NIST SP 800-12
더 많은 작업
NIST SP 800-12(An Introduction to Information Security)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 정보보안 입문 지침으로, 조직의 정보와 정보시스템을 보호하기 위한 기본 원칙, 보안 관리체계, 위험 관리, 보안 통제 및 운영상의 주요 개념을 종합적으로 설명하는 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-12는 정보보안의 기본 개념과 조직 차원의 보안 관리 원칙을 설명하기 위해 발행된 문서이다. 정보보안을 처음 접하는 사람이나 NIST의 보안 지침 체계에 익숙하지 않은 사람을 주요 독자로 상정하며, 기술적 보안 조치뿐 아니라 경영진의 책임, 조직 정책, 위험 관리 및 운영 절차까지 폭넓게 다룬다.[1]
이 문서의 핵심은 정보보안을 개별 기술이나 보안 솔루션의 집합이 아니라, 조직의 임무와 업무를 지속적으로 수행하기 위한 관리 활동으로 이해한다는 점이다.
정보보안은 조직의 목표를 달성하기 위한 수단이며, 보안 조치를 도입하는 것 자체가 최종 목적은 아니다. 따라서 조직은 보호해야 할 정보의 중요도, 예상되는 위협, 위험 수준, 운영 환경 및 비용을 고려하여 적절한 보안 대책을 선정해야 한다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-12 |
| 문서명 | An Introduction to Information Security |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 문서 유형 | 정보보안 기술 지침 |
| 최초 발행 | 1995년 10월 2일 |
| 개정판 | Revision 1 |
| 개정판 발행 | 2017년 6월 22일 |
| 주요 분야 | 정보보안 원칙, 위험 관리, 보안 정책, 보안 통제, 보안 운영 |
| 공식 문서 | NIST SP 800-12 Rev. 1 |
2026년 10월 22일 기준 NIST 공식 간행물 목록에서 확인되는 최종 발행본은 2017년 6월의 Revision 1이다.[2]
NIST SP 800-12는 1995년 10월 2일 An Introduction to Computer Security: The NIST Handbook라는 제목으로 처음 발행되었다.
초판은 Barbara Guttman과 Edward A. Roback이 작성했으며, 컴퓨터 보안에 필요한 관리적·운영적·기술적 통제를 종합적으로 소개하는 안내서의 성격을 가졌다.
전체 20개 장으로 구성되었으며, 보안 정책, 위험 관리, 사용자 관리, 사고 대응, 물리적 보안, 접근통제, 감사 및 암호화 등을 다루었다.[3]
2017년 6월 22일 Revision 1이 최종 발행되었다.
개정판은 문서명을 An Introduction to Information Security로 변경하고, 정보보안의 기본 원칙을 중심으로 내용을 재구성했다.
주요 변화는 다음과 같다.
- 컴퓨터 보안 중심의 설명을 정보 및 정보시스템 전반의 보안으로 확대.
- 조직의 임무와 위험 수준을 고려한 정보보안 원칙 강조.
- 조직 내 정보보안 역할과 책임을 보다 체계적으로 설명.
- 위협과 취약점의 관계 및 위험 관리 개념 정리.
- NIST의 위험 관리 프레임워크(RMF)와 관련 간행물 소개.
- 보안 통제와 개인정보 보호 통제의 주요 영역 소개.
개정판의 저자는 Michael Nieles, Kelley Dempsey, Victoria Yan Pillitteri이다.[2]
NIST SP 800-12 Revision 1의 제2장은 정보보안에 관한 8가지 핵심 원칙을 제시한다.[1]
정보보안은 조직의 임무와 업무 목표를 지원해야 한다.
보안 정책과 통제는 조직의 핵심 자산을 보호하고 업무를 안정적으로 수행하기 위한 수단이다. 보안 수준을 높이는 과정에서 업무 수행이 불필요하게 방해받지 않도록 조직의 목적과 시스템의 역할을 고려해야 한다.
정보보안은 정보기술 부서만의 책임이 아니라 조직 경영의 필수적인 구성 요소이다.
경영진은 조직이 감수할 수 있는 위험 수준을 결정하고, 보안 대책에 필요한 자원과 예산을 배분하며, 조직의 보안 관리 활동을 감독할 책임이 있다.
모든 정보시스템에 동일한 수준의 보안 조치를 적용하는 것은 적절하지 않을 수 있다.
