기술 지원
문서
로그인
문의하기
NIST 사이버 보안 프레임워크 2.0에 대해 지금까지 알려진 사실
2022년 12월 28일 TuxCare 홍보팀
프레임워크는 사이버 보안 문제가 복잡하고 많은 조직이 사이버 보안 운영에 대한 구조가 거의 없기 때문에 사이버 보안에 효과적인 도구입니다.
2014년에 도입된에 도입된 NIST 사이버 보안 프레임워크(CSF)는 기업이 IT 시스템의 보안을 구성하고 개선할 수 있는 구체적인 단계를 제공합니다.. 그러나 사이버 보안에 있어 8년은 긴 시간이며, CSF는 대대적인 업데이트가 예정되어 있습니다. CSF 2.0에서는 무엇이 변경되며, 새로운 프레임워크는 얼마나 남았나요?
이 글에서는 NIST의 정보 요청(RFI)에 대한 응답을 살펴보고 다음 단계에 대해 논의합니다.
CSF를 새로 고쳐야 하는 이유는 무엇인가요?
버전 1.0부터 NIST 사이버 보안 프레임워크는 변화하는 사이버 보안 환경에 적응하기 위한 문서였기 때문에, 다소 늦은 감이 있지만 마침내 변화가 진행되고 있는 것은 놀라운 일이 아닙니다.
마지막 업데이트는 2018년 4월에 있었던 CSF 1.1로, 이는 마이너 업데이트였습니다. 식별, 보호, 감지, 대응, 복구와 같은 핵심 '기능'을 포함한 CSF의 주요 요소는 그대로 유지되었습니다. 그러나 1.1 버전에서는 프레임워크의 적용 범위를 사물 인터넷(IoT) 및 운영 기술(OT)로 확장했습니다. 1.1 업데이트에는 공급망 보안에 대한 강조도 포함되었습니다.
거의 4년이 지난 지금, 변화하는 기술 및 보안 환경을 반영하기 위해 CSF에 대대적인 개편이 필요하다는 것이 분명해졌습니다.. 그래서 2022년 2월 22일, NIST는 일반 대중을 대상으로 제안요청서(RFI)를 발표했습니다. 130건의 응답이 접수되었고 6월에 NIST는 요약본을 발표했습니다..
지금까지의 제안
NIST는 130건의 응답을 바탕으로 몇 가지 주요 주제를 확인했는데, 처음 몇 가지 주제는 사이버보안 프레임워크의 첫 번째 버전이 얼마나 효과적인지 조명하는 경향이 있다는 점이 흥미롭습니다. "RFI 응답자들은 CSF가 조직이 사이버 보안 위험을 이해하고 관리하는 데 효과적인 여러 가지 방법을 강조했습니다..."NIST에 따르면
응답자들은 CSF의 기존 주요 속성을 구축하는 데 초점을 맞추고, CSF가 NIST의 광범위한 노력(예: 더 많은 맵핑 OLIR) 및 외부 조직의 노력(예 ISO 27000).
또한 조직들은 CSF 1.0과 1.1의 기술 및 벤더 중립적 입장으로 인해 세부 사항과 구체성이 부족했기 때문에 프레임워크에 더 많은 구현 지침이 포함되기를 원했습니다.
또 다른 핵심 주제는 성과 평가에 더 중점을 두는 것에 관한 것이었습니다.. 이해관계자들은 사이버 보안 위험을 벤치마킹하기 위한 측정 및 메트릭에 대한 지침을 제공하고 CSF 성과가 달성된 수준을 측정해 달라고 NIST에 요청했습니다.
공급망 위험에 대한 고려도 피드백에서 드러났습니다. 응답자들은 공급업체 관계 관리에 대한 지침, 공급망의 위험을 분석할 수 있는 도구, 조직의 공급망 위험 대응에 도움이 되는 모델을 원했습니다.
CSF 2.0의 다음 단계
NIST의 요약 분석은 시작에 불과하며, 바람의 방향이 어느 방향으로 불고 있는지는 알 수 있지만 NIST가 CSF 2.0의 제안에 어떻게 대응할지는 아직 알 수 없습니다.
NIST는 버전 2.0을 발표하기 위한 로드맵에 대해 상대적으로 거의 알려지지 않았습니다.에 대한 로드맵에 대해 비교적 적게 언급했으며, 가장 최근의 주요 단계는 9월 워크숍이었습니다. 그럼에도 불구하고 버전 2.0은 다음과 같이 잘 진행되고 있는 것으로 보입니다. 수많은 이해관계자와의 논의를 통해.
CSF 2.0의 초안도 없고 최종 버전에 대한 마감 기한도 없으므로 새 버전이 게시될 때까지 기다리는 것 외에 할 수 있는 일이 없다고 생각할 수 있습니다. 하지만 틀린 생각입니다..
사이버 보안 세계는 2014년 이후로 발전해 왔으며, 2014년의 NIST 프레임워크는 여전히 귀중한 교훈을 담고 있습니다, 사이버 보안 체제는 지속적으로 적응해야 합니다..
NIST 자문 프로세스에 대한 의견은 어느 정도의 지침을 제공하지만, 조직의 자산을 안전하게 보호해야 하는 사이버 보안 팀은 자체 모니터링과 연구를 통해 트렌드에 적응하는 데 집중해야 합니다.
항상 풍경 모니터링
예를 들어 공격 표면의 변화를 생각해 보세요. 2014년에는 원격 근무가 사이버 보안에 미치는 영향이 2022년보다 훨씬 적었습니다. 또한 지난 10여 년 동안 다양한 새로운 사이버 보안 도구가 등장했으며, 그중 일부는 진정한 게임 체인저라고 할 수 있습니다.
TuxCare의 주요 서비스 중 하나인 라이브 패치는 2014년에 작성된 사이버 보안 프레임워크에서 피상적으로 언급되었을 뿐인 도구 중 하나입니다. 물론 오늘날 라이브 패치는 모든 최신 조직의 사이버 보안 도구 세트에서 강력한 구성 요소입니다.
기술 자산을 성공적으로 방어하기 위해서는 항상 앞서 나가는 것이 중요합니다. NIST CSF 2.0은 사이버 범죄와의 싸움에서 큰 진전이 될 것으로 기대합니다. 그 동안 사이버 보안 환경을 주시하고 조직에서 실시간 패치를 포함한 최첨단 도구를 사용하고 있는지 확인하세요.
