NIST SP 800-137
더 많은 작업
NIST SP 800-137(Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations)은 미국 NIST(National Institute of Standards and Technology, 국립표준기술연구소)가 발행한 정보보안 지속적 모니터링 지침으로, 조직의 자산·위협·취약점·보안 통제 효과성을 지속적으로 파악하여 위험 기반 의사결정을 지원하는 전략과 운영체계를 제시하는 특별간행물이다.
NIST SP 800-137은 조직이 정보보안 상태를 지속적으로 파악하고 변화하는 위험에 적시에 대응하기 위한 정보보안 지속적 모니터링(Information Security Continuous Monitoring, ISCM) 체계를 설명한다.
기존의 정기적인 보안 평가나 특정 시점의 인증·인가만으로는 지속적으로 변화하는 시스템 구성, 신규 취약점, 위협 및 운영 환경을 충분히 반영하기 어렵다.
ISCM은 이러한 한계를 보완하기 위해 보안 관련 정보를 지속적으로 수집·분석하고, 조직의 위험 허용 수준(Risk Tolerance)에 따라 적절한 대응을 수행하도록 한다.
주요 목적은 다음과 같다.[1]
- 조직의 정보자산에 대한 가시성 확보.
- 보안 취약점과 위협에 대한 지속적인 인식 유지.
- 보안 통제의 구현 상태와 효과성 확인.
- 조직의 위험 허용 수준에 부합하는 보안 상태 유지.
- 위험 관련 정보를 적시에 수집·분석·보고.
- 보안 위험에 대한 신속한 대응 지원.
- 지속적인 보안 개선과 위험 관리 의사결정 지원.
ISCM은 보안 이벤트를 실시간으로 탐지하는 활동만을 의미하지 않는다. 기술적·관리적·운영적 보안 통제의 상태를 평가하고, 그 결과를 조직의 위험 관리 활동에 반영하는 포괄적인 체계이다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-137 |
| 문서명 | Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 발행일 | 2011년 9월 30일 |
| 주요 작성자 | Kelley Dempsey, Nirali Chawla, L. Johnson, Ronald Johnston, Alicia Jones, Angela Orebaugh, Matthew Scholl, Kevin Stine |
| 핵심 개념 | Information Security Continuous Monitoring(ISCM) |
| 적용 대상 | 조직, 업무·임무 프로세스, 정보시스템 |
| 주요 구성 | 3계층 위험 관리 구조, 6단계 ISCM 프로세스 |
| 관련 프레임워크 | NIST 위험 관리 프레임워크(RMF) |
| 관련 문서 | NIST SP 800-37, SP 800-39, SP 800-53, SP 800-53A, SP 800-55, SP 800-137A |
| 현행 상태 | 2011년 발행본이 최종 발행본으로 등록 |
| 공식 문서 | NIST CSRC |
2026년 10월 23일 기준 NIST CSRC에는 2011년 9월 발행본이 최종본으로 등록되어 있으며, 별도의 Revision 1은 확인되지 않는다.[2]
정보시스템은 운영 과정에서 지속적으로 변화한다.
대표적인 변화 요인은 다음과 같다.
- 새로운 하드웨어와 소프트웨어 도입.
- 시스템 설정 변경.
- 보안 패치 및 업데이트.
- 새로운 취약점 공개.
- 공격 기법과 위협 환경 변화.
- 업무 프로세스 변경.
- 사용자 및 접근 권한 변경.
- 정보시스템의 확장과 통합.
특정 시점에 수행한 보안 평가에서 문제가 발견되지 않았더라도 이후 시스템 구성이나 위협 환경이 달라지면 새로운 위험이 발생할 수 있다.
NIST는 이러한 특성을 고려하여 보안 평가를 일회성 활동으로 취급하지 않고 정보시스템의 전체 수명 주기에 걸쳐 수행하는 위험 관리 활동으로 발전시킬 필요가 있다고 설명한다.
SP 800-137은 NIST SP 800-37의 위험 관리 프레임워크와 SP 800-39의 조직 차원 위험 관리 개념을 확장하여, 지속적 모니터링 전략과 프로그램을 수립하는 방법을 구체화한 문서이다.[1]
전통적인 보안 평가에서는 정해진 시점에 보안 통제의 구현 여부와 규정 준수 상태를 확인하는 방식이 널리 사용되었다.
그러나 정기 평가만으로는 평가 사이에 발생하는 보안 상태의 변화를 충분히 파악하기 어렵다.
ISCM은 보안 상태에 관한 정보를 지속적으로 확보하여 위험 관리 의사결정에 활용하는 것을 목표로 한다.
NIST는 이를 규정 준수 중심의 위험 관리(Compliance-Driven Risk Management)에서 데이터 기반 위험 관리(Data-Driven Risk Management)로의 전환으로 설명한다.
