NIST SP 800-171
더 많은 작업
NIST SP 800-171(Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations)은 미국 국립표준기술연구소(NIST)가 연방정부 외부의 정보시스템과 조직에서 통제된 비기밀정보(CUI)를 보호하기 위해 수립한 보안 요구사항 지침이다.
NIST SP 800-171은 미국 연방정부가 보유하거나 관리하는 통제된 비기밀정보(Controlled Unclassified Information, CUI)를 민간기업, 계약업체, 연구기관 등 비연방 조직(Nonfederal Organization)에 제공하는 경우 해당 정보의 기밀성을 보호하기 위한 보안 요구사항을 규정한다.
연방정부가 외부 조직에 정보를 제공하더라도 해당 정보에 대한 보호 책임과 필요성이 사라지지 않는다는 원칙을 바탕으로 한다. 따라서 연방기관의 정보시스템에 적용되는 보안 통제를 비연방 조직의 운영 환경에 맞게 조정하여 적용할 수 있도록 설계되었다.
2026년 10월 기준 최신 확정판은 2024년 5월 14일 발행된 NIST SP 800-171 Revision 3이다. Revision 3은 NIST SP 800-53 Revision 5와의 정합성을 높이고, 보안 요구사항을 17개 통제 계열로 재구성하였으며, 조직 정의 매개변수(ODP)와 새로운 통제 조정 기준을 도입하였다.[1]
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-171 |
| 정식 명칭 | Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations |
| 한국어 명칭 | 비연방 정보시스템 및 조직의 통제된 비기밀정보 보호 |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 현행 확정판 | Revision 3 |
| 발행일 | 2024년 5월 14일 |
| 저자 | Ron Ross, Victoria Pillitteri |
| 주요 보호 대상 | 통제된 비기밀정보(CUI) |
| 적용 환경 | 비연방 조직의 정보시스템 |
| 보안 요구사항 | 17개 계열, 97개 활성 요구사항 |
| 주요 관련 문서 | NIST SP 800-53, SP 800-53B, SP 800-171A, SP 800-172 |
| 공식 페이지 | NIST CSRC |
| 원문 | HTML |
미국은 국가안보상 기밀로 분류되지 않더라도 법률·규정·정부 차원의 정책에 따라 접근과 공개를 제한해야 하는 정보를 관리하기 위해 CUI 제도를 운영한다.
2010년 11월 4일 발령된 대통령 행정명령 EO 13556은 연방정부 전체에 적용되는 CUI 관리체계를 수립하였다.[2]
이 제도의 주요 목적은 다음과 같다.
- 연방기관별로 달랐던 비기밀 민감정보의 취급 기준 통일.
- CUI의 식별·표시·보호·공유·폐기 절차 표준화.
- 불필요한 정보공유 제한 감소.
- 연방기관과 외부 조직 사이의 일관된 정보보호 수준 확보.
미국 국립문서기록관리청(NARA)은 CUI 프로그램의 총괄기관(Executive Agent)으로서 정보 유형과 취급 기준을 관리한다.
CUI의 구체적인 유형과 관리 근거는 CUI Registry에서 확인할 수 있다.[3]
연방정부는 다양한 업무를 민간 계약업체와 연구기관에 위탁하거나 공동으로 수행한다.
이 과정에서 다음과 같은 정보가 외부 조직에 전달될 수 있다.
- 국방 관련 기술자료.
- 정부 연구개발 자료.
- 법령에 따라 보호되는 개인정보.
- 특정 규제 대상 금융·행정정보.
- 중요 기반시설 관련 자료.
- 정부 계약 수행 과정에서 생성되는 보호 대상 정보.
연방기관이 자체 시스템에서 CUI를 안전하게 관리하더라도 외부 계약업체의 시스템이 취약하면 정보가 유출될 수 있다.
NIST SP 800-171은 이러한 문제를 해결하기 위해 비연방 정보시스템에 적용할 수 있는 공통 보안 요구사항을 제공한다.
CUI(Controlled Unclassified Information)는 미국 연방정부가 생성·보유하거나 정부를 위해 생성·보유하는 정보 중 법률·규정·정부 차원의 정책에 따라 보호 또는 공개 제한이 필요한 비기밀정보를 의미한다.
다음 정보와는 구분된다.
- 국가안보 기밀정보(Classified Information).
- 원자력법 등에 따라 별도의 기밀체계로 관리되는 정보.
- 보호 근거 없이 단순히 내부용으로 지정한 일반 정보.
- 이미 적법하게 공개된 공공정보.
CUI는 정보의 민감성만으로 임의 지정하는 분류가 아니다. 관련 법률·규정·정부 정책에 근거하여 CUI에 해당하는지를 판단해야 한다.
CUI는 보호 및 취급 요구사항에 따라 구분된다.
| 구분 | 의미 | 보호 기준 |
|---|---|---|
| CUI Basic | 별도의 구체적인 보호조치가 지정되지 않은 CUI | CUI 프로그램의 일반적인 보호 기준 적용 |
| CUI Specified | 관련 법률·규정·정부 정책에서 특정 보호조치를 별도로 규정한 CUI | 해당 정보 유형에 적용되는 특별한 보호조치 반영 |
SP 800-171은 CUI의 기밀성 보호에 관한 일반적인 보안 요구사항을 제공한다.
특정 CUI 유형에 별도의 법적 보호 요구사항이 존재하는 경우에는 해당 요구사항을 추가로 고려해야 한다.
연방계약정보(Federal Contract Information, FCI)는 정부 계약을 수행하기 위해 제공되거나 생성된 정보 중 공개를 목적으로 하지 않는 정보를 의미한다.
