사이버보안 프레임워크
포스팅 뷰34
사이버보안 프레임워크(Cybersecurity Framework)란 무엇일까요?
- 정의 — 조직이 사이버 위험을 체계적으로 식별·관리할 수 있도록 안내하는 지침과 통제 항목의 모음입니다.
- 핵심 특징 — NIST CSF, ISO 27001, CIS Controls 등이 대표적이며, 합격·불합격을 가르는 '인증'과 달리 대부분 조직이 자율적으로 적용하는 가이드에 가깝습니다.
- 대응 — 프레임워크 자체는 인증서가 아니므로, 주기적인 자가 성숙도 진단과 ISMS-P 같은 법정 인증을 함께 운영하는 것이 중요합니다.
사이버보안 프레임워크란 조직이 보안 위험을 식별·보호·탐지·대응·복구하는 전 과정을 공통된 기준으로 관리할 수 있도록 만든 지침 체계를 말합니다.
사이버보안 프레임워크란?
사이버보안 프레임워크(Cybersecurity Framework)는 조직마다 제각각이던 보안 활동을 한 가지 공통된 언어와 구조로 정리한 지침입니다. '무엇을 자산으로 봐야 하는지', '위험을 어떻게 평가하는지', '사고가 났을 때 어떤 순서로 대응하는지' 같은 질문에 표준화된 답을 제공해, 조직 규모나 업종이 달라도 같은 기준으로 보안 수준을 말할 수 있게 해줍니다.
프레임워크는 법으로 강제되는 '인증'과는 다릅니다. ISMS-P나 ISO 27001 인증은 외부 심사기관이 통제 항목을 심사해 합격·불합격을 판정하지만, NIST CSF 같은 프레임워크는 대부분 자율적으로 채택해 스스로의 성숙도를 진단하는 도구에 가깝습니다. 다만 ISO 27001처럼 프레임워크이면서 동시에 인증 대상이 되는 경우도 있어, 실무에서는 두 개념이 겹쳐 쓰이기도 합니다.
대표적인 사이버보안 프레임워크
전 세계적으로 통용되는 프레임워크는 여러 종류가 있으며, 성격과 쓰임이 조금씩 다릅니다.
| 프레임워크 | 발행 주체 | 성격 |
|---|---|---|
| NIST CSF 2.0 | 미국 국립표준기술연구소 | 6개 기능 중심의 범용 위험관리 지침 |
| ISO/IEC 27001 | 국제표준화기구 | 정보보호관리체계 국제 표준(인증 겸용) |
| CIS Controls | CIS(Center for Internet Security) | 실무 통제 항목 중심의 우선순위 목록 |
| ISMS-P | 한국인터넷진흥원(KISA) | 국내 법정 정보보호·개인정보보호 인증 |
NIST CSF 2.0의 6가지 핵심 기능
가장 널리 쓰이는 NIST CSF는 2024년 2.0 버전에서 '거버넌스' 기능이 새로 추가되며 5개에서 6개 기능으로 확장됐습니다. 전략과 책임 체계 없이는 나머지 다섯 기능도 제대로 작동하기 어렵다는 문제의식이 반영된 변화입니다.
프레임워크와 인증의 차이
두 개념은 자주 혼동되지만, '누가 판정하는가'에서 분명한 차이가 있습니다.
| 구분 | 프레임워크 | 인증(ISMS-P 등) |
|---|---|---|
| 적용 방식 | 자율적으로 채택·참고 | 법령·계약에 따라 의무화되는 경우가 많음 |
| 판정 결과 | 성숙도 단계(예: 초기~고도화) | 합격·불합격, 인증서 발급 |
| 심사 주체 | 조직 스스로 자가 진단 | 외부 심사기관의 공식 심사 |
대표 사례 — Equifax 데이터 유출(2017)과 프레임워크 공백
미국 신용평가사 Equifax의 2017년 사고는 프레임워크의 각 기능이 왜 함께 작동해야 하는지를 보여주는 대표적인 사례입니다. 2017년 3월 7일 공개된 Apache Struts 취약점(CVE-2017-5638)의 패치가 적용되지 않은 채 약 2개월이 지난 5월 12일부터 공격자의 침투가 시작됐습니다. 침투는 76일 동안 발견되지 않았고, 7월 29일에야 이상 징후가 포착됐습니다. 미국에서만 1,400만 명이 넘는 개인정보가 유출됐고, 사고 공개도 발견 후 약 한 달이 더 지난 9월 7일에야 이뤄졌습니다.
2019년 7월 발표된 합의에서 Equifax는 피해자 보상, 주 정부 배분금, 벌금 등을 합쳐 총 5억 7,500만 달러를 부담하기로 했습니다. 사고 이후에는 CEO와 최고정보보안책임자(CISO)가 교체됐고, 이사회에 사이버보안 전문가가 새로 영입되는 등 거버넌스 체계 자체를 재정비하는 조치가 뒤따랐습니다.