다만 ISCM이 규정 준수 평가나 독립적인 보안 감사를 불필요하게 만드는 것은 아니다.
지속적 모니터링은 기존 평가체계에 최신 정보를 제공하고, 보안 통제의 효과성을 지속적으로 확인하는 역할을 수행한다.
정보보안 지속적 모니터링(ISCM)은 조직의 위험 관리 의사결정을 지원하기 위해 정보보안 상태, 취약점 및 위협에 관한 인식을 지속적으로 유지하는 활동이다.
ISCM은 다음과 같은 요소로 구성된다.
- 조직의 위험 허용 수준.
- 정보자산 및 시스템 구성에 대한 가시성.
- 위협 및 취약점 정보.
- 보안 통제의 구현 상태와 효과성.
- 보안 상태를 나타내는 측정 지표.
- 지속적인 평가 및 모니터링 절차.
- 위험 분석 및 보고체계.
- 발견 사항에 대한 대응 절차.
- 지속적인 프로그램 개선.
ISCM에서 지속적(Continuous)이라는 표현은 모든 보안 통제를 실시간으로 평가해야 한다는 의미가 아니다.
보안 통제의 중요도, 변경 가능성, 위험 수준 및 조직의 요구사항에 따라 서로 다른 주기로 모니터링할 수 있다.
예를 들어 시스템 설정과 취약점 상태는 자주 변경되므로 상대적으로 높은 빈도의 모니터링이 필요할 수 있다.
반면 인사 보안 정책이나 일부 관리적 통제는 변경 빈도가 낮아 상대적으로 긴 평가 주기를 적용할 수 있다.
따라서 ISCM은 모든 통제를 동일한 주기로 검사하는 체계가 아니라, 위험에 따라 적절한 평가 빈도를 결정하는 체계이다.
NIST SP 800-137은 다음 두 활동을 구분한다.[1]
| 구분 | 영문 | 설명 |
|---|---|---|
| 보안 통제 평가 | Security Control Assessment | 보안 통제가 올바르게 구현되고 의도한 대로 작동하며 요구되는 보안 결과를 제공하는지 평가 |
| 보안 상태 모니터링 | Security Status Monitoring | 사전에 정의한 지표를 통해 조직과 시스템의 보안 상태를 지속적으로 파악 |
보안 통제 평가는 개별 통제의 효과성을 확인하는 데 중점을 둔다.
보안 상태 모니터링은 통제 평가 결과와 운영 데이터를 활용하여 조직의 전반적인 보안 상태를 파악한다.
두 활동은 상호 보완적인 관계에 있다.
예를 들어 취약점 스캐너가 수집한 결과를 보안 상태 지표로 활용할 수 있지만, 스캐너 자체가 올바르게 구성되고 정상적으로 작동하는지도 평가해야 한다.
NIST는 효과성이 확인되지 않은 보안 통제에서 생성된 측정값은 신뢰하기 어렵다고 설명한다.
NIST SP 800-137은 SP 800-39의 위험 관리 구조를 바탕으로 ISCM을 세 계층에서 수행하도록 설명한다.
| 계층 | 영문 | 주요 관점 | 주요 활동 |
|---|---|---|---|
| Tier 1 | Organization | 조직 전체 | 위험 관리 전략, 거버넌스, 위험 허용 수준 설정 |
| Tier 2 | Mission/Business Processes | 업무·임무 프로세스 | 업무 중요도와 보안 요구사항에 따른 위험 관리 |
| Tier 3 | Information Systems | 개별 정보시스템 | 시스템 보안 통제 평가와 보안 상태 모니터링 |
세 계층은 독립적으로 운영되는 것이 아니라 서로 정보를 교환한다.
상위 계층은 위험 관리 전략과 요구사항을 하위 계층에 전달하고, 하위 계층은 보안 상태와 평가 결과를 상위 계층에 보고한다.
Tier 1은 조직 전체의 정보보안 위험 관리에 관한 계층이다.
주요 활동은 다음과 같다.
- 조직의 위험 허용 수준 결정.
- 정보보안 거버넌스 정책 수립.
- 조직 전체의 ISCM 전략 수립.
- 위험 관리 우선순위 설정.
- 보안 상태 보고 요구사항 정의.
- 조직 전체의 보안 위험 분석.
- 위험 대응에 필요한 자원 배분.
Tier 1에서는 개별 시스템의 기술적 취약점보다 조직 전체의 위험 수준과 업무 수행에 미치는 영향을 중심으로 판단한다.
Tier 2는 조직의 주요 업무와 임무를 수행하는 프로세스의 위험을 관리하는 계층이다.
주요 활동은 다음과 같다.
- 핵심 업무 프로세스 식별.
- 업무 중요도와 우선순위 결정.
- 업무 수행에 필요한 정보와 시스템 식별.
- 업무별 보안 요구사항 정의.
- 공통 보안 통제의 효과성 확인.