FCI와 CUI는 서로 다른 개념이다.
| 구분 | FCI | CUI |
|---|---|---|
| 정식 명칭 | Federal Contract Information | Controlled Unclassified Information |
| 주요 성격 | 비공개 연방계약정보 | 법률·규정·정부 정책에 따라 보호가 필요한 비기밀정보 |
| 기본 보호 기준 | FAR 52.204-21 등 | 해당 계약·규정에서 지정한 CUI 보호 요구사항 |
| 대표적인 NIST 문서 | 별도의 일반적 SP 800-171 적용 의무가 자동 발생하지 않음 | NIST SP 800-171 |
| CMMC 관련 수준 | Level 1 | Level 2 및 Level 3 |
FAR 52.204-21은 FCI를 처리하는 계약업체 정보시스템에 적용되는 기본적인 보호조치 15개를 규정한다.[4]
따라서 모든 FCI가 CUI에 해당하거나 모든 FCI 처리 시스템에 SP 800-171 전체가 적용되는 것은 아니다.
NIST SP 800-171의 주요 대상은 미국 연방기관과 CUI를 처리하는 비연방 조직이다.
대표적인 비연방 조직은 다음과 같다.
- 연방정부 계약업체.
- 국방산업체 및 하도급업체.
- 정부 연구개발사업 참여기관.
- 정부로부터 CUI를 제공받는 민간기업.
- 연방기관과 정보공유 협정을 체결한 조직.
- CUI를 처리하는 외부 서비스 제공업체.
다만 NIST SP 800-171 자체가 모든 비연방 조직에 직접적인 법적 의무를 부과하는 것은 아니다.
연방기관이 계약·협정 등에 해당 보안 요구사항을 반영하거나 관련 법령·규정이 준수를 요구하는 경우 적용 의무가 발생할 수 있다.
보안 요구사항은 다음 구성요소에 적용된다.
- CUI를 처리하는 시스템.
- CUI를 저장하는 시스템.
- CUI를 전송하는 시스템.
- 위 시스템을 보호하기 위한 보안 구성요소.
예를 들어 CUI가 저장된 데이터베이스뿐 아니라 해당 데이터베이스의 접근을 통제하는 인증 서버, 방화벽 및 보안관리 시스템도 적용 범위에 포함될 수 있다.
반면 CUI와 무관한 모든 사내 정보시스템에 동일한 요구사항을 적용해야 하는 것은 아니다.
SP 800-171은 연방기관을 대신하여 연방 정보시스템을 운영하거나 연방기관을 위해 정보를 수집·관리하는 조직에 일반적으로 적용되는 별도의 연방 정보시스템 보안 요구사항을 대체하지 않는다.
이러한 시스템은 계약 관계와 운영 형태에 따라 FISMA 및 연방 정보시스템에 적용되는 별도 보안체계의 대상이 될 수 있다.
따라서 단순히 민간기업이 운영한다는 이유만으로 해당 시스템을 SP 800-171의 비연방 시스템으로 분류해서는 안 된다.
조직은 CUI를 처리하는 시스템을 다른 시스템과 분리하여 보안 요구사항의 적용 범위를 제한할 수 있다.
대표적인 방법은 다음과 같다.
- 별도의 보안 네트워크 구축.
- 방화벽을 이용한 네트워크 분리.
- 논리적 보안 영역 구성.
- 접근통제 및 정보흐름 통제.
- CUI 전용 시스템 또는 저장소 운영.
이러한 방식은 CUI와 무관한 시스템까지 불필요하게 적용 범위가 확대되는 것을 방지한다.
다만 보안 영역을 분리하더라도 해당 영역을 보호하는 공통 인증·관리·보안 서비스는 적용 범위에 포함될 수 있다.[1]
SP 800-171 Revision 3의 보안 요구사항은 NIST SP 800-53 Revision 5의 보안 통제를 기반으로 한다.
구체적으로 SP 800-53B의 Moderate 보안 통제 기준선에서 CUI 기밀성 보호에 필요한 통제를 선별하고 조정하여 도출한다.
주요 전제는 다음과 같다.
- CUI의 가치는 연방기관 내부와 외부에서 동일하다.
- CUI의 기밀성 영향 수준은 최소 Moderate이다.
- 비연방 조직에서도 적절한 수준의 보안 통제를 적용해야 한다.
- 조직은 직접 통제를 구현하거나 외부 서비스 제공업체를 활용할 수 있다.
- CUI 보호에 필요한 통제만을 선별하여 적용한다.
SP 800-171은 SP 800-53의 전체 통제 카탈로그를 그대로 복제한 문서가 아니다.
CUI의 기밀성 보호라는 목적에 맞게 요구사항을 조정한 별도의 문서이다.
Revision 3은 SP 800-53의 통제를 조정하기 위해 다섯 가지 기준을 사용한다.
| 구분 | 영문 | 의미 |
|---|---|---|
| CUI | CUI | CUI 기밀성 보호에 직접 관련되어 요구사항으로 반영 |
| FED | Federal | 주로 연방정부의 책임에 해당 |
| NCO | Not Confidentiality-Related | CUI 기밀성 보호와 직접 관련되지 않음 |
| ORC | Other Related Controls | 다른 관련 통제로 충분히 다루어짐 |
| N/A | Not Applicable | 해당 통제가 적용되지 않음 |
조정 결과는 원문 부록 C의 통제 대응표에 제시되어 있다.[1]
SP 800-171은 CUI의 기밀성 보호에 초점을 맞춘다.
따라서 SP 800-53에 포함된 모든 보안 통제 계열이 동일하게 반영되지는 않는다.
대표적으로 다음 계열은 별도의 SP 800-171 요구사항 계열로 포함되지 않는다.
- Contingency Planning(CP): 주로 가용성 보호와 관련됨.
- Program Management(PM): SP 800-53B의 시스템 통제 기준선에 포함되지 않음.
- PII Processing and Transparency(PT): 개인정보 처리의 투명성과 관련된 별도 요구사항 계열.
다만 특정 계열이 제외되었다는 사실이 관련 보안 활동 전체를 불필요하게 만든다는 의미는 아니다.