조직은 정보와 시스템의 중요도, 예상 피해 및 위험 수준을 평가하여 이에 비례하는 보호 대책을 적용해야 한다.
보안 조치가 부족하면 사고 가능성과 피해가 커지지만, 필요 이상으로 복잡한 통제를 적용하면 비용과 운영 부담이 증가할 수 있다.
정보보안에 참여하는 구성원의 역할과 책임을 명확히 정의해야 한다.
시스템 소유자, 보안 담당자, 운영자, 경영진, 사용자 등의 책임이 불명확하면 보안 사고 발생 시 적절한 대응이 지연되거나 필요한 관리 활동이 누락될 수 있다.
정보시스템의 보안 책임은 조직 내부에만 한정되지 않는다.
다른 조직의 시스템과 연결되거나 외부 서비스 제공업체를 이용하는 경우에도 정보보안 책임이 발생한다.
특히 클라우드 컴퓨팅 환경에서는 클라우드 서비스 제공업체가 일부 보안 기능을 담당하더라도 이용 조직의 보안 관리 책임이 모두 사라지는 것은 아니다.
정보보안은 한 번 구축하면 완료되는 활동이 아니다.
시스템 구성, 업무 환경, 위협 및 취약점은 지속적으로 변화하므로 보안 통제의 적절성과 효과를 정기적으로 평가하고 모니터링해야 한다.
평가 결과에 따라 보안 대책을 수정하거나 새로운 통제를 도입할 수 있어야 한다.
정보보안은 기술적 조건뿐 아니라 사회적·문화적 환경의 영향을 받는다.
조직 구성원의 보안 인식, 개인정보 보호에 대한 기대, 업무 관행 및 법적 요구사항은 보안 대책의 수용성과 실효성에 영향을 줄 수 있다.
따라서 보안 정책은 기술적 효과뿐 아니라 조직과 사회의 특성을 고려하여 설계해야 한다.
NIST SP 800-12는 정보보안의 기본 목표로 기밀성, 무결성, 가용성을 제시한다.
이를 정보보안의 3요소 또는 CIA 트라이어드(CIA Triad)라고 한다.
| 요소 | 영문 | 의미 |
|---|---|---|
| 기밀성 | Confidentiality | 허가되지 않은 주체가 정보에 접근하거나 정보를 공개받지 못하도록 보호하는 것 |
| 무결성 | Integrity | 정보나 시스템이 허가되지 않은 방식으로 변경되거나 파괴되지 않도록 보호하는 것 |
| 가용성 | Availability | 정당한 사용자가 필요할 때 정보와 시스템에 적시에 안정적으로 접근할 수 있도록 보장하는 것 |
무결성은 데이터 무결성과 시스템 무결성으로 구분하여 설명한다.
- 데이터 무결성: 저장·처리·전송되는 데이터가 허가되지 않은 방식으로 변경되지 않는 성질.
- 시스템 무결성: 시스템이 의도된 기능을 손상 없이 수행하고 허가되지 않은 조작으로부터 보호되는 성질.
세 요소는 상호보완적이지만 서로 다른 보안 목표를 나타낸다.
예를 들어 정보가 외부에 유출되지 않더라도 데이터가 임의로 변조되면 무결성이 훼손된 것이며, 정보가 정확하고 안전하게 보관되어 있더라도 정상 사용자가 이용할 수 없다면 가용성이 훼손된 것이다.[1]
NIST SP 800-12의 제4장은 정보보안 위험을 이해하기 위해 위협 원천과 취약점을 구분한다.
- 위협 원천(Threat Source): 조직의 정보나 시스템에 부정적인 영향을 줄 수 있는 행위자 또는 상황.
- 취약점(Vulnerability): 위협 원천에 의해 악용될 수 있는 시스템, 보안 절차, 내부통제 또는 구현상의 약점.
- 위협 사건(Threat Event): 조직에 부정적인 결과를 초래할 가능성이 있는 사건이나 상황.
위협 원천은 적대적 위협과 비적대적 위협으로 구분할 수 있다.
적대적 위협에는 외부 공격자, 악의적인 내부자, 사기 및 절도, 악성코드 등이 포함된다.
비적대적 위협에는 사용자 실수, 소프트웨어 오류, 전력 공급 중단, 자연재해, 기반시설 장애 등이 포함된다.
이러한 구분은 정보보안이 외부 해킹 공격을 방어하는 활동에만 국한되지 않는다는 점을 보여준다.