- 업무 위험에 관한 지표와 보고 요구사항 설정.
예를 들어 동일한 취약점이라도 핵심 업무시스템에 영향을 미치는 경우와 중요도가 낮은 시스템에 영향을 미치는 경우에는 대응 우선순위가 달라질 수 있다.
Tier 2는 이러한 업무적 맥락을 고려하여 보안 상태를 평가한다.
Tier 3은 개별 정보시스템의 보안 상태를 평가하고 모니터링하는 계층이다.
주요 활동은 다음과 같다.
- 시스템 구성 및 자산 현황 확인.
- 보안 설정 상태 평가.
- 취약점 식별 및 분석.
- 보안 통제의 구현 상태 확인.
- 보안 이벤트와 사고 정보 수집.
- 시스템 변경에 따른 보안 영향 분석.
- 보안 통제 평가 결과 보고.
- 개선 조치 수행 및 추적.
Tier 3에서 생성된 정보는 Tier 1과 Tier 2의 위험 관리 의사결정에 활용된다.
따라서 시스템 수준의 모니터링 결과를 상위 계층에서 이해하고 활용할 수 있도록 정리하는 것이 중요하다.
NIST SP 800-137 제3장은 ISCM 전략을 수립하고 프로그램을 운영하기 위한 여섯 단계의 프로세스를 제시한다.[1]
| 단계 | 영문 | 주요 내용 |
|---|---|---|
| 1. 전략 정의 | Define an ISCM Strategy | 위험 허용 수준에 기반한 모니터링 전략 수립 |
| 2. 프로그램 수립 | Establish an ISCM Program | 측정 지표, 평가 빈도, 기술 아키텍처 결정 |
| 3. 프로그램 구현 | Implement an ISCM Program | 모니터링 체계 구현 및 보안 관련 정보 수집 |
| 4. 분석 및 보고 | Analyze Data and Report Findings | 수집된 데이터 분석과 위험 관련 결과 보고 |
| 5. 발견 사항 대응 | Respond to Findings | 위험 완화, 수용, 회피 또는 공유·전가 |
| 6. 검토 및 갱신 | Review and Update | 전략과 프로그램의 적절성 검토 및 개선 |
여섯 단계는 일회성으로 완료하는 절차가 아니라 반복적으로 수행하는 지속적인 관리 과정이다.
전략 정의(Define an ISCM Strategy)는 조직의 위험 허용 수준과 업무 목표를 바탕으로 ISCM의 방향을 결정하는 단계이다.
주요 고려사항은 다음과 같다.
- 조직의 위험 관리 전략.
- 정보자산과 시스템 구성.
- 현재의 위협 및 취약점 정보.
- 조직의 업무 중요도.
- 보안 통제의 효과성.
- 기존 보안 정책과 절차.
- 모니터링에 필요한 인력과 기술.
- 보고 대상과 의사결정 구조.
ISCM 전략은 기술적 모니터링 도구의 도입 계획에 한정되지 않는다.
조직의 인력, 업무 프로세스, 기술, 운영 환경 및 관리 절차를 포괄해야 한다.
특히 수집하기 쉬운 데이터만을 중심으로 전략을 수립해서는 안 된다.
자동화하기 어려운 관리적·운영적 보안 통제도 조직의 위험 관리에 중요하다면 모니터링 대상에 포함해야 한다.
프로그램 수립(Establish an ISCM Program)은 정의된 전략을 실제 운영 가능한 체계로 구체화하는 단계이다.
주요 활동은 다음과 같다.
- 보안 상태 측정 지표 정의.
- 보안 통제 평가 빈도 결정.
- 보안 상태 모니터링 빈도 결정.
- ISCM 기술 아키텍처 설계.
- 데이터 수집 및 분석 방법 결정.
- 보안 상태 보고 절차 정의.
- 담당자와 책임 배분.
이 단계에서는 측정 지표가 실제 위험 관리 의사결정에 도움이 되는지 확인해야 한다.
단순히 수집 가능한 데이터의 양을 늘리는 것이 아니라 조직의 보안 상태를 설명할 수 있는 정보를 확보하는 것이 중요하다.
프로그램 구현(Implement an ISCM Program)은 계획한 모니터링 체계를 실제로 구축하고 운영하는 단계이다.
주요 활동은 다음과 같다.
- 보안 관련 정보 수집.
- 보안 통제 평가 수행.
- 보안 상태 측정값 생성.
- 자동화 도구 및 수동 평가 절차 운영.
- 수집 데이터의 정합성 확인.
- 보안 상태 보고체계 운영.
NIST는 가능한 경우 데이터 수집, 분석 및 보고를 자동화하도록 권고한다.
그러나 자동화 도구를 도입했다는 사실만으로 ISCM 프로그램이 완성되는 것은 아니다.
