[KISA Insight 2024 Vol.06] 미국 NIST 사이버보안 프레임워크 2.0(Cybersecurity Framework 2.0) 주요 내용과 시사점
Security ISMS 2025. 4. 15. 09:38
□ 미국의 주요 사회기반시설에 대한 사이버 공격 시도가 국가 경제와 안보에 미칠 위협에 대비하기 위해 대통령 행정명령을 발표하고 사이버보안 프레임워크를 개발
○ 오바마 행정부는 「국가 주요 기반시설의 사이버 위협 대응 강화」를 위한 행정명령(EO 13636, ’13.2월)을 발표하고, NIST는 동 행정명령에 따라 정부, 민간 부문과 협력하여 주요 기반시설의 사이버 보안 개선을 위한 프레임워크(Cybersecurity Framework 1.0, CSF 1.0) 개발
- 프레임워크는 코어, 프로필, 구현 계층의 세 부분으로 구성되어 있으며, 비즈니스 관점에서 사이버보안 활동을 계획하고 조직의 위험 관리 프로세스의 일부로 사이버보안 위험을 고려
○ 이후 트럼프 행정부는 「연방 네트워크와 주요 기반시설의 사이버보안 강화」를 위한 행정명령 (EO 13800, ’17.5월)을 통해 정부 기관의 사이버보안 위험 관리에 CSF 도입을 의무화
- NIST는 연방 기관의 프레임워크 도입 및 활용을 위한 8가지 구현 지침을 게시하고 (’17.5월), 기반시설 외의 조직에 프레임워크 적용 확대를 위한 개선안(CSF 1.1, ’18.4월) 발표
- 프레임워크를 활용한 조직의 사이버보안 위험 자체평가, 사이버 공급망 위험관리 범주 추가 등 업데이트 NIST는 사이버보안 환경변화와 국내외 활용 수요를 반영하고자 다양한 부문의 의견 수렴을 통해 사이버보안 프레임워크를 업데이트하여 공개(CSF 2.0, ’24. 2월)
○ CSF 2.0은 기존 프레임워크의 적용 범위를 확대하고, 핵심 기능 개편, 구현 사례제공 등 개선
- ‘사이버보안 주요 인프라 개선을 위한 프레임워크’를 ‘사이버보안 프레임워크’로 명칭 변경
○ ▲적용범위 확대(주요 기반시설 → 모든 조직), ▲거버넌스 강조(‘관리 govern’ 기능 추가) 및 공급망 위험관리 강화, ▲분류항목 업데이트(23개의 카테고리를 22개로, 108개의 세분류를 106개로 조정)
○ 더불어 NIST 웹사이트를 통해 ▲참조 정보, ▲구현 사례, ▲퀵 스타트 가이드 등 소규모 조직이나 조직 내 특정 부문에서 CSF 도입 및 구현에 필요한 정보를 게시하고, 정기적으로 업데이트
□ CSF 2.0을 활용하여 조직의 사이버보안 위험 관리를 개선․효율화하고, 위험 관리체계에 사이버보안 위험 관리를 통합하며, 새로운 ICT 기술 환경에 적용할 수 있는 보안 프레임워크 제공
Ⅰ 개발 배경
1-1. 사이버보안 프레임워크 개발(CSF 1.0)
1-2. 사이버보안 프레임워크 개선(CSF 1.1)
Ⅱ 사이버보안 프레임워크 2.0 주요 내용
2-1. 개요 3
2-2. CSF 구성 요소(코어, 조직 프로필, 구현 계층)
2-3. 온라인을 통한 정보 제공
Ⅲ 사이버보안 위험정보 공유체계 및 통합 개선
3-1. 위험 관리 정보공유 개선
3-2. 위험 관리 프로그램과 통합 개선
3-3. 국내 정보보호 프레임워크와 비교
Ⅳ 시사점
4-1. 조직의 사이버보안 위험 관리 개선 및 효율화
4-2. 조직의 고유한 사이버보안 관리체계와의 조화
4-3. 새로운 ICT 기술환경에 적용할 수 있는 보안 프레임워크 제공
https://www.kisa.or.kr/20301/form?postSeq=28&lang_type=KO#funcClicked
KISA 한국인터넷진흥원
안녕하세요. "[KISA Insight 2024 Vol.06] 미국 NIST 사이버보안 프레임워크 2.0(Cybersecurity Framework 2.0) 주요 내용과 시사점" 발간되었습니다. 아래의 파일을 다운로드 및 열람하실 수 있습니다. 감사합니다
www.kisa.or.kr
'Security ISMS' 카테고리의 다른 글
| 관리적 보안과 물리적 보안 (0) | 2025.03.25 |
|---|---|
| ISMS 수립 방법론 (0) | 2025.03.25 |
| 정보보호 관리체계(ISMS) 15개 통제항목 (0) | 2025.03.25 |
| 정보보호 관리체계(ISMS) 심사 세부 기준 (0) | 2025.03.25 |
| 정보보호 관리체계 인증(ISMS) 이란 무엇인가? (0) | 2025.03.25 |
