NIST
더 많은 작업
- 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)
1901년부터 1988년까지 국립표준국(NBS, National Bureau of Standards)이라고 알려진 측정 표준 실험실로 미국 상무부 산하의 비규제 기관
NIST는 1901년에 설립되어 현재 미국 상무부(Department of Commerce)에 속한 연구 기관이다. 미국에서 가장 오래된 물리과학 연구소 가운데 하나로, 처음에는 도량형과 측정 표준을 맡았고 지금은 측정 과학, 공학, 정보기술까지 폭넓게 다룬다. 규제 권한이 없는 기관이므로 NIST가 만든 문서는 그 자체로 민간에 강제되지 않는다. 다만 연방 법률과 정책이 연방 기관에 NIST 표준과 지침을 따르도록 요구하기 때문에, 연방 정부와 그 공급망에서는 사실상 의무 기준이 된다.
정보보안 분야는 NIST 정보기술연구소(ITL, Information Technology Laboratory)의 컴퓨터 보안 부서가 주로 맡고, 간행물은 컴퓨터 보안 자료 센터(CSRC, Computer Security Resource Center) 누리집에서 공개한다. 연방 정보보안 관리법(FISMA)은 연방 정보시스템에 대한 표준과 지침을 만드는 역할을 NIST에 맡기고 있다. 미국 연방 기관만을 위한 문서로 출발했지만 무료로 공개되고 내용이 체계적이어서 전 세계 민간 기업과 다른 나라 정부도 참고 기준으로 널리 쓴다. CISSP 시험도 용어와 절차의 상당 부분을 NIST 문서에 기대고 있다.
| 계열 | 성격 | 구속력 | 예 |
|---|---|---|---|
| FIPS (Federal Information Processing Standards) | 연방 정보처리 표준. 상무부 장관이 승인한다. | 연방 기관에 의무 | FIPS 140-3, FIPS 197, FIPS 199 |
| SP 800 (Special Publication 800) | 컴퓨터·정보보안 지침과 권고 | 연방 기관은 정책상 따르도록 요구받는 경우가 많다. 민간은 자율 | SP 800-53, SP 800-37, SP 800-61 |
| SP 1800 | 실천 가이드(practice guide). 국립 사이버보안 우수센터(NCCoE)가 상용 제품으로 구현 예를 보여 준다. | 자율 | 특정 보안 문제의 참조 구현 |
| NIST IR (Interagency/Internal Report) | 연구 결과, 기술 보고, 개념 정리 | 자율 | 용어집, 기술 분석 보고서 |
| CSWP (Cybersecurity White Paper) | 사이버보안 백서. 프레임워크나 새 개념을 발표한다. | 자율 | CSWP 29(사이버보안 프레임워크 2.0) |
| ITL Bulletin | ITL의 소식지. 주요 문서를 요약 소개한다. | 해당 없음 | - |
문서는 개정판을 "Rev."로 표시한다(예: SP 800-53 Rev. 5). 개정판이 나오면 이전 판은 일정 기간 뒤 철회(withdrawn)되므로, 인용할 때는 현행판인지 확인해야 한다. 예를 들어 매체 완전 삭제 지침 SP 800-88 Rev. 1은 2025년 9월 Rev. 2가 나오면서 철회되었다.
| 문서 | 제목(요지) | 현행판 발행 | CISSP 관련 영역 |
|---|---|---|---|
| NIST 사이버보안 프레임워크(CSF 2.0, CSWP 29) | 사이버보안 성과의 분류 체계. 거버넌스·식별·보호·탐지·대응·복구의 6개 기능 | 2024년 2월 26일 | 1 보안 및 위험 관리 |
| SP 800-53 Rev. 5 | 정보시스템과 조직을 위한 보안·개인정보 통제 카탈로그 | 2020년 9월(이후 갱신) | 1, 2, 3, 7 |
| SP 800-53A Rev. 5 | 보안·개인정보 통제 평가 방법(검사·면담·시험) | 2022년 1월 | 6 보안 평가 및 테스트 |
| SP 800-37 Rev. 2 | 위험 관리 프레임워크(RMF). 준비·분류·선정·구현·평가·인가·모니터링 | 2018년 12월 | 1 |
| SP 800-30 Rev. 1 | 위험 평가 수행 지침 | 2012년 9월 | 1 |
| SP 800-34 Rev. 1 | 연방 정보시스템 비상 계획(contingency planning) 지침 | 2010년 5월 | 7 보안 운영 |
| SP 800-61 Rev. 3 | 침해사고 대응 권고. CSF 2.0 커뮤니티 프로파일 형태 | 2025년 4월 | 7 |