수집된 정보를 위험 관리에 활용할 수 있어야 하며, 자동화할 수 없는 통제에 대해서도 적절한 평가 절차를 마련해야 한다.
분석 및 보고(Analyze Data and Report Findings)는 수집한 보안 관련 정보를 분석하여 위험 관리에 필요한 결과를 제공하는 단계이다.
주요 활동은 다음과 같다.
- 보안 통제 평가 결과 분석.
- 보안 상태 지표 분석.
- 취약점과 위협 정보의 연계 분석.
- 발견된 문제의 원인 파악.
- 위험 수준과 잠재적 영향 평가.
- 보고 대상에 적합한 정보 제공.
필요한 경우 추가적인 정보를 수집하여 기존 모니터링 결과를 보완할 수 있다.
보고 내용과 형식은 수신자의 역할에 따라 달라진다.
예를 들어 시스템 관리자는 구체적인 기술적 취약점과 설정 오류를 확인해야 하지만, 조직의 위험 관리 책임자는 업무 영향과 전반적인 위험 수준을 중심으로 판단할 수 있다.
발견 사항 대응(Respond to Findings)은 분석 결과에 따라 적절한 위험 대응 조치를 수행하는 단계이다.
NIST는 다음과 같은 위험 대응 방법을 제시한다.
| 대응 방법 | 영문 | 설명 |
|---|---|---|
| 위험 완화 | Risk Mitigation | 보안 통제 추가·개선 등을 통해 위험 감소 |
| 위험 수용 | Risk Acceptance | 조직의 위험 허용 수준에 따라 잔여 위험 수용 |
| 위험 회피·거부 | Risk Avoidance/Rejection | 위험을 발생시키는 활동을 중단하거나 수행하지 않음 |
| 위험 공유·전가 | Risk Sharing/Transfer | 계약이나 다른 수단을 통해 위험의 일부를 공유하거나 이전 |
위험 대응은 기술적 조치에만 한정되지 않는다.
조직의 정책 변경, 업무 절차 개선, 추가적인 보안 통제 도입, 모니터링 빈도 조정 등 다양한 활동이 포함될 수 있다.
시스템 수준에서는 보안 통제의 변경이나 추가 평가가 필요할 수 있다.
조치가 즉시 완료되지 않는 경우에는 조치계획 및 이정표(Plan of Action and Milestones, POA&M)를 통해 개선 활동을 관리할 수 있다.
검토 및 갱신(Review and Update)은 ISCM 전략과 프로그램의 적절성을 정기적으로 검토하고 개선하는 단계이다.
주요 검토 대상은 다음과 같다.
- 조직의 위험 허용 수준 변화.
- 새로운 위협과 취약점.
- 업무 및 시스템 환경 변화.
- 측정 지표의 유효성.
- 평가 및 모니터링 빈도의 적절성.
- 자동화 도구의 성능.
- 수집 데이터의 품질.
- 보고체계의 효과성.
- 위험 대응 결과.
검토 결과에 따라 모니터링 대상, 지표, 빈도, 기술 아키텍처 및 운영 절차를 변경할 수 있다.
ISCM은 조직의 보안 관리 역량과 기술적 환경이 발전함에 따라 지속적으로 성숙하는 프로그램이다.
NIST SP 800-137은 모든 보안 통제를 동일한 빈도로 평가하는 방식을 권고하지 않는다.
모니터링 빈도는 통제의 특성과 조직의 위험 수준에 따라 결정해야 한다.
제3.2.2절은 다음과 같은 주요 고려사항을 제시한다.[1]
| 고려사항 | 설명 |
|---|---|
| 보안 통제의 변동성 | 통제의 상태나 구성이 얼마나 자주 변경되는가? |
| 시스템 영향 수준 | 시스템이 침해되었을 때 조직에 미치는 영향은 어느 정도인가? |
| 핵심 보안 기능 | 해당 통제가 중요한 보안 기능을 제공하는가? |
| 기존 통제의 취약점 | 이전 평가에서 발견된 문제가 존재하는가? |
| 조직의 위험 허용 수준 | 조직이 수용할 수 있는 위험의 범위는 어느 정도인가? |
| 위협 정보 | 해당 시스템을 대상으로 하는 새로운 위협이 존재하는가? |
| 취약점 정보 | 새로운 취약점이나 악용 기법이 공개되었는가? |
| 위험 평가 결과 | 기존 위험 평가에서 높은 위험이 확인되었는가? |
| 전략 검토 결과 | 기존 모니터링 전략의 변경이 필요한가? |
| 보고 요구사항 | 법령·정책·조직 내부 요구에 따른 보고 주기는 어떠한가? |
통제 변동성(Control Volatility)은 보안 통제가 구현된 이후 시간이 지나면서 변경될 가능성을 의미한다.
변동성이 높은 통제는 상대적으로 자주 평가해야 한다.