NIST SP 800-12의 제3장은 정보보안 활동에 참여하는 조직 내 주요 역할을 설명한다.
| 역할 | 주요 책임 |
|---|---|
| 최고경영자(CEO) | 조직 전반의 정보보안 책임과 경영 활동에 보안 관리 통합 |
| 최고정보책임자(CIO) | 정보보안 정책과 절차의 수립·유지, 관련 자원 배분 및 관리 감독 |
| 정보보안 책임자 | 정보보안 프로그램 운영 및 관련 활동의 조정 |
| 위험 관리 책임 기능(Risk Executive Function) | 조직 전체 관점의 위험 관리 전략 수립과 위험 관리 활동 조정 |
| 인가 책임자(Authorizing Official) | 정보시스템 운영에 따른 위험을 검토하고 인가 여부 결정 |
| 시스템 소유자(System Owner) | 담당 시스템의 보안 요구사항과 통제 이행 관리 |
| 보안 통제 평가자(Security Control Assessor) | 보안 통제의 구현 상태와 효과 평가 |
| 시스템 관리자(System Administrator) | 시스템의 운영, 유지보수 및 기술적 보안 조치 수행 |
| 사용자(User) | 보안 정책과 절차를 준수하고 허가된 범위에서 시스템 이용 |
실제 조직에서는 규모와 업무 특성에 따라 여러 역할을 한 사람이 겸임하거나 역할 명칭을 다르게 사용할 수 있다.
중요한 것은 특정 직책의 명칭보다 필요한 보안 책임이 명확하게 배정되고 실제로 수행되는지 여부이다.[1]
NIST SP 800-12의 제5장은 정보보안 정책을 세 가지 유형으로 구분한다.
프로그램 정책(Program Policy)은 조직 전체의 정보보안 프로그램을 관리하기 위한 상위 정책이다.
조직의 보안 목표, 책임 체계, 정책 적용 범위, 관리 방향 등을 규정한다.
일반적으로 경영진의 승인과 지원을 바탕으로 수립되며, 하위 보안 정책과 절차의 기준이 된다.
특정 주제 정책(Issue-Specific Policy)은 특정 보안 문제나 업무 영역에 적용하는 정책이다.
예를 들어 다음과 같은 주제를 다룰 수 있다.
- 인터넷 및 전자우편 이용
- 개인 소유 단말기의 업무 사용
- 원격 접속
- 외부 저장매체 사용
- 소셜미디어 이용
- 기밀정보 및 개인정보 취급
정책에는 해당 주제에 대한 조직의 입장, 적용 범위, 책임, 준수사항 및 위반 시 조치 등을 명확히 규정할 수 있다.
시스템별 정책(System-Specific Policy)은 특정 정보시스템의 보안 요구사항과 운영 규칙을 정의한다.
시스템의 특성에 따라 접근 권한, 허용되는 작업, 보안 설정, 운영 절차 등을 구체적으로 정할 수 있다.
프로그램 정책이 조직 전체의 방향을 제시한다면, 시스템별 정책은 개별 시스템에서 이를 어떻게 적용할 것인지에 초점을 맞춘다.
NIST SP 800-12의 제6장은 정보보안 위험 관리의 개념과 NIST 위험 관리 프레임워크(RMF, Risk Management Framework)를 소개한다.
정보보안 위험은 일반적으로 위협 사건이 발생할 가능성과 그로 인해 발생할 수 있는 부정적인 영향을 함께 고려하여 평가한다.
위험 관리의 목적은 모든 위험을 제거하는 것이 아니라, 조직이 수용할 수 있는 수준으로 위험을 관리하는 것이다.
문서는 NIST SP 800-39에 제시된 조직 차원의 위험 관리 활동을 다음 네 가지로 설명한다.
- 위험 맥락 설정(Framing Risk): 위험을 평가하고 대응하기 위한 조직의 기준과 전략 수립.
- 위험 평가(Assessing Risk): 위협, 취약점, 발생 가능성 및 예상 영향을 분석.
- 위험 대응(Responding to Risk): 평가 결과에 따라 적절한 위험 대응 방안 선정 및 이행.
- 위험 모니터링(Monitoring Risk): 위험 수준과 대응 조치의 효과를 지속적으로 확인.
또한 2017년 개정판은 당시의 RMF를 다음 여섯 단계로 소개한다.
