 업데이트되었다. 이러한 업데이트 중에는 2018년에 출시된 버전 1.1이 있다. 버전 1.1에서는 공급망 위험 관리와 새로운 자가 평가 프로세스를 포함하도록 프레임워크가 변경되었다. 현재 NIST CSF의 버전은 2024년에 출시된 버전 2.0이다. 이 최신 버전에서는 CSF 코어에 새로운 기능인 '거버넌스'가 도입되었다. 또한 버전 2.0은 NIST CSF 프레임워크의 범위와 소규모 조직에 대한 적용 가능성을 확대했다. 프레임워크의 언어 또한 개선되어 기술 지식이 없는 독자들의 가독성을 높였다.

NIST 사이버 보안 프레임워크는 다양한 규모와 분야의 조직에 의해 국제적으로 사용되고 있다. 무료로 구현할 수 있는 NIST CSF는 조직이 사이버 위협에 대한 방어력을 높이고 미래의 위험에 대비할 수 있도록 사이버 보안 가이드라인과 모범 사례를 설정한다.

 개요 
NIST 사이버 보안 프레임워크(CSF)는 조직이 사이버 보안 위험을 관리하고 완화하는 데 도움을 주기 위해 미국 국립표준기술연구소(NIST)가 개발한 가이드라인 세트이다. 이는 기존의 표준, 가이드라인 및 모범 사례에서 유래하여 사이버 보안에 대한 유연하고 확장 가능한 접근 방식을 제공한다. 프레임워크는 사이버 보안 결과의 상위 수준 분류 체계를 제공하며, 이러한 결과를 평가하고 관리하기 위한 방법론을 제시한다. 또한, 사이버 보안 맥락에서 프라이버시 및 시민 자유의 보호를 다룬다.

CSF는 여러 언어로 번역되었으며 전 세계의 정부, 기업 및 다양한 부문의 조직에서 널리 사용되고 있다. 2016년 설문 조사에 따르면, 조직의 70%가 NIST 사이버 보안 프레임워크를 컴퓨터 보안의 모범 사례로 여기고 있으나, 일부에서는 구현에 상당한 투자가 필요할 수 있다고 지적했다.

프레임워크는 유연하고 적응 가능하도록 설계되어 개별 조직이 고유한 요구 사항과 위험 프로필에 기반하여 구체적인 구현 방식을 결정할 수 있도록 상위 수준의 지침을 제공한다.

프레임워크의 버전 1.0은 2014년에 발표되었으며, 주로 중요 기반 시설의 운영자를 대상으로 했다. 버전 1.1의 공개 초안은 2017년에 의견 수렴을 위해 공개되었으며, 최종 버전은 2018년 4월 16일에 발표되었다. 버전 1.1은 원래 프레임워크와의 호환성을 유지하면서 공급망 위험 관리와 같은 분야에 대한 추가 지침을 도입했다. 버전 2.0은 2024년에 발표되었으며 NIST 프레임워크의 최신 버전이다. 이 새 버전은 CSF 코어에 "거버넌스" 기능을 추가하고, 프레임워크의 범위와 적용 가능성을 확장하며, 기술 지식이 없는 이해관계자들을 위해 가독성을 향상시킴으로써 버전 1.1에서 상당한 업데이트를 이루었다.

NIST 프레임워크는 세 가지 주요 구성 요소로 이루어져 있다. 그것은 CSF 코어, CSF 조직 프로필, CSF 티어이다. 코어는 6개의 뚜렷한 기능으로 구성되며, 각 기능은 사이버 보안 및 위험 관리의 특정 영역에 기여한다. 이 6가지 기능은 범주와 하위 범주로 나뉜다. 조직 프로필은 조직이 CSF 코어의 관점에서 현재의 사이버 보안 준비 상태를 평가하고, 어디에서 개선 및 조정이 이루어질 수 있는지를 파악하는 데 도움을 준다. CSF 티어는 조직이 CSF 조직 프로필에서 현재 및 목표 프로필을 설정하는 데 필요한 정보를 제공한다. CSF 티어는 조직의 현재 사이버 보안 위험 거버넌스 관행이 얼마나 엄격한지를 결정하고, 조직이 갖추고 있는 사이버 보안 전략 및 프로세스에 대한 맥락을 제공하는 데 도움을 준다.

조직은 일반적으로 기존의 사이버 보안 관행과 결과를 설명하기 위해 "현재 프로필(Current Profile)"을 개발하는 것부터 시작한다. 거기서부터 바람직한 미래 상태를 설명하고 이를 달성하기 위해 필요한 단계를 정의하는 "목표 프로필(Target Profile)"을 만들 수 있다. 대안으로, 조직은 자신의 부문이나 특정 산업의 요구 사항에 기반한 기준 프로필을 채택할 수 있다.