예를 들어 다음과 같은 통제는 변경 빈도가 높을 수 있다.
- 시스템 보안 설정.
- 정보시스템 구성요소 목록.
- 소프트웨어 및 패치 상태.
- 네트워크 접근통제 규칙.
반면 인사 보안 관련 일부 통제는 상대적으로 변경 빈도가 낮을 수 있다.
NIST는 SP 800-53의 CM-6(Configuration Settings)과 CM-8(Information System Component Inventory)을 높은 변동성을 가진 통제의 예시로 설명한다.
일반적으로 영향 수준이 높은 시스템은 영향 수준이 낮은 시스템보다 높은 빈도의 모니터링이 필요할 수 있다.
또한 새로운 위협이 확인되거나 특정 취약점의 악용 가능성이 높아지면 관련 통제의 모니터링 빈도를 일시적 또는 지속적으로 높일 수 있다.
기존 평가에서 취약점이 발견된 통제 역시 개선이 완료될 때까지 더 자주 모니터링할 수 있다.
NIST는 특정한 일률적 평가 주기를 규정하지 않는다.
조직은 위험 수준과 운영 환경을 고려하여 적절한 주기를 결정하고, 상황 변화에 따라 조정해야 한다.
ISCM 프로그램에서는 보안 상태를 객관적으로 파악하기 위한 측정 지표(Metrics)를 정의해야 한다.
측정 지표는 조직의 보안 목표와 위험 관리 의사결정을 지원할 수 있어야 한다.
대표적인 지표의 예시는 다음과 같다.
| 영역 | 측정 지표 예시 | 활용 목적 |
|---|---|---|
| 자산 관리 | 식별되지 않은 정보자산의 수 | 자산 가시성 확인 |
| 취약점 관리 | 미조치 고위험 취약점 수 | 취약점 대응 상태 파악 |
| 패치 관리 | 보안 패치 미적용 시스템 비율 | 패치 적용 상태 확인 |
| 설정 관리 | 보안 기준선을 준수하지 않는 시스템 비율 | 구성 관리 통제의 효과성 확인 |
| 접근통제 | 비인가 계정 또는 권한 위반 건수 | 접근통제 상태 확인 |
| 보안 사고 | 탐지된 보안 사고 및 미해결 사고 수 | 사고 대응 상태 파악 |
| 통제 평가 | 평가에서 효과성이 확인되지 않은 통제 비율 | 보안 통제의 운영 상태 확인 |
| 개선 조치 | 기한을 초과한 미완료 개선 조치 수 | 위험 완화 활동 추적 |
위 항목은 ISCM에 활용할 수 있는 예시이며, NIST가 모든 조직에 동일하게 적용하도록 규정한 필수 지표는 아니다.
조직은 업무 특성과 위험 허용 수준에 따라 지표를 선정해야 한다.
보안 측정 지표를 설계할 때는 다음 사항을 고려해야 한다.
- 측정 대상이 명확한가?
- 데이터 수집 방법이 일관적인가?
- 측정 결과를 신뢰할 수 있는가?
- 위험 관리 의사결정과 관련이 있는가?
- 적절한 빈도로 갱신되는가?
- 보고 대상이 이해할 수 있는가?
- 측정 결과에 따라 실제 대응이 가능한가?
측정값의 정확성과 완전성도 중요하다.
예를 들어 자산 목록에서 누락된 시스템은 취약점 스캐닝 대상에서도 제외될 수 있다.
이 경우 스캐너가 발견한 취약점의 수가 적더라도 조직의 실제 보안 상태가 양호하다고 판단할 수 없다.
NIST는 보안 측정에 관한 상세한 지침으로 SP 800-55를 참조하도록 한다.
NIST SP 800-137은 ISCM의 효율성과 신뢰성을 높이기 위해 자동화를 활용하도록 권고한다.
자동화는 대규모 시스템의 보안 상태를 반복적으로 확인하고, 사람의 수작업 부담을 줄이는 데 활용할 수 있다.
대표적인 자동화 대상은 다음과 같다.
- 정보자산 식별.
- 시스템 구성정보 수집.
- 보안 설정 검사.
- 소프트웨어 및 패치 상태 확인.
- 취약점 스캐닝.
- 보안 이벤트 수집.
- 보안 상태 지표 계산.
- 보안 상태 보고서 생성.
- 정책 위반 및 이상 상태 알림.
모든 보안 통제를 자동으로 평가할 수 있는 것은 아니다.
관리적·운영적 통제 가운데는 문서 검토, 담당자 면담 또는 수동적인 확인이 필요한 항목이 존재한다.
예를 들어 다음과 같은 활동은 자동화만으로 충분히 평가하기 어려울 수 있다.
- 보안 정책의 적절성 검토.
- 조직의 위험 허용 수준 결정.
- 보안 책임과 권한의 적절성 평가.