예를 들어 CP 계열이 독립적으로 포함되지 않더라도 CUI 백업 데이터의 암호학적 보호는 03.08.09에서 다룬다.
Revision 3은 보안 요구사항을 17개 계열(Family)로 구분한다.
| 번호 | 영문 명칭 | 한국어 명칭 | 주요 내용 |
|---|---|---|---|
| 03.01 | Access Control | 접근통제 | 사용자 권한, 최소 권한, 원격접속 및 정보흐름 통제 |
| 03.02 | Awareness and Training | 보안 인식 및 교육 | 보안 인식 제고와 직무별 교육훈련 |
| 03.03 | Audit and Accountability | 감사 및 책임추적성 | 감사 기록 생성·보호·분석 |
| 03.04 | Configuration Management | 구성관리 | 기준 구성, 변경통제 및 자산관리 |
| 03.05 | Identification and Authentication | 식별 및 인증 | 사용자·장치 식별, 다중 인증 및 인증수단 관리 |
| 03.06 | Incident Response | 사고 대응 | 사고 탐지·분석·대응 및 훈련 |
| 03.07 | Maintenance | 유지보수 | 유지보수 도구와 원격 유지보수 관리 |
| 03.08 | Media Protection | 매체 보호 | 저장매체 접근·보관·운송·폐기 |
| 03.09 | Personnel Security | 인적 보안 | 인력 신원 검토와 퇴직·전보 시 권한 관리 |
| 03.10 | Physical Protection | 물리적 보호 | 시설 및 장비의 물리적 접근통제 |
| 03.11 | Risk Assessment | 위험 평가 | 위험 평가, 취약점 점검 및 위험 대응 |
| 03.12 | Security Assessment and Monitoring | 보안 평가 및 모니터링 | 보안 요구사항 평가와 지속적 모니터링 |
| 03.13 | System and Communications Protection | 시스템 및 통신 보호 | 네트워크 경계 보호, 암호화 및 통신 보호 |
| 03.14 | System and Information Integrity | 시스템 및 정보 무결성 | 취약점 수정, 악성코드 방어 및 시스템 모니터링 |
| 03.15 | Planning | 계획 수립 | 보안 정책, 시스템 보안계획 및 사용자 행동규칙 |
| 03.16 | System and Services Acquisition | 시스템 및 서비스 획득 | 보안공학, 지원 종료 시스템 및 외부 서비스 관리 |
| 03.17 | Supply Chain Risk Management | 공급망 위험관리 | 공급망 위험관리 계획과 조달 보안 |
접근통제(03.01)는 CUI에 대한 비인가 접근을 방지하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.01.01 Account Management: 계정 유형, 생성·변경·비활성화·삭제 및 계정 사용 관리.
- 03.01.02 Access Enforcement: 인가된 접근 권한의 강제.
- 03.01.03 Information Flow Enforcement: 승인된 정보흐름 정책의 적용.
- 03.01.04 Separation of Duties: 상충하는 업무와 권한의 분리.
- 03.01.05 Least Privilege: 최소 권한 원칙 적용.
- 03.01.08 Unsuccessful Logon Attempts: 반복적인 로그인 실패에 대한 제한.
- 03.01.10 Device Lock: 비활성 상태의 장치 잠금.
- 03.01.12 Remote Access: 원격접속의 승인·관리·모니터링.
- 03.01.16 Wireless Access: 무선접속의 승인 및 보호.
- 03.01.18 Access Control for Mobile Devices: 모바일 장치의 접근통제.
- 03.01.20 Use of External Systems: 외부 시스템 사용의 제한.
- 03.01.22 Publicly Accessible Content: 공개 시스템에 게시되는 정보의 통제.
계정 관리 요구사항에서는 사용자와 역할, 접근 권한, 계정 만료 및 비활성화 조건을 명확히 정의하도록 한다.
정보흐름 통제는 단순히 사용자가 시스템에 로그인할 수 있는지 판단하는 접근통제와 구분된다.
예를 들어 사용자가 CUI를 열람할 권한이 있더라도 해당 정보를 외부 저장소로 전송하는 행위는 별도로 제한할 수 있다.
보안 인식 및 교육(03.02)은 시스템 사용자와 보안 담당자가 CUI 보호에 필요한 지식을 갖추도록 요구한다.
주요 요구사항은 다음과 같다.
- 03.02.01 Literacy Training and Awareness.
- 03.02.02 Role-Based Training.
교육 내용에는 내부자 위협, 사회공학 공격, 피싱, 정보보호 책임 및 사고 신고 절차 등이 포함될 수 있다.
관리자와 일반 사용자처럼 역할이 다른 구성원에게는 해당 직무에 적합한 교육을 제공해야 한다.
감사 및 책임추적성(03.03)은 보안 사건을 기록하고 분석하여 비인가 활동을 식별할 수 있도록 하는 요구사항이다.
주요 내용은 다음과 같다.
- 기록할 보안 사건 유형 정의.
- 감사 기록에 포함할 정보 결정.
- 감사 기록 생성.
- 감사 기능의 장애에 대한 대응.
- 감사 기록 검토·분석·보고.
- 감사 기록 검색 및 보고 기능.
- 타임스탬프 관리.
- 감사 정보의 무단 접근·수정·삭제 방지.
03.03.01은 기록할 사건 유형과 검토 주기를 조직이 정의하도록 한다.
03.03.08은 감사 기록과 감사 도구를 비인가 접근·수정·삭제로부터 보호하도록 요구한다.
로그를 수집하는 것만으로 충분하지 않으며, 수집된 기록을 검토하고 필요한 조치를 수행할 수 있어야 한다.
구성관리(03.04)는 정보시스템의 보안 상태를 유지하고 비인가 변경을 방지하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.04.01 Baseline Configuration.
- 03.04.02 Configuration Settings.