연구에 따르면 NIST 사이버 보안 프레임워크는 미국 내외 모두에서 사이버 보안 표준에 영향을 미칠 잠재력이 있으며, 특히 공식적인 사이버 보안 표준이 여전히 형성 중인 부문에서 그러하다. 이러한 영향력은 더 나은 국제적 사이버 보안 관행을 육성하여 국경을 넘어 운영되는 기업들에 혜택을 주고 글로벌 사이버 보안 노력에 기여할 수 있다.

 NIST CSF 코어 기능 
섬네일|이 원은 NIST CSF 2.0을 구성하는 6가지 기능을 나타낸다.
코어는 NIST CSF의 세 가지 주요 구성 요소 중 하나이다. 코어는 6가지 기능으로 분류되며, 이는 다시 22개의 범주로 나뉜다. 각 범주는 다시 세분화되어 총 106개의 사이버 보안 결과 하위 범주에 이르게 된다.

각 하위 범주에 대해 정보 보안 표준의 다양한 다른 섹션을 참조하는 "정보 자원(Informative Resources)"도 제공한다. 여기에는 ISO 27001, COBIT, NIST SP 800-53, ANSI/ISA-62443, 그리고 인터넷 보안 센터가 관리하는 인터넷 보안 센터 중요 보안 제어(CCS CSC) 등이 포함된다. 특별 간행물(SP)을 제외하고, 대부분의 참고 문헌은 해당 가이드에 액세스하기 위해 유료 멤버십이나 구매가 필요하다. 프레임워크의 비용과 복잡성으로 인해 미 의회 양원에서는 NIST가 중소기업이 더 쉽게 접근할 수 있는 사이버 보안 프레임워크 가이드를 만들도록 지시하는 법안이 발의된 적도 있다.

프레임워크 문서에 명시된 기능 및 범주와 그 고유 식별자 및 정의는 다음과 같다.

 거버넌스(Govern) 
NIST CSF 2.0에 따르면 거버넌스 기능은 "조직의 사이버 보안 위험 관리 전략, 기대치 및 정책이 수립되고 소통되며 모니터링되는 것"으로 정의된다.

거버넌스 기능은 6개의 범주로 나뉜다. NIST CSF 2.0에 따른 이 6개 범주의 정의는 다음과 같다.

 조직적 맥락(GV.OC): "조직의 사이버 보안 위험 관리 결정에 영향을 미치는 환경(임무, 이해관계자의 기대치, 의존성, 그리고 법적, 규제적, 계약적 요구 사항)이 이해된다."
 위험 관리 전략(GV.RM): "조직의 우선순위, 제약 조건, 위험 허용 범위 및 성향 선언문, 가정이 수립되고 소통되며 운영 위험 결정을 지원하는 데 사용된다."
 역할, 책임 및 권한(GV.RR): "책임성, 성과 평가 및 지속적인 개선을 촉진하기 위한 사이버 보안 역할, 책임 및 권한이 수립되고 소통된다."
 정책(GV.PO): "조직의 사이버 보안 정책이 수립되고 소통되며 시행된다."
 감독(GV.OV): "조직 전반의 사이버 보안 위험 관리 활동 및 성과 결과가 위험 관리 전략을 알리고 개선하며 조정하는 데 사용된다."
 사이버 보안 공급망 위험 관리(GV.SC): "사이버 공급망 위험 관리 프로세스가 조직의 이해관계자에 의해 식별, 수립, 관리, 모니터링 및 개선된다."

 식별(Identify) 
"시스템, 자산, 데이터 및 역량에 대한 사이버 보안 위험을 관리하기 위한 조직적 이해를 구축한다."