| SP 800-63-4 | 디지털 신원 지침(신원 증명, 인증, 연합) | 2025년 7월 | 5 신원 및 접근 관리 |
| SP 800-88 Rev. 2 | 매체 완전 삭제(media sanitization) 지침 | 2025년 9월 | 2 자산 보안 |
| SP 800-137 | 정보보안 지속적 모니터링(ISCM) | 2011년 9월 | 1, 7 |
| SP 800-161 Rev. 1 | 사이버보안 공급망 위험 관리(C-SCRM) | 2022년 5월(이후 갱신) | 1 |
| SP 800-160 Vol. 1 Rev. 1 | 신뢰할 수 있는 보안 시스템 공학 | 2022년 11월 | 3 보안 아키텍처 및 엔지니어링 |
| SP 800-207 | 제로 트러스트 아키텍처 | 2020년 8월 | 3, 4, 5 |
| SP 800-218 | 보안 소프트웨어 개발 프레임워크(SSDF) 1.1 | 2022년 2월 | 8 소프트웨어 개발 보안 |
| SP 800-115 | 정보보안 시험·평가 기술 지침 | 2008년 9월 | 6 |
| FIPS 199 | 연방 정보·정보시스템의 보안 분류(기밀성·무결성·가용성별 낮음·중간·높음) | 2004년 2월 | 1, 2 |
| FIPS 200 | 연방 정보시스템의 최소 보안 요구사항 | 2006년 3월 | 1 |
| FIPS 140-3 | 암호 모듈 보안 요구사항 | 2019년 3월 22일 | 3 |
| FIPS 197 | 고급 암호 표준(AES) | 2001년 11월 26일(2023년 5월 갱신) | 3 |
| FIPS 186-5 | 전자서명 표준(DSS) | 2023년 2월 3일 | 3 |
| FIPS 203 | 모듈 격자 기반 키 캡슐화 메커니즘(ML-KEM) | 2024년 8월 13일 | 3 |
| FIPS 204 | 모듈 격자 기반 전자서명(ML-DSA) | 2024년 8월 13일 | 3 |
| FIPS 205 | 상태 비저장 해시 기반 전자서명(SLH-DSA) | 2024년 8월 13일 | 3 |
FIPS 203, 204, 205는 NIST가 진행한 양자 내성 암호 표준화의 첫 결과물이다. 양자 컴퓨터가 RSA와 타원 곡선 암호를 깰 수 있게 될 경우에 대비해, 키 교환과 전자서명을 새 알고리즘으로 옮기는 기준이 된다.
- 위험 관리 흐름: FIPS 199로 시스템을 분류하고, FIPS 200과 SP 800-53 기준선으로 통제를 고르고, SP 800-37의 RMF 절차로 구현·평가·인가·모니터링한다. 위험 평가 방법은 SP 800-30이다.
- 통제 평가: SP 800-53A의 검사(examine)·면담(interview)·시험(test) 세 방법이 보안 통제 평가 문제의 기준이다.
- 침해사고 대응: SP 800-61. 이전 판(Rev. 2)의 준비, 탐지·분석, 봉쇄·제거·복구, 사후 활동 4단계 생애주기가 오래 쓰였고, Rev. 3은 이를 CSF 2.0 기능에 맞춰 다시 정리했다. 자세한 절차는 침해사고 대응절차를 참고한다.
- 신원과 인증: SP 800-63-4. 신원 보증 수준(IAL), 인증자 보증 수준(AAL), 연합 보증 수준(FAL)과 피싱 내성 인증이 핵심이다.
- 매체 폐기: SP 800-88의 삭제(clear)·제거(purge)·파괴(destroy) 구분은 완전 삭제 문제의 정답 기준이다.
- 제로 트러스트: SP 800-207의 정책 결정 지점(PDP)과 정책 집행 지점(PEP) 구조는 제로 트러스트와 정책 결정 지점 문제에 나온다.
- 암호: FIPS 140-3(암호 모듈 검증의 기준, 암호 모듈 검증 참고), FIPS 197(AES), FIPS 203~205(양자 내성 암호).
- 산업제어시스템 보안은 NIST 800-82 문서를 참고한다.
- NIST는 비규제 기관이다. 문서가 민간에 법적 의무가 되는 것은 법률·계약이 인용할 때뿐이다. 연방 기관에는 FIPS가 의무이다.
- FIPS는 "표준"(의무), SP 800은 "지침"(권고)이다. 둘의 구속력 차이를 묻는 문제가 나온다.
- 보안 분류(FIPS 199) → 통제 선정(SP 800-53) → 위험 관리 절차(SP 800-37) → 통제 평가(SP 800-53A)의 연결을 기억한다.
- 문서 번호와 주제를 짝지어 둔다: 800-30 위험 평가, 800-34 비상 계획, 800-61 사고 대응, 800-63 디지털 신원, 800-88 매체 삭제, 800-207 제로 트러스트.
- 판이 바뀐 문서는 현행판 기준으로 답한다. SP 800-88은 Rev. 2, SP 800-63은 4판, SP 800-61은 Rev. 3이 현행이다.