- 03.04.03 Configuration Change Control.
- 03.04.04 Impact Analyses.
- 03.04.05 Access Restrictions for Change.
- 03.04.06 Least Functionality.
- 03.04.08 Authorized Software – Allow by Exception.
- 03.04.10 System Component Inventory.
- 03.04.11 Information Location.
- 03.04.12 System and Component Configuration for High-Risk Areas.
기준 구성(Baseline Configuration)은 운영체제, 애플리케이션, 네트워크 및 보안 설정의 승인된 상태를 의미한다.
구성 변경 시에는 변경을 승인하고 보안 영향을 분석해야 한다.
03.04.08은 승인된 소프트웨어만 실행하도록 허용하는 방식의 통제를 다룬다.
03.04.11은 CUI가 처리·저장되는 위치를 식별하고 관리하도록 요구한다.
식별 및 인증(03.05)은 사용자와 장치의 신원을 확인하고 인증수단을 보호하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.05.01 User Identification and Authentication.
- 03.05.02 Device Identification and Authentication.
- 03.05.03 Multi-Factor Authentication.
- 03.05.04 Replay-Resistant Authentication.
- 03.05.05 Identifier Management.
- 03.05.07 Password Management.
- 03.05.11 Authentication Feedback.
- 03.05.12 Authenticator Management.
03.05.03은 특권 계정과 비특권 계정의 접근에 다중 인증(MFA)을 적용하도록 요구한다.
Revision 2에서는 특권 계정의 로컬·네트워크 접근과 비특권 계정의 네트워크 접근을 구분하여 규정했지만, Revision 3은 특권·비특권 계정에 대한 MFA 요구사항을 보다 통합적으로 기술한다.
03.05.04는 인증정보의 재전송을 이용한 공격에 대응하기 위해 재생 공격 방지 인증(Replay-Resistant Authentication)을 요구한다.
03.05.07은 비밀번호 관리에 관한 요구사항을 규정한다.
- 일반적으로 사용되는 비밀번호와 유출된 비밀번호 목록 유지.
- 비밀번호 생성·변경 시 해당 목록과 대조.
- 암호학적으로 보호된 통신 채널을 통한 비밀번호 전송.
- 적절한 비밀번호 저장 보호.
비밀번호 관리 요구사항은 과거의 복잡도 중심 정책과 차이가 있으므로 실제 적용 시 Revision 3의 원문을 기준으로 확인해야 한다.
사고 대응(03.06)은 보안사고의 탐지부터 복구까지 필요한 대응 능력을 갖추도록 요구한다.
주요 요구사항은 다음과 같다.
- 03.06.01 Incident Handling.
- 03.06.02 Incident Monitoring, Reporting, and Response Assistance.
- 03.06.03 Incident Response Testing.
- 03.06.04 Incident Response Training.
- 03.06.05 Incident Response Plan.
03.06.01은 사고 대응 능력에 다음 활동을 포함하도록 요구한다.
- 준비.
- 탐지 및 분석.
- 억제.
- 제거.
- 복구.
사고 대응 계획은 문서로 작성해야 하며, 관련 인력을 대상으로 교육과 시험을 수행해야 한다.
다만 SP 800-171 자체가 모든 사고에 적용되는 일률적인 외부 신고 기한을 정하는 것은 아니다.
구체적인 신고 의무와 기한은 적용되는 계약 조항과 법령에 따라 결정된다.
유지보수(03.07)는 시스템 유지보수 과정에서 CUI가 노출되는 위험을 관리한다.
주요 요구사항은 다음과 같다.
- 03.07.04 Maintenance Tools.
- 03.07.05 Nonlocal Maintenance.
- 03.07.06 Maintenance Personnel.
유지보수 도구와 관련 매체를 관리하고, 원격 유지보수 활동을 승인·모니터링하며, 유지보수 담당자의 권한을 통제해야 한다.
외부 업체가 원격으로 장비를 점검하는 경우에도 해당 접속이 CUI 처리 시스템에 미치는 영향을 고려해야 한다.
매체 보호(03.08)는 CUI가 저장된 물리적·전자적 매체를 보호하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.08.01 Media Storage.
- 03.08.02 Media Access.
- 03.08.03 Media Sanitization.
- 03.08.04 Media Marking.
- 03.08.05 Media Transport.
- 03.08.07 Media Use.
- 03.08.09 System Backup – Cryptographic Protection.
CUI가 저장된 매체는 인가된 사용자만 접근하도록 통제해야 한다.
저장매체를 폐기하거나 재사용하는 경우에는 정보의 복구 가능성을 고려하여 적절한 데이터 삭제 절차를 적용해야 한다.
백업 데이터에도 암호학적 보호가 요구된다.
인적 보안(03.09)은 CUI 처리 시스템에 접근하는 인력에 대한 보안 요구사항이다.
- 03.09.01 Personnel Screening.
- 03.09.02 Personnel Termination and Transfer.
시스템 접근을 허용하기 전에 필요한 인력 검토를 수행하고, 퇴직이나 전보 시에는 접근 권한을 적절히 변경하거나 제거해야 한다.
물리적 보호(03.10)는 CUI 처리 시스템과 시설의 물리적 접근을 통제한다.
주요 요구사항은 다음과 같다.
- 물리적 접근 권한 승인.
- 물리적 접근 활동 모니터링.
- 대체 근무 장소의 보안.
- 시설 및 장비에 대한 접근통제.
- 통신 회선과 전송 경로의 물리적 보호.
재택근무나 외부 근무 장소에서도 CUI를 처리한다면 해당 환경의 물리적 보호 위험을 고려해야 한다.
위험 평가(03.11)는 CUI의 비인가 공개 위험을 식별하고 대응하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.11.01 Risk Assessment.
- 03.11.02 Vulnerability Monitoring and Scanning.
- 03.11.04 Risk Response.