- 분류(Categorize)
- 선정(Select)
- 구현(Implement)
- 평가(Assess)
- 인가(Authorize)
- 모니터링(Monitor)
다만 이는 2017년 SP 800-12에 수록된 RMF 설명이다.
2018년 발행된 NIST SP 800-37 Revision 2에서는 기존 절차에 준비(Prepare) 단계를 추가하여 총 일곱 단계로 구성한다. 따라서 현재 RMF를 실제 적용할 때는 SP 800-12의 개괄적인 설명만 따르지 않고 SP 800-37의 해당 개정판을 확인해야 한다.[4]
보안 보증(Assurance)은 정보시스템과 보안 통제가 의도된 보안 요구사항을 충족한다는 신뢰를 확보하는 활동과 관련된다.
NIST SP 800-12의 제7장은 다음과 같은 요소를 다룬다.
- 시스템 운영 인가와 보안 보증의 관계
- 보안 공학과 시스템 설계 단계의 보안 고려사항
- 보안 및 개인정보 보호 통제 평가
- 감사 방법과 도구
- 보안 모니터링 방법과 도구
보안 통제가 존재한다는 사실만으로 충분한 보안 수준이 보장되는 것은 아니다.
조직은 통제가 올바르게 구현되었는지, 실제로 의도한 효과를 발휘하는지, 운영 과정에서 적절하게 유지되는지를 확인해야 한다.
NIST SP 800-12의 제9장은 암호화 기술의 기본적인 활용 목적과 구현 시 고려사항을 소개한다.
암호화 관련 기술의 주요 활용 영역은 다음과 같다.
- 데이터 암호화: 허가되지 않은 주체가 정보의 내용을 확인하지 못하도록 보호.
- 무결성 보호: 정보가 허가되지 않은 방식으로 변경되었는지 확인.
- 전자서명: 전자적 정보의 출처와 무결성을 검증하는 수단 제공.
- 사용자 인증: 암호학적 기술을 이용하여 사용자의 신원이나 인증정보를 검증.
또한 암호화 기술을 도입할 때는 알고리즘의 선택뿐 아니라 암호키 관리, 암호모듈의 안전성, 구현 방식, 네트워크 적용 환경 등을 고려해야 한다.
문서는 암호화의 기본 개념을 소개하는 수준이며, 구체적인 암호 알고리즘이나 암호키 관리 절차는 NIST SP 800-57 등 별도의 전문 간행물에서 다룬다.
NIST SP 800-12 Revision 1의 제10장은 정보보안 및 개인정보 보호와 관련된 20개 통제 영역(Control Family)을 소개한다.[1]
| 약어 | 통제 영역 | 주요 내용 |
|---|---|---|
| AC | 접근통제(Access Control) | 정보와 시스템에 대한 접근 권한 관리 |
| AT | 인식 제고 및 교육(Awareness and Training) | 사용자와 담당자의 보안 인식 및 교육 |
| AU | 감사 및 책임추적(Audit and Accountability) | 감사기록 생성, 관리 및 책임추적 |
| CA | 평가·인가 및 모니터링(Assessment, Authorization, and Monitoring) | 보안 통제 평가와 시스템 인가 및 모니터링 |
| CM | 구성 관리(Configuration Management) | 시스템 구성 및 변경 관리 |
| CP | 비상대응 계획(Contingency Planning) | 장애와 재해에 대비한 복구 및 연속성 확보 |
| IA | 식별 및 인증(Identification and Authentication) | 사용자 및 시스템의 식별과 인증 |
| IP | 개인 참여(Individual Participation) | 개인정보 처리와 관련된 개인의 참여 및 권리 |
| IR | 사고 대응(Incident Response) | 보안 사고의 탐지, 대응 및 처리 |
| MA | 유지보수(Maintenance) | 시스템 유지보수 활동의 보안 관리 |
| MP | 매체 보호(Media Protection) | 저장매체의 접근, 보관 및 폐기 관리 |
| PA | 개인정보 처리 인가(Privacy Authorization) | 개인정보 처리에 대한 인가 및 관련 관리 |
| PE | 물리적·환경적 보호(Physical and Environmental Protection) | 시설 및 물리적 환경의 보안 |
| PL | 계획(Planning) | 보안 계획 수립 및 관리 |
| PM | 프로그램 관리(Program Management) | 조직 차원의 보안 프로그램 관리 |
| PS | 인적 보안(Personnel Security) | 인력의 채용·이동·퇴직 등과 관련된 보안 관리 |
| RA | 위험 평가(Risk Assessment) | 위협과 취약점 및 위험 분석 |
| SA | 시스템 및 서비스 획득(System and Services Acquisition) | 시스템과 서비스의 도입·개발·조달 과정의 보안 |
| SC | 시스템 및 통신 보호(System and Communications Protection) | 시스템 경계와 통신 및 정보 전송 보호 |
| SI | 시스템 및 정보 무결성(System and Information Integrity) | 시스템과 정보의 무결성 유지 및 보호 |
이 표는 SP 800-12 Revision 1에 수록된 통제 영역을 기준으로 한다.