 자산 관리(ID.AM): 조직이 비즈니스 목적을 달성할 수 있도록 하는 데이터, 인력, 장치, 시스템 및 시설이 비즈니스 목표와 조직의 위험 전략에 대한 상대적 중요성에 부합하게 식별되고 관리된다.
 비즈니스 환경(ID.BE): 조직의 임무, 목표, 이해관계자 및 활동이 이해되고 우선순위가 지정된다. 이 정보는 사이버 보안 역할, 책임 및 위험 관리 결정을 내리는 데 사용된다.
 거버넌스(ID.GV): 조직의 규제, 법률, 위험, 환경 및 운영 요구 사항을 관리하고 모니터링하기 위한 정책, 절차 및 프로세스가 이해되고 사이버 보안 위험 관리에 반영된다.
 위험 평가(ID.RA): 조직은 조직 운영(임무, 기능, 이미지 또는 평판 포함), 조직 자산 및 개인에 대한 사이버 보안 위험을 이해한다.
 위험 관리 전략(ID.RM): 조직의 우선순위, 제약 조건, 위험 허용 범위 및 가정이 수립되고 운영 위험 결정을 지원하는 데 사용된다.
 공급망 위험 관리(ID.SC): 공급망 위험 관리와 관련된 위험 결정을 지원하기 위해 조직의 우선순위, 제약 조건, 위험 허용 범위 및 가정이 수립되고 사용된다. 조직은 공급망 위험을 식별, 평가 및 관리하기 위한 프로세스를 갖추고 있다.

 보호(Protect) 
"중요 기반 시설 서비스의 제공을 보장하기 위해 적절한 안전장치를 개발하고 구현한다."

 접근 제어(PR.AC): 자산 및 관련 시설에 대한 접근은 승인된 사용자, 프로세스 또는 장치와 승인된 활동 및 거래로 제한된다.
 인식 및 교육(PR.AT): 조직의 인력과 파트너에게 사이버 보안 인식 교육이 제공되며, 관련 정책, 절차 및 합의에 따라 정보 보안 관련 직무와 책임을 수행할 수 있도록 적절히 교육받는다.
 데이터 보안(PR.DS): 정보의 기밀성, 무결성 및 가용성을 보호하기 위해 조직의 위험 전략에 부합하게 정보와 기록(데이터)이 관리된다.
 정보 보호 프로세스 및 절차(PR.IP): 보안 정책(목적, 범위, 역할, 책임, 관리 의지 및 조직 단위 간 조정을 다룸), 프로세스 및 절차가 유지되며 정보 시스템과 자산의 보호를 관리하는 데 사용된다.
 유지보수(PR.MA): 산업 제어 및 정보 시스템 구성 요소의 유지보수 및 수리는 정책과 절차에 부합하게 수행된다.
 보호 기술(PR.PT): 관련 정책, 절차 및 합의에 부합하게 시스템과 자산의 보안 및 복원력을 보장하기 위해 기술 보안 솔루션이 관리된다.

 탐지(Detect) 
"사이버 보안 이벤트의 발생을 식별하기 위해 적절한 활동을 개발하고 구현한다."
 변칙 및 이벤트(DE.AE): 변칙적인 활동이 적시에 탐지되고 이벤트의 잠재적 영향이 이해된다.
 보안 지속 모니터링(DE.CM): 사이버 보안 이벤트를 식별하고 보호 조치의 효과를 확인하기 위해 정보 시스템과 자산을 일정한 간격으로 모니터링한다.
 탐지 프로세스(DE.DP): 변칙적인 이벤트에 대한 적시적이고 적절한 인식을 보장하기 위해 탐지 프로세스와 절차가 유지되고 테스트된다.

 대응(Respond) 
"탐지된 사이버 보안 사고에 대해 조치를 취하기 위한 적절한 활동을 개발하고 구현한다."
 대응 계획(RS.RP): 탐지된 사이버 보안 이벤트에 대한 적시 대응을 보장하기 위해 대응 프로세스와 절차가 실행되고 유지된다.
 소통(RS.CO): 법 집행 기관의 외부 지원을 포함하여, 필요한 경우 내부 및 외부 이해관계자와 대응 활동을 조정한다.
 분석(RS.AN): 적절한 대응을 보장하고 복구 활동을 지원하기 위해 분석이 수행된다.
 완화(RS.MI): 이벤트의 확산을 방지하고, 그 영향을 완화하며, 사고를 근절하기 위한 활동이 수행된다.
 개선(RS.IM): 현재 및 이전의 탐지/대응 활동에서 얻은 교훈을 통합하여 조직의 대응 활동을 개선한다.

 복구(Recover) 
"복원력을 위한 계획을 유지하고 사이버 보안 사고로 인해 손상된 모든 역량이나 서비스를 복구하기 위해 적절한 활동을 개발하고 구현한다."
 복구 계획(RC.RP): 사이버 보안 이벤트의 영향을 받은 시스템 또는 자산의 적시 복구를 보장하기 위해 복구 프로세스와 절차가 실행되고 유지된다.
 개선(RC.IM): 얻은 교훈을 향후 활동에 통합함으로써 복구 계획과 프로세스를 개선한다.
 소통(RC.CO): 조정 센터, 인터넷 서비스 제공업체, 공격 시스템 소유자, 피해자, 기타 CSIRT 및 벤더와 같은 내부 및 외부 당사자와 복구 활동을 조정한다.