03.11.01은 CUI의 처리·저장·전송 과정에서 발생하는 비인가 공개 위험을 평가하도록 요구한다.
위험 평가에는 공급망 위험도 포함된다.
03.11.02는 시스템과 애플리케이션의 취약점을 모니터링하고 점검하는 활동을 다룬다.
취약점의 존재 여부뿐 아니라 조직의 위험 수준과 대응 우선순위도 고려해야 한다.
보안 평가 및 모니터링(03.12)은 보안 요구사항의 이행 여부를 평가하고 취약점을 지속적으로 관리하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.12.01 Security Assessment.
- 03.12.02 Plan of Action and Milestones.
- 03.12.03 Continuous Monitoring.
- 03.12.05 Information Exchange.
03.12.01은 조직이 정한 주기에 따라 보안 요구사항의 충족 여부를 평가하도록 요구한다.
03.12.02는 평가에서 발견된 취약점과 미흡사항을 개선하기 위한 조치 계획 및 일정(POA&M)을 수립하도록 한다.
03.12.03은 시스템 수준의 지속적 모니터링 전략을 수립하고 운영하도록 요구한다.
03.12.05는 다른 시스템과 CUI를 교환할 때 필요한 협정과 책임 분담을 다룬다.
시스템 및 통신 보호(03.13)는 네트워크 경계, 통신 및 저장 데이터의 기밀성을 보호한다.
주요 요구사항은 다음과 같다.
- 03.13.01 Boundary Protection.
- 03.13.04 Information in Shared System Resources.
- 03.13.06 Network Communications – Deny by Default – Allow by Exception.
- 03.13.08 Transmission and Storage Confidentiality.
- 03.13.09 Network Disconnect.
- 03.13.10 Cryptographic Key Establishment and Management.
- 03.13.11 Cryptographic Protection.
- 03.13.12 Collaborative Computing Devices and Applications.
- 03.13.13 Mobile Code.
- 03.13.15 Session Authenticity.
03.13.06은 네트워크 통신을 기본적으로 거부하고 예외적으로 허용하는 정책을 요구한다.
이는 기본 거부(Deny by Default) 방식의 네트워크 접근통제에 해당한다.
03.13.08은 CUI의 전송 및 저장 과정에서 비인가 공개를 방지하기 위한 암호학적 보호를 요구한다.
03.13.10은 암호키의 생성·배포·저장·접근·폐기에 관한 요구사항을 조직이 정의하도록 한다.
03.13.11은 CUI의 기밀성 보호에 사용할 암호기술의 유형을 조직 정의 매개변수로 지정하도록 한다.
원문은 CUI 보호에 FIPS 검증 암호기술을 사용할 것을 권고한다. 다만 이 권고와 특정 계약·규정에서 요구하는 암호기술의 의무사항은 구분해야 한다.
시스템 및 정보 무결성(03.14)은 시스템 취약점과 악성코드 등에 대응하기 위한 요구사항이다.
주요 요구사항은 다음과 같다.
- 03.14.01 Flaw Remediation.
- 03.14.02 Malicious Code Protection.
- 03.14.03 Security Alerts, Advisories, and Directives.
- 03.14.06 System Monitoring.
- 03.14.08 Information Management and Retention.
시스템의 취약점을 식별하고 적절한 시기에 수정해야 한다.
악성코드 방어 기능을 운영하고, 보안 권고 및 경보를 확인하며, 비정상적인 시스템 활동을 모니터링해야 한다.
03.14.08은 정보의 보존과 관리에 관한 요구사항이다.
계약 종료 이후에도 불필요한 CUI를 계속 보유하면 공격 표면과 유출 위험이 증가할 수 있으므로 관련 보존 의무와 폐기 절차를 고려해야 한다.
계획 수립(03.15)은 보안 요구사항의 구현과 운영을 문서화하는 활동이다.
주요 요구사항은 다음과 같다.
- 03.15.01 Policy and Procedures.
- 03.15.02 System Security Plan.
- 03.15.03 Rules of Behavior.
03.15.02는 시스템 보안계획(System Security Plan, SSP)의 작성과 유지관리를 요구한다.
SSP에는 시스템의 구성요소, 처리 정보, 운영 환경, 다른 시스템과의 연결 관계, 보안 요구사항의 구현 방법 등을 기술해야 한다.
03.15.03은 시스템 사용자가 준수해야 하는 행동규칙을 수립하고 관리하도록 한다.
시스템 및 서비스 획득(03.16)은 시스템 도입과 외부 서비스 사용에 따른 보안 위험을 관리한다.
주요 요구사항은 다음과 같다.
- 03.16.01 Security Engineering Principles.
- 03.16.02 Unsupported System Components.
- 03.16.03 External System Services.
03.16.02는 제조업체나 공급업체의 지원이 종료된 시스템 구성요소를 관리하도록 요구한다.
03.16.03은 외부 서비스 제공업체가 CUI를 처리·저장·전송하는 경우 필요한 보안 요구사항을 정의하고 적용하도록 한다.
클라우드 서비스 등 외부 서비스를 사용하는 경우에도 조직과 서비스 제공업체 사이의 보안 책임을 명확히 해야 한다.
공급망 위험관리(03.17)는 시스템과 서비스의 공급망에서 발생하는 보안 위험을 관리한다.
주요 요구사항은 다음과 같다.
- 03.17.01 Supply Chain Risk Management Plan.
- 03.17.02 Acquisition Strategies, Tools, and Methods.
- 03.17.03 Supply Chain Requirements and Processes.
03.17.01은 시스템의 연구개발, 설계, 제조, 획득, 납품, 통합, 운영, 유지보수 및 폐기에 이르는 수명주기 전반의 공급망 위험관리 계획을 요구한다.
공급망 위험관리 계획은 정기적으로 검토·갱신해야 하며, 계획 자체도 비인가 공개로부터 보호해야 한다.