개별 통제의 상세한 요구사항과 통제 항목은 NIST SP 800-53에서 다룬다. 다만 SP 800-53은 이후 개정되었으므로, 최신 통제 영역과 항목을 확인할 때는 해당 문서의 현행 개정판을 기준으로 해야 한다.
NIST SP 800-12는 정보보안 전반을 소개하는 입문 지침이며, 개별 보안 영역의 상세한 요구사항이나 구현 절차를 모두 규정하는 문서는 아니다.
특정 분야의 실무적인 적용을 위해서는 다른 NIST 간행물을 함께 참고해야 한다.
| 문서 | 주요 관계 |
|---|---|
| NIST SP 800 시리즈 | SP 800-12가 속한 정보보안 특별간행물 시리즈 |
| NIST SP 800-30 | 정보보안 위험 평가 방법론 |
| NIST SP 800-37 | 위험 관리 프레임워크의 적용 절차 |
| NIST SP 800-39 | 조직 차원의 정보보안 위험 관리 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 항목 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 방법 |
| NIST SP 800-57 | 암호키 관리 |
| NIST SP 800-61 | 사이버보안 사고 대응 |
| NIST SP 800-137 | 정보보안 지속적 모니터링 |
특히 SP 800-12와 SP 800-53은 목적이 다르다.
SP 800-12는 정보보안의 기본 원칙과 보안 통제의 필요성을 설명하는 반면, SP 800-53은 조직과 시스템에 적용할 수 있는 구체적인 보안 및 개인정보 보호 통제 항목을 제시한다.
따라서 SP 800-12를 읽는 것만으로 SP 800-53의 보안 통제를 모두 이행한 것으로 볼 수는 없다.
NIST SP 800-12는 미국 연방정부의 정보보안 지침 체계에 기반하여 작성되었지만, 기본적인 정보보안 원칙은 민간기업, 교육기관, 연구기관 등 다양한 조직에서도 활용할 수 있다.
다만 이 문서는 정보보안에 관한 개괄적인 지침이며, 특정 조직에 적용되는 모든 법적·기술적 요구사항을 규정하지 않는다.
특히 다음과 같은 한계가 있다.
- 입문 지침: 구체적인 보안 통제 구현 방법이나 효과 검증 절차를 상세하게 제시하지 않는다.
- 개정 시점: Revision 1은 2017년에 발행되었으므로 이후 개정된 다른 NIST 간행물과 내용이 다를 수 있다.
- 기술 환경 변화: 최신 정보기술 환경에서 발생하는 모든 위협과 보안 기술을 포괄하는 문서는 아니다.
- 법적 적용 범위: 문서 자체가 모든 민간기업에 일률적인 법적 준수 의무를 부과하는 것은 아니다.
NIST는 해당 간행물이 보안 통제를 구현하는 상세한 단계나 통제 효과를 검증하는 절차를 제공하기보다는, 정보보안의 기본 원칙과 관련 통제 영역을 이해하기 위한 출발점으로 활용되도록 작성되었다고 설명한다.[1]
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 Michael Nieles, Kelley Dempsey, Victoria Yan Pillitteri, An Introduction to Information Security, NIST Special Publication 800-12 Revision 1, National Institute of Standards and Technology, 2017-06-22.
- ↑ 2.0 2.1 SP 800-12 Rev. 1, An Introduction to Information Security, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ Barbara Guttman, Edward A. Roback, An Introduction to Computer Security: The NIST Handbook, NIST Special Publication 800-12, National Institute of Standards and Technology, 1995-10-02.
- ↑ Joint Task Force, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, NIST SP 800-37 Revision 2, National Institute of Standards and Technology, 2018-12-20.