 NIST CSF 조직 프로필 
조직 프로필 또한 NIST CSF의 세 가지 주요 구성 요소 중 하나이다. 조직 프로필은 조직이 CSF 코어의 관점에서 스스로를 어떻게 평가할 수 있는지, 그리고 조직의 임무 목표, 이해관계자의 기대치, 위협 환경 및 기타 요구 사항에 따라 사이버 보안 관행을 어떻게 개선하고 구현할 수 있는지에 대한 지침을 제공한다. 이를 통해 조직은 목표를 달성하기 위해 사이버 보안의 특정 영역에 집중하고 이러한 변화를 이해관계자들에게 알릴 수 있다.

조직 프로필은 다음 중 하나 또는 둘 다일 수 있다.

 현재 프로필(Current Profile): 조직이 현재 충족하고 있거나 목표로 하는 코어 결과를 설명하고, 조직이 각 결과를 어떻게 달성하고 있는지를 알려준다.
 목표 프로필(Target Profile): 조직이 추구하기 위해 선택한 사이버 보안 위험 관리 목표를 설명한다. 목표 프로필은 새로운 요구 사항, 기술 통합 및 위협 인텔리전스 트렌드를 포함하여 조직의 사이버 보안 관행에 다가올 변화를 고려한다.
추가적으로, 조직은 커뮤니티 프로필(Community Profile)을 따를 수 있다.

커뮤니티 프로필은 한 그룹의 조직이 공유된 사이버 보안 목표와 이해관계에 도달하기 위해 추구하기로 선택한 CSF 결과 세트이다. 커뮤니티 프로필은 일반적으로 다양한 부문, 기술, 위협 및 기타 특정 영역을 위해 만들어진다. 또한, 조직은 커뮤니티 프로필을 자신의 목표 프로필로 설정하여, 사이버 보안 위험 관리를 개선하기 위해 함께 노력할 수 있는 개선 사항의 개요를 만들 수 있다.

다음은 NIST CSF 2.0에서 설명하는, 조직이 사이버 보안 관행을 개선하기 위해 조직 프로필을 사용할 수 있는 한 가지 방법이다.

 "조직 프로필의 범위 설정.": 조직은 조직 프로필의 범위, 즉 얼마나 넓게 설정할지를 결정해야 한다. 조직은 전체 조직을 위한 단일 프로필부터 사이버 공격 대응과 같은 특정 영역을 위한 여러 개의 프로필까지 다양하게 가질 수 있다.
 "조직 프로필 준비에 필요한 정보 수집.": 조직은 프로필을 만들기 전에 정보를 수집해야 한다. 정보는 조직의 정책 및 규칙, 위험 및 자원 관리의 우선순위, 사이버 보안 요구 사항 및 조직이 따르는 기타 관행으로 구성될 수 있다.
 "조직 프로필 생성.": 이 단계에서는 선택한 CSF 결과에 따라 프로필에 어떤 정보를 담을지 결정하는 작업이 포함된다. 여기에는 현재 프로필의 위험을 이해하고 목표 프로필을 만들기 위해 어떤 개선이 이루어져야 하는지를 결정하는 것이 포함된다. 조직은 커뮤니티 프로필을 목표 프로필로 사용할 수 있다.
 "현재 프로필과 목표 프로필 간의 격차 분석 및 실행 계획 수립.": 조직 프로필을 만든 후, 조직은 현재 프로필과 목표 프로필이 어떻게 다른지 분석하고 목표 프로필을 달성하기 위한 계획을 세워야 한다.
 "실행 계획 이행 및 조직 프로필 업데이트.": 마지막 단계는 목표 프로필을 달성하기 위해 이전 단계에서 세운 계획을 실행하고 따르는 것이다. 목표 프로필은 조직이 선택한 기한이 있을 수도 있고 지속적인 프로세스로 남을 수도 있다.
이러한 단계들은 조직이 사이버 보안 위험 준비 태세를 지속적으로 개선하기 위해 원하는 만큼 반복될 수 있다.