Revision 3의 주요 특징 중 하나는 조직 정의 매개변수(Organization-Defined Parameter, ODP)의 도입이다.
ODP는 보안 요구사항의 일부 값을 연방기관 또는 비연방 조직이 직접 결정하도록 허용하는 구조이다.
예를 들어 다음과 같은 값이 ODP에 해당할 수 있다.
- 계정 비활성화까지 허용되는 기간.
- 감사 대상 사건 유형.
- 보안 평가 주기.
- 위험 평가 갱신 주기.
- 취약점 수정 기한.
- 암호키 관리 요구사항.
- 허용되는 암호기술 유형.
ODP 값은 연방기관이 계약이나 정책을 통해 지정할 수 있다.
여러 연방기관이 공통으로 사용하는 요구사항을 설정할 수도 있다.
연방기관이 특정 ODP 값을 지정하지 않은 경우에는 비연방 조직이 해당 값을 결정하여 요구사항을 완성해야 한다.
따라서 ODP가 존재한다는 이유로 해당 보안 요구사항을 선택적으로 이행할 수 있는 것은 아니다.
03.13.11 Cryptographic Protection은 CUI의 기밀성 보호에 사용할 암호기술 유형을 조직이 정의하도록 한다.
이 경우 다음과 같은 절차가 필요하다.
- 계약과 관련 규정에서 지정한 암호 요구사항 확인.
- 보호 대상 CUI와 시스템의 위험 분석.
- 허용할 암호기술 및 적용 범위 결정.
- 결정한 값을 보안 정책과 시스템 보안계획에 반영.
- 실제 구현 및 운영 상태 평가.
ODP는 요구사항의 유연성을 높이지만, 평가 시에는 조직이 결정한 값 자체가 명확하게 문서화되어 있어야 한다.
NIST SP 800-171A는 SP 800-171의 보안 요구사항을 평가하기 위한 절차를 제공한다.
2024년 5월 14일 SP 800-171 Revision 3과 함께 SP 800-171A Revision 3이 확정되었다.[5]
두 문서는 다음과 같이 구분된다.
| 구분 | SP 800-171 | SP 800-171A |
|---|---|---|
| 주요 목적 | 보안 요구사항 정의 | 보안 요구사항 평가 |
| 주요 내용 | 적용해야 할 보안 요구사항 | 평가 목표와 평가 절차 |
| 주요 사용자 | 시스템 소유자, 보안 담당자, 계약업체 | 평가자, 감사 담당자, 감독기관 |
| 결과 | 보안 요구사항의 구현 | 요구사항 충족 여부에 대한 평가 결과 |
SP 800-171A는 보안 요구사항을 평가하기 위해 다음 세 가지 방법을 사용한다.
| 방법 | 영문 | 주요 활동 |
|---|---|---|
| 검사 | Examine | 문서, 설정, 로그, 기록 및 시스템 구성 검토 |
| 면담 | Interview | 담당자와의 질의응답을 통한 절차·운영 상태 확인 |
| 시험 | Test | 보안 기능과 통제의 실제 동작 확인 |
예를 들어 다중 인증 요구사항을 평가할 때 다음 방법을 조합할 수 있다.
- 검사: 인증 정책과 시스템 설정 확인.
- 면담: 계정 관리자와 보안 담당자에게 인증 운영 절차 확인.
- 시험: 실제 계정으로 로그인하여 다중 인증 적용 여부 확인.
평가자는 평가 목적과 대상에 따라 검사·면담·시험을 적절히 조합한다.
SP 800-171A는 평가의 깊이(Depth)와 범위(Coverage)를 조정할 수 있도록 한다.
- 깊이: 특정 평가 대상에 대해 얼마나 상세하게 확인할 것인가.
- 범위: 얼마나 많은 평가 대상과 사례를 확인할 것인가.
평가의 엄격성은 계약이나 평가 목적에 따라 달라질 수 있다.
따라서 SP 800-171을 준수한다는 주장과 독립적인 제3자 평가를 통과했다는 사실은 구분해야 한다.
시스템 보안계획(System Security Plan, SSP)은 시스템의 보안 요구사항과 구현 상태를 설명하는 문서이다.
SP 800-171 Revision 3의 03.15.02는 SSP에 다음 정보를 포함하도록 요구한다.
- 시스템을 구성하는 주요 구성요소.
- 시스템이 처리·저장·전송하는 정보 유형.
- 조직이 중요하게 고려하는 위협.
- 시스템의 운영 환경.
- 다른 시스템과의 연결 및 의존 관계.
- 적용되는 보안 요구사항.
- 요구사항의 구현 방법.
- 시스템의 운영 및 관리 책임.
SSP는 시스템의 실제 상태를 반영해야 하며, 정해진 주기에 따라 검토·갱신해야 한다.
조치 계획 및 일정(Plan of Action and Milestones, POA&M)은 보안 평가에서 발견된 미흡사항과 취약점을 개선하기 위한 계획이다.
주요 내용은 다음과 같다.
- 발견된 보안 미흡사항.
- 개선해야 할 보안 요구사항.
- 예정된 개선 활동.
- 개선 책임자.
- 목표 일정.
- 개선 진행 상태.
SP 800-171 Revision 3은 시스템의 지속적인 예외사항과 일시적인 미흡사항을 구분한다.
특수한 시스템의 기술적 제약 등 지속적인 예외사항은 SSP에 기술할 수 있다.
반면 개별적·일시적인 보안 미흡사항은 POA&M을 통해 관리한다.
다만 POA&M을 작성했다는 사실만으로 모든 보안 요구사항의 미이행이 허용되는 것은 아니다.
계약과 평가제도에서 허용하는 범위 및 조건을 별도로 확인해야 한다.
CMMC(Cybersecurity Maturity Model Certification)는 미국 국방부가 방위산업 계약업체의 정보보호 수준을 평가하기 위해 운영하는 사이버보안 인증·평가제도이다.