패치 관리는 '보호' 기능, 76일간의 미탐지는 '탐지' 기능, 뒤늦은 공개는 '대응' 기능의 공백을 보여줍니다. 사고 이후 이사회에 보안 전문가를 영입한 조치는 결국 가장 상위에 있는 '거버넌스' 기능이 먼저 갖춰져야 나머지 기능도 작동한다는 것을 보여준 사례로 꼽힙니다.Wikipedia
국내 동향 — 금융보안원의 '보안 수준진단 프레임워크'
국내에서도 세세한 행위 규칙 중심의 규제에서 벗어나, 원칙 중심의 자율보안 체계로 전환하려는 움직임이 나타나고 있습니다. 금융보안원은 NIST CSF와 글로벌 금융보안 표준 진단 도구인 CRI Profile을 토대로, 국내 전자금융거래법령과 ISMS-P 내용을 더한 '보안 수준진단 프레임워크'를 개발했습니다.
| 구성 요소 | 내용 |
|---|---|
| 진단 영역 | 7개 분야(거버넌스·식별·보호·탐지·대응·복구·공급망), 45개 항목, 127개 세부 원칙 |
| 등급 체계 | 초기 → 기반 → 발전 → 고도화의 4단계 성숙도 |
| 일정 | 2025년 12월 가이드 발표, 2026년 3월 진단 서비스 개시 예정 |
체크리스트로 합격·불합격만 가리던 기존 방식과 달리, 현재 수준(As-Is)과 목표 수준(To-Be)을 함께 제시해 금융회사가 스스로 개선 방향을 설계하도록 돕는 것이 특징입니다.보안뉴스
실무 체크포인트 — 프레임워크 도입
프레임워크는 도입 자체보다, 우리 조직의 현실에 맞게 운영하는 것이 더 중요합니다.
프레임워크의 '식별' 기능은 결국 우리 조직 어디에 중요한 문서와 데이터가 있는지 아는 것에서 출발합니다. 오피스키퍼는 정보유출방지(DLP)와 문서중앙화로 문서의 소재와 이동 경로를 가시화해, 프레임워크의 식별·보호 기능을 실제 업무 환경에서 구체적으로 구현하는 데 도움을 줍니다.
자주 묻는 질문
Q. 사이버보안 프레임워크와 ISMS-P 인증 중 무엇부터 해야 하나요?
A. 법적으로 ISMS-P 인증 대상이라면 인증 취득이 우선입니다. 프레임워크는 그 바탕 위에서 인증 항목으로 다 담기지 않는 전사적 위험 관리 체계를 보완하는 역할로 이해하면 됩니다. 둘은 경쟁 관계가 아니라 보완 관계에 가깝습니다.
Q. 프레임워크를 도입하면 인증서가 나오나요?
A. 아닙니다. NIST CSF 같은 프레임워크는 대부분 공식 인증서를 발급하지 않는 자율 참고 지침입니다. 다만 ISO 27001처럼 프레임워크 요구사항을 기반으로 외부 심사를 거쳐 인증서를 받는 경우도 있어 개별 확인이 필요합니다.
Q. 중소기업도 사이버보안 프레임워크가 필요한가요?
A. 규모가 작다고 필요 없는 것은 아닙니다. 다만 대기업처럼 모든 항목을 완벽히 갖추기보다, CIS Controls의 우선순위 높은 항목부터 적용하는 등 조직 규모에 맞는 범위를 선택하는 것이 현실적입니다.
Q. NIST CSF 2.0에서 '거버넌스'가 왜 새로 추가됐나요?
A. 식별·보호·탐지·대응·복구를 아무리 잘 갖춰도, 이를 책임질 역할과 의사결정 체계가 없으면 실행이 흔들리기 쉽다는 문제의식 때문입니다. Equifax 사례처럼 사고 이후 이사회 차원의 거버넌스 개혁이 뒤따른 경우가 많아, 2.0 버전에서는 거버넌스를 다른 다섯 기능을 뒷받침하는 기반으로 명시했습니다.
Q. 여러 프레임워크를 동시에 적용해도 되나요?
A. 가능합니다. 실제로 금융보안원의 '보안 수준진단 프레임워크'도 NIST CSF와 CRI Profile을 토대로 국내 법령·ISMS-P 내용을 더해 만들어졌습니다. 여러 체계를 참고해 우리 조직에 맞게 재구성하는 것이 일반적인 방식입니다.
프레임워크의 '식별'과 '보호', 오피스키퍼가 문서 단에서부터 구현해 드립니다.
제품소개서 신청하기