 NIST CSF 티어 
CSF 티어는 조직의 사이버 보안 준비 상태와 위험 완화 능력을 특성화하고 평가한다. CSF 티어는 조직이 현재 어떤 수준의 사이버 보안 보호를 갖추고 있는지와 그 보호 이면의 프로세스를 파악하는 데 도움을 준다. 티어는 조직의 현재 및 목표 프로필을 수립하는 데 정보를 제공할 수 있다. 조직의 사이버 보안 위험 준비도를 설명하는 네 가지 티어가 있다. 이 네 가지 티어는 부분적(티어 1), 위험 인지(티어 2), 반복 가능(티어 3), 적응적(티어 4)이다. 티어는 점진적으로 높아지는 사이버 보안 위험 관리 수준을 설명함으로써 조직이 사이버 보안 관행을 어떻게 개선할 수 있는지에 대한 지침을 제공한다. 티어는 또한 조직 내의 모든 사람에게 선택된 사이버 보안 관행 수준을 알리는 데 사용될 수 있어, 직원들이 조직의 보안 목표를 인식하게 한다. 티어가 조직에 사이버 보안 준비 태세에 대한 전반적인 평가를 제공하기는 하지만, 티어는 조직 프로필을 대체하는 것이 아니라 보완하는 용도로 사용되어야 한다.

 업데이트 

2021년 NIST는 행정 명령(EO) 14028에 따라 기관의 운영 환경에서 배포된 EO 중요 소프트웨어의 사용을 더 잘 보호하기 위한 보안 조치의 개요를 담은 "EO 중요 소프트웨어" 사용에 대한 보안 조치를 발표했다.

 CSF 2.0으로의 여정 
NIST 사이버 보안 프레임워크는 기술 및 사이버 보안 위협의 변화에 발맞추고 모범 사례와 교훈을 통합하기 위해 시간이 지남에 따라 업데이트되고 개선되는 살아있는 문서(living document)를 지향한다. 2018년 버전 1.1을 출시한 이후, 이해관계자들은 CSF가 업데이트되어야 한다는 피드백을 제공해 왔다. 2022년 2월, NIST는 CSF를 개선하는 방법에 대한 정보 요청서를 발표했으며, 2023년 1월에는 제안된 변경 사항을 담은 개념 논문을 발표했다. 가장 최근에 NIST는 구현 사례가 포함된 'NIST 사이버 보안 프레임워크 2.0 코어 논의 초안'을 발표하고 2023년 11월 4일까지 대중의 의견을 제출해 줄 것을 요청했다.

 주요 변경 사항 
다음은 버전 1.1에서 2.0으로 오면서 프레임워크에 발생한 주요 변경 사항 목록이다.

 프레임워크의 제목이 "중요 기반 시설 사이버 보안 개선을 위한 프레임워크"에서 "사이버 보안 프레임워크"로 변경되었다. 프레임워크를 사용하는 대규모 조직 집단을 반영하여 프레임워크의 범위가 업데이트되었다.
 사용자가 CSF 하위 범주를 달성하는 데 도움이 되는 실용적이고 실행 중심적인 프로세스를 제공하기 위해 구현 사례가 추가되었다. 또한, 프로필의 다양한 목적을 보여주기 위해 프레임워크 프로필이 수정되고 확장되었다.
 사이버 보안 거버넌스 모델 개발과 관련된 조직적 맥락과 역할 및 책임을 제공하기 위해 새로운 기능인 '거버넌스(Govern)'가 추가되었다. 또한 이 기능에는 사이버 보안 공급망 위험 관리에 초점을 맞춘 추가 범주가 있다.
 최신 업데이트는 '식별(Identify)' 기능의 새로운 '개선(Improvement)' 범주를 통해 보안의 지속적인 개선에 더 큰 중요성을 부여함으로써 사이버 보안 평가에 대한 더 많은 정보를 제공한다.

 같이 보기 
 사이버 보안
 사이버 보안 표준
 디지털 프라이버시
 중요 기반 시설 보호
 ISO/IEC 27001:2013: 국제 표준화 기구의 정보 보안 표준
 COBIT: 정보 및 관련 기술에 대한 통제 목표 - ISACA의 관련 프레임워크
 NIST Special Publication 800-53: "연방 정보 시스템 및 조직을 위한 보안 및 프라이버시 통제"
 위험 관리 프레임워크 - 미국 연방에서 의무화한 위험 프레임워크 (사이버 보안보다 범위가 넓음)

 각주 

 외부 링크 
 
 Harnessing the Power of the NIST Cybersecurity Framework
 NISTIR 8374 (Draft): Cybersecurity Framework Profile for Ransomware Risk Management (Preliminary Draft)
 Informative References Home
 Derived Relationship Mapping
 Informative Reference Catalog

분류:기반 시설
분류:컴퓨터 보안 표준
분류:사이버 전쟁