CMMC는 NIST SP 800-171과 밀접하게 연계되어 있지만 두 제도는 동일하지 않다.
- NIST SP 800-171: CUI 보호를 위한 보안 요구사항을 정의하는 기술 지침.
- CMMC: 계약업체의 보안 요구사항 이행 상태를 평가하고 계약에 반영하는 제도.
2026년 10월 기준 CMMC의 주요 평가 수준은 다음과 같다.[6]
| 수준 | 주요 보호 대상 | 주요 기준 | 평가 방식 |
|---|---|---|---|
| Level 1 | FCI | FAR 52.204-21의 15개 기본 보호 요구사항 | 자체평가 |
| Level 2 | CUI | NIST SP 800-171 Revision 2의 110개 요구사항 | 계약에 따라 자체평가 또는 제3자 평가 |
| Level 3 | 고도화된 위협에 노출되는 CUI | Level 2 요구사항 및 추가 강화 요구사항 | 정부 주도 평가 |
CMMC Level 2의 평가 기준은 NIST SP 800-171 Revision 2의 110개 요구사항이다.
따라서 NIST가 Revision 3을 확정했다고 해서 CMMC Level 2의 평가 기준이 자동으로 Revision 3으로 변경되는 것은 아니다.
계약업체는 NIST 간행물의 최신판과 실제 계약·평가제도에서 지정한 판본을 구분해야 한다.
미국 국방부는 2025년 11월부터 CMMC 요구사항을 단계적으로 계약에 반영하기 시작하였다.
그러나 2026년 7월 13일 미국 국방부는 2026년 11월 10일 시행 예정이던 CMMC Phase II 요구사항을 중단한다고 발표하였다.
이 조치에도 Phase I의 자체평가 요구사항은 유지되었다.[7]
따라서 2026년 10월 현재 CMMC의 실제 적용 범위를 판단할 때는 계약에 포함된 요구사항과 최신 국방부 시행 지침을 함께 확인해야 한다.
Revision 3은 기존 요구사항을 단순히 추가한 개정판이 아니라 보안 요구사항의 구성과 도출 방식을 상당 부분 변경하였다.
| 항목 | Revision 2 | Revision 3 |
|---|---|---|
| 발행 | 2020년 2월, 2021년 1월 갱신 | 2024년 5월 |
| 보안 요구사항 계열 | 14개 | 17개 |
| 활성 보안 요구사항 | 110개 | 97개 |
| 요구사항 번호 | 3.1.1 등 | 03.01.01 등 |
| 요구사항 구분 | Basic / Derived | 구분 폐지 |
| 기준 통제체계 | 이전 SP 800-53 통제체계 기반 | SP 800-53 Revision 5 기반 |
| 조직 정의 매개변수 | 현행 ODP 체계 미도입 | ODP 도입 |
| 통제 조정 기준 | 기존 조정 방식 | CUI, FED, NCO, ORC, N/A |
| 계획 수립 | 다른 계열에 분산 | Planning 계열 추가 |
| 시스템·서비스 획득 | 다른 계열에 분산 | System and Services Acquisition 계열 추가 |
| 공급망 위험관리 | 다른 계열에서 일부 취급 | Supply Chain Risk Management 계열 추가 |
Revision 3에서는 일부 요구사항이 통합되거나 제거되고, 새로운 요구사항이 도입되었다.
따라서 단순히 요구사항의 수가 110개에서 97개로 감소했다는 이유만으로 보안 수준이 완화되었다고 판단할 수 없다.
NIST는 요구사항의 명확성, 중복 제거 및 SP 800-53과의 정합성을 개선하는 데 중점을 두었다.[8]
Revision 3에서 독립적으로 추가된 계열은 다음과 같다.
- Planning(03.15).
- System and Services Acquisition(03.16).
- Supply Chain Risk Management(03.17).
이들 계열은 시스템 보안계획, 외부 서비스, 지원 종료 구성요소 및 공급망 위험 등을 보다 명확하게 다룬다.
Revision 2에서는 3.1.1과 같은 번호 체계를 사용하였다.
Revision 3에서는 03.01.01과 같은 번호 체계를 사용한다.
번호가 비슷하더라도 요구사항의 내용과 범위가 동일하다고 가정해서는 안 된다.
예를 들어 다중 인증은 다음과 같이 표기된다.
- Revision 2: 3.5.3.
- Revision 3: 03.05.03.
두 요구사항은 유사한 주제를 다루지만 적용 범위와 표현에 차이가 있다.
| 문서 | 주요 목적 | SP 800-171과의 관계 |
|---|---|---|
| NIST SP 800-53 | 정보시스템과 조직을 위한 보안·개인정보 보호 통제 카탈로그 | SP 800-171 요구사항의 원천 통제 |
| NIST SP 800-53B | 보안 통제 기준선 | Moderate 기준선에서 CUI 관련 통제 도출 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | SP 800-171A 평가 방법론의 기반 |
| NIST SP 800-171A | CUI 보안 요구사항 평가 | SP 800-171의 요구사항 충족 여부 평가 |
| NIST SP 800-172 | CUI 보호를 위한 강화된 보안 요구사항 | 고도화된 위협에 대응하기 위한 추가 요구사항 |
| NIST SP 800-172A | 강화된 CUI 보안 요구사항 평가 | SP 800-172의 평가 절차 |
| NIST SP 800-161 | 사이버보안 공급망 위험관리 | 공급망 위험관리 체계와 방법론 제공 |
| NIST SP 800-37 | 위험관리 프레임워크(RMF) | 정보시스템의 위험관리 절차 제공 |
NIST SP 800-53은 다양한 정보시스템과 조직에 적용할 수 있는 광범위한 보안 및 개인정보 보호 통제 카탈로그이다.
반면 SP 800-171은 비연방 정보시스템에서 CUI의 기밀성을 보호하는 데 필요한 요구사항을 선별하여 제시한다.