- 일부 인사 보안 통제의 효과성 확인.
- 위험 수용 여부에 관한 의사결정.
NIST는 자동화 도구가 보안 전문가의 활동을 보완하는 수단이라고 설명한다.
자동화하기 쉬운 항목에만 집중하면 조직의 중요한 보안 위험을 놓칠 수 있으므로 수동 평가와 자동화된 모니터링을 함께 운영해야 한다.
SCAP(Security Content Automation Protocol)은 보안 구성과 취약점 관련 정보를 표준화된 형식으로 표현하고 처리하기 위한 규격 집합이다.
NIST SP 800-137의 부록 D는 ISCM을 지원하는 기술 가운데 SCAP을 설명한다.
SCAP 기반 기술은 다음과 같은 활동에 활용할 수 있다.
- 시스템 보안 설정의 자동 점검.
- 취약점 관련 정보의 표준화.
- 보안 구성정보의 교환.
- 보안 상태 측정의 자동화.
SCAP은 ISCM 프로그램을 구현하는 데 활용할 수 있는 기술적 수단이지만, ISCM 전체를 대체하는 것은 아니다.
ISCM에는 위험 관리 전략, 평가 절차, 분석, 보고 및 대응 활동이 함께 포함된다.
NIST SP 800-137은 지속적 인가(Ongoing Authorization)를 지원하는 정보 제공 체계로서 ISCM의 역할을 설명한다.
기존의 시스템 인가는 특정 시점에 확보한 보안 평가 결과를 바탕으로 운영 위험을 수용할 수 있는지 판단한다.
그러나 시스템과 운영 환경은 인가 이후에도 지속적으로 변화한다.
ISCM은 보안 통제의 효과성과 위협·취약점 정보를 지속적으로 제공하여 인가 결정의 적절성을 유지하도록 지원한다.[1]
- 보안 통제의 효과성을 지속적으로 평가한다.
- 시스템 변경과 새로운 위협을 위험 판단에 반영한다.
- 보안 상태에 관한 최신 정보를 인가권자에게 제공한다.
- 기존 인가 결정의 유지 여부를 판단할 수 있도록 지원한다.
- 필요하면 추가적인 위험 완화 조치를 수행한다.
지속적 모니터링이 이루어진다는 사실만으로 시스템의 운영이 자동으로 인가되는 것은 아니다.
인가권자(Authorizing Official)는 조직의 위험 허용 수준과 보안 상태를 고려하여 운영 위험의 수용 여부를 판단해야 한다.
또한 2011년 SP 800-137에서 설명하는 RMF의 6단계 구조는 당시 SP 800-37을 기준으로 한다.
현행 SP 800-37 Revision 2는 준비(Prepare) 단계를 추가한 7단계 RMF를 사용하며, 모니터링은 마지막 단계에 해당한다.
NIST SP 800-137은 조직 전체에서 ISCM을 수행하기 위한 역할과 책임을 설명한다.
| 역할 | 영문 | 주요 책임 |
|---|---|---|
| 위험 관리 책임 기능 | Risk Executive (Function) | 조직 전체의 위험 관리 전략과 위험 허용 수준 조정 |
| 최고정보책임자 | Chief Information Officer(CIO) | 조직의 정보기술 및 정보보안 관리체계 감독 |
| 정보보호 책임자 | Senior Information Security Officer(SISO) | ISCM 전략과 보안 프로그램의 운영 지원 |
| 인가권자 | Authorizing Official(AO) | 정보시스템 운영에 따른 위험 수용 여부 결정 |
| 정보시스템 소유자 | Information System Owner | 담당 시스템의 보안 상태와 통제 관리 |
| 공통 통제 제공자 | Common Control Provider | 여러 시스템에서 사용하는 공통 보안 통제 관리 |
| 시스템 보안 담당자 | Information System Security Officer | 시스템 수준의 보안 통제와 모니터링 활동 지원 |
| 보안 통제 평가자 | Security Control Assessor | 보안 통제의 구현 상태와 효과성 평가 |
ISCM 프로그램의 역할과 책임은 조직의 규모와 구조에 따라 달라질 수 있다.
중요한 것은 보안 상태를 측정하는 책임뿐 아니라 분석, 보고, 위험 대응 및 승인에 관한 책임을 명확하게 정의하는 것이다.
ISCM 프로그램에서는 수집한 정보를 조직의 위험 관리 의사결정에 활용할 수 있도록 보고해야 한다.
