보안 프레임워크가 뭐예요?
보안 프레임워크(Security Framework, NIST CSF 중심)를 이웃 나라 현자들이 정리한 성 지키기 다섯 기둥과 지붕 이야기로 풀어봤어요.
성 지키는 일이 너무 많아요. 뭘 빠뜨렸는지 아무도 몰라요.경비실, 경비견, 판자, 여분 상자… 다 따로따로 열심히 해요. 그런데 목록이 없어요.
한쪽만 두꺼운 성이 돼요. 넘어온 도둑을 아무도 못 알아채요.성벽만 높이면 종이 없고, 종만 달면 여분 상자가 없어요. 빠진 자리는 도둑이 제일 먼저 찾아요.
보안 프레임워크는 현자들이 정리한 성 지키기 다섯 기둥이에요.알기, 막기, 알아채기, 쫓아내기, 되돌리기. 그리고 지붕은 다스리기 — 누가 책임지고 어떤 규칙으로 할지예요. 기둥 하나라도 빠지면 지붕이 기울어요.
기둥마다 우리 성은 몇 점인지 세요. 제일 낮은 기둥부터 세워요.알기는 바깥에서 문 세기와 틈 장부, 알아채기는 큰 화면과 경비견, 쫓아내기는 순서표, 되돌리기는 여분 상자예요.
현자들의 책은 여러 권이에요. 하나 골라 우리 성을 비춰 봐요.도장 찍힌 책은 검사관이 확인해 줘요. 지붕은 성의 규칙 책, 어느 기둥부터 세울지는 위험 저울이 정해요. 점수가 나아지는지는 숫자로 봐요.
보안 프레임워크 = 현자들이 정리한 성 지키기 다섯 기둥(알기·막기·알아채기·쫓아내기·되돌리기)과 지붕(다스리기). 기둥마다 점수를 매기고 빠진 기둥부터 세워요.
Security Framework. NIST CSF 2.0은 Govern·Identify·Protect·Detect·Respond·Recover 여섯 기능으로 보안 활동을 정리하고, ISO 27001은 인증, CIS Controls는 우선순위 있는 통제 목록을 제공해요. 갭 분석으로 현재 성숙도를 재고, 위험에 따라 통제를 우선순위화해요.
어른들은 이렇게 불러요
- 다섯 기둥
NIST CSF - 이웃 나라 현자들의 성 지키기 책. 다스리기·알기·막기·알아채기·쫓아내기·되돌리기, 여섯 기능. 2.0에서 다스리기(지붕)가 더해졌어요.
- 도장 찍힌 책
ISO 27001 - 검사관이 도장을 찍어 주는 책. 규칙대로 하는지 남이 확인해 줘요. → 검사관의 도장
- 열여덟 가지 할 일
CIS Controls - 먼저 할 일 순서표. 뭐부터 할지 정해진 목록이에요. 작은 성도 바로 시작할 수 있어요.
- 통제
Control - 기둥을 받치는 벽돌 하나. 종, 자물쇠, 여분 상자처럼 손에 잡히는 장치 하나하나예요.
- 성숙도
Maturity - 기둥 점수. 0점(없음)부터 5점(늘 하고, 재고, 고치는 중)까지.
- 갭 분석
Gap analysis - 빠진 기둥 찾기. 책과 우리 성을 나란히 놓고 빈 자리를 세요.
- 다스리기
Governance - 지붕. 누가 책임지고 어떤 규칙으로 할지. → 성의 규칙 책
- 위험
Risk - 어느 기둥부터 세울지 정하는 저울. 점수가 낮아도 도둑이 안 노리는 기둥은 나중에. → 위험 저울