보고 내용과 빈도는 보고 대상의 역할과 요구사항에 따라 달라질 수 있다.
| 보고 대상 | 주요 관심사항 | 보고 내용 예시 |
|---|---|---|
| 조직 경영진 | 조직 전체의 위험 수준 | 주요 위험, 위험 추세, 업무 영향 |
| 위험 관리 책임자 | 위험 허용 수준과 대응 현황 | 위험 지표, 주요 취약점, 미완료 개선 조치 |
| 정보보호 책임자 | 보안 프로그램의 효과성 | 통제 평가 결과, 정책 준수 상태, 개선 현황 |
| 인가권자 | 시스템 운영 위험 | 시스템 보안 상태, 잔여 위험, 통제 효과성 |
| 시스템 관리자 | 기술적 보안 상태 | 취약점, 설정 오류, 패치 상태 |
| 사고 대응 담당자 | 위협 및 사고 현황 | 보안 경보, 사고 정보, 이상 활동 |
NIST는 보고 대상에 따라 정보의 상세 수준과 보고 빈도를 조정할 수 있다고 설명한다.
예를 들어 기술 담당자에게는 상세한 시스템 상태를 제공하고, 경영진에게는 여러 시스템의 위험을 종합한 정보를 제공할 수 있다.
다만 보고 주기는 조직이 자체적으로 결정해야 하며, NIST가 모든 조직에 공통적인 보고 빈도를 지정하지는 않는다.
ISCM은 보안 관제와 밀접하게 관련되지만 동일한 개념은 아니다.
보안 관제는 일반적으로 시스템과 네트워크에서 발생하는 보안 이벤트를 탐지·분석하고 침해사고에 대응하는 활동을 중심으로 운영된다.
반면 ISCM은 보안 이벤트뿐 아니라 조직의 위험 수준과 보안 통제의 효과성을 지속적으로 평가하는 포괄적인 위험 관리 체계이다.
| 구분 | ISCM | 보안 관제 |
|---|---|---|
| 주요 목적 | 지속적인 위험 관리 의사결정 지원 | 보안 위협 및 침해사고 탐지·대응 |
| 주요 대상 | 조직, 업무 프로세스, 정보시스템 | 시스템·네트워크의 보안 이벤트와 위협 |
| 주요 정보 | 자산, 취약점, 위협, 통제 효과성, 위험 지표 | 로그, 경보, 이벤트, 위협 정보 |
| 주요 활동 | 평가, 모니터링, 분석, 보고, 위험 대응 | 이벤트 수집, 상관분석, 탐지, 조사, 대응 |
| 주요 의사결정 | 위험 수용과 보안 통제 개선 | 위협 대응과 사고 처리 |
| 운영 주기 | 위험에 따라 다양한 주기 적용 | 실시간 또는 단기 주기의 탐지·대응 중심 |
SIEM 등 보안 관제 기술은 ISCM에서 활용할 수 있는 데이터 수집·분석 수단이다.
그러나 SIEM을 도입하거나 보안관제센터를 운영한다는 사실만으로 ISCM 프로그램이 완성되는 것은 아니다.
ISCM은 조직의 위험 관리 전략과 보안 통제 평가, 위험 대응 및 지속적인 개선을 함께 요구한다.
NIST SP 800-137은 위험 관리와 보안 통제 평가에 관한 여러 NIST 지침과 연계된다.
| 문서 | 주요 내용 | SP 800-137과의 관계 |
|---|---|---|
| NIST SP 800-30 | 위험 평가 수행 | ISCM에서 수집한 정보를 위험 평가에 활용 |
| NIST SP 800-37 | 위험 관리 프레임워크(RMF) | RMF의 모니터링 단계와 지속적 인가 지원 |
| NIST SP 800-39 | 조직 차원의 정보보안 위험 관리 | 조직·업무·시스템의 3계층 위험 관리 구조 제공 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 지속적으로 평가하고 모니터링할 통제 제공 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | 개별 통제의 효과성 평가 절차 제공 |
| NIST SP 800-55 | 정보보안 측정 | ISCM에서 사용할 보안 측정 지표 개발 지원 |
| NIST SP 800-137A | ISCM 프로그램 평가 | 조직의 ISCM 프로그램 자체에 대한 평가 방법 제공 |
NIST 위험 관리 프레임워크(RMF)는 정보시스템의 위험을 체계적으로 관리하기 위한 절차를 제공한다.
SP 800-137은 RMF의 지속적 모니터링 활동을 조직 차원으로 확장하여 구체적인 전략과 프로그램을 수립하는 방법을 설명한다.
RMF가 정보시스템의 보안 통제 선정·구현·평가·인가·모니터링을 포함하는 전체 위험 관리 절차라면, ISCM은 그 가운데 지속적인 보안 상태 파악과 위험 관리 의사결정을 지원하는 체계이다.
NIST SP 800-53A는 보안 통제의 구현 상태와 효과성을 평가하기 위한 절차를 제공한다.
SP 800-137은 이러한 평가를 지속적인 모니터링 프로그램에 통합하는 방법을 설명한다.
따라서 SP 800-53A는 개별 통제의 평가 방법에 중점을 두고, SP 800-137은 평가 결과를 지속적으로 수집·분석·보고하고 위험 관리에 활용하는 체계에 중점을 둔다.
NIST SP 800-137A(Assessing Information Security Continuous Monitoring (ISCM) Programs: Developing an ISCM Program Assessment)는 2020년 5월 발행되었다.
SP 800-137A는 조직이 운영하는 ISCM 프로그램 자체의 적절성과 효과성을 평가하기 위한 방법을 설명한다.[3]
| 구분 | SP 800-137 | SP 800-137A |
|---|---|---|
| 발행 | 2011년 9월 | 2020년 5월 |
| 주요 목적 | ISCM 전략 및 프로그램 수립·운영 | ISCM 프로그램의 효과성과 완전성 평가 |
| 주요 대상 | 조직의 위험 관리 및 정보보안 담당자 | ISCM 프로그램 평가자 및 관리 책임자 |
| 주요 내용 | 3계층 구조, 6단계 프로세스, 지표, 자동화, 위험 대응 | 평가 기준, 평가 절차, 프로그램 효과성 분석 |
| 활용 단계 | ISCM 프로그램 설계 및 운영 | 운영 중인 ISCM 프로그램의 평가와 개선 |
SP 800-137A는 SP 800-137의 개정판이 아니라 별도의 특별간행물이다.
2021년 3월에는 NISTIR 8212와 ISCMAx를 활용한 ISCM 프로그램 평가 접근법이 관련 자료로 안내되었다.[3]
NIST SP 800-137은 본문 3개 장과 4개 부록으로 구성된다.[1]
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 배경, 목적, 관련 문서, 대상 독자 |
| 제2장 | The Fundamentals | ISCM의 기본 개념, 3계층 구조, 지속적 인가, 자동화, 역할과 책임 |
| 제3장 | The Process | ISCM 전략 수립과 프로그램 운영을 위한 6단계 프로세스 |
| 부록 A | References | 참고 문헌 |
| 부록 B | Glossary | 주요 용어 정의 |
| 부록 C | Acronyms | 약어 목록 |
| 부록 D | Technologies for Enabling ISCM | ISCM 구현을 지원하는 기술 |
제2장은 ISCM의 기본 개념과 조직 전체의 위험 관리 구조를 설명한다.
제3장은 실제 ISCM 프로그램을 수립하고 운영하는 절차를 구체적으로 설명하는 핵심 부분이다.
부록 D는 자동화와 표준화된 보안정보 처리에 활용할 수 있는 기술을 설명한다.
NIST SP 800-137은 미국 연방기관을 대상으로 개발되었지만 민간기업과 다른 조직에서도 지속적인 보안 위험 관리체계를 설계하는 참고자료로 활용할 수 있다.
적용 시 다음과 같은 사항을 고려해야 한다.
- 위험 관리 중심: ISCM의 목적은 데이터를 많이 수집하는 것이 아니라 위험 관리 의사결정을 지원하는 것이다.
- 조직 전체의 참여: 개별 보안 담당자나 보안관제센터만으로 완전한 ISCM 프로그램을 운영할 수 없다.
- 차등적 모니터링: 모든 보안 통제를 동일한 빈도로 평가할 필요는 없다.
- 자동화의 한계: 자동화하기 어려운 관리적·운영적 통제에 대한 평가도 필요하다.
- 데이터 품질: 수집 데이터가 부정확하거나 누락되면 위험 판단도 왜곡될 수 있다.
- 통제 효과성: 보안 도구의 정상 작동 여부와 실제 통제 효과성을 함께 평가해야 한다.
- 지속적인 개선: 위협과 운영 환경의 변화에 따라 전략과 프로그램을 갱신해야 한다.
- 지속적 인가와의 구분: ISCM은 인가 의사결정을 지원하지만 인가권자의 위험 수용 판단을 대체하지 않는다.
- 기술 환경의 변화: 2011년 발행 문서이므로 구체적인 기술 구현에는 최신 보안 표준과 지침을 함께 검토해야 한다.
ISCM은 정보보안 상태를 지속적으로 파악하고 그 결과를 실제 위험 대응과 보안 통제 개선에 연결하는 체계이다.
따라서 모니터링 도구의 도입 자체보다 조직의 위험 관리 전략, 측정 지표, 평가 절차, 보고체계 및 대응 프로세스가 일관되게 운영되는지가 중요하다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 Kelley Dempsey 외, Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations, NIST Special Publication 800-137, National Institute of Standards and Technology, 2011-09.
- ↑ SP 800-137, Information Security Continuous Monitoring (ISCM) for Federal Information Systems and Organizations, NIST Computer Security Resource Center, 확인: 2026-10-23.
- ↑ 3.0 3.1 Kelley Dempsey 외, Assessing Information Security Continuous Monitoring (ISCM) Programs: Developing an ISCM Program Assessment, NIST Special Publication 800-137A, National Institute of Standards and Technology, 2020-05.