따라서 SP 800-171의 모든 요구사항을 충족했다고 해서 SP 800-53의 전체 보안 통제를 충족했다고 볼 수는 없다.
NIST SP 800-172는 SP 800-171을 보완하는 강화된 보안 요구사항을 제공한다.
2026년 5월 13일에는 SP 800-172 Revision 3이 최종 발행되었다.[9]
SP 800-172는 중요 프로그램 또는 고가치 자산(High Value Asset, HVA)과 관련된 CUI를 고도화된 지속적 위협(APT)으로부터 보호하기 위한 추가 요구사항을 다룬다.
주요 차이는 다음과 같다.
- SP 800-171: CUI의 기밀성 보호를 위한 기본 보안 요구사항.
- SP 800-172: 중요 프로그램 및 고가치 자산과 관련된 CUI의 기밀성·무결성·가용성을 추가로 보호하기 위한 강화 요구사항.
SP 800-172의 모든 강화 요구사항이 자동으로 적용되는 것은 아니다.
연방기관은 업무상 필요성과 위험 평가 결과에 따라 적용할 강화 요구사항을 선정하고 계약 등에 반영한다.
SP 800-171A는 보안 요구사항 자체를 새로 정의하는 문서가 아니다.
SP 800-171에서 정의한 요구사항이 적절히 구현되었는지 평가하기 위한 방법과 절차를 제공한다.
따라서 요구사항을 구현할 때는 SP 800-171을, 평가를 수행할 때는 해당 판본에 대응하는 SP 800-171A를 함께 활용한다.
| 시기 | 판본 | 주요 내용 |
|---|---|---|
| 2015년 6월 | 최초 발행 | 비연방 정보시스템의 CUI 보호 요구사항 수립 |
| 2016년 12월 | Revision 1 | 보안 요구사항 개정 |
| 2017~2018년 | Revision 1 갱신 | 정오표 및 내용 갱신 |
| 2020년 2월 | Revision 2 | 보안 요구사항 및 설명 정비 |
| 2021년 1월 | Revision 2 갱신 | 기존 판본의 내용 갱신 |
| 2022년 7월 | Revision 3 공개 초안 | 개정안 의견 수렴 시작 |
| 2023년 5월 | Revision 3 공개 초안 | 추가 개정안 공개 |
| 2023년 11월 | Revision 3 최종 공개 초안 | 최종 의견 수렴 |
| 2024년 5월 14일 | Revision 3 확정판 | 17개 계열로 재구성하고 SP 800-53 Rev. 5와 정합성 강화 |
Revision 3은 Revision 2를 대체하였다.
2026년 10월 기준 NIST CSRC에서 제공하는 최신 확정판은 Revision 3이다.[10]
다만 NIST 간행물의 최신판과 특정 계약 또는 평가제도에서 의무적으로 적용하는 판본은 다를 수 있다.
NIST SP 800-171 Revision 3은 본문 3개 장과 부록 5개로 구성된다.
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 적용 대상 및 범위 |
| 제2장 | The Fundamentals | 보안 요구사항의 도출 방법, 전제 및 통제 조정 기준 |
| 제3장 | The Security Requirements | 17개 계열의 보안 요구사항 |
| 부록 A | Acronyms | 약어 |
| 부록 B | Glossary | 용어 정의 |
| 부록 C | Tailoring Criteria | SP 800-53 통제 조정 기준 및 대응표 |
| 부록 D | Organization-Defined Parameters | 조직 정의 매개변수 목록 |
| 부록 E | Change Log | 개정 내역 |
제3장은 보안 요구사항을 계열별로 제시하며, 각 요구사항은 일반적으로 다음 요소로 구성된다.
- 요구사항 번호와 명칭.
- 보안 요구사항 본문.
- 구현과 평가를 지원하는 설명(Discussion).
- 원천 SP 800-53 통제 및 관련 참고문서.
요구사항 본문은 규범적 요구사항을 나타낸다.
반면 Discussion은 요구사항의 이해와 구현을 지원하는 설명이며, 요구사항의 범위를 임의로 확대하는 규범적 조항으로 취급하지 않는다.
- ↑ 1.0 1.1 1.2 Ron Ross, Victoria Pillitteri, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations, NIST SP 800-171 Revision 3, https://doi.org/10.6028/NIST.SP.800-171r3, 2024-05-14.
- ↑ The White House, Executive Order 13556—Controlled Unclassified Information, https://www.govinfo.gov/content/pkg/FR-2010-11-09/pdf/2010-28360.pdf, 2010-11-04.
- ↑ National Archives and Records Administration, CUI Registry, https://www.archives.gov/cui/registry/category-list, 확인: 2026-10-25.
- ↑ Federal Acquisition Regulation, 52.204-21 Basic Safeguarding of Covered Contractor Information Systems, https://www.acquisition.gov/far/52.204-21, 확인: 2026-10-25.
- ↑ Ron Ross, Victoria Pillitteri, Assessing Security Requirements for Controlled Unclassified Information, NIST SP 800-171A Revision 3, https://doi.org/10.6028/NIST.SP.800-171Ar3, 2024-05-14.
- ↑ U.S. Department of Defense, CMMC 2.0 Details and Links to Key Resources, https://business.defense.gov/cmmc/, 확인: 2026-10-25.
- ↑ U.S. Department of Defense, Forging the Arsenal of Freedom: Department of War Suspends CMMC Phase II Requirements, https://business.defense.gov/Engage/News/Newsfeed-Repository/Article/4542563/forging-the-arsenal-of-freedom-department-of-war-suspends-cmmc-phase-ii-require/, 2026-07-13.
- ↑ NIST, NIST Issues Updated Security Requirements and Assessment Procedures for Protecting Controlled Unclassified Information (CUI), https://www.nist.gov/news-events/news/2024/05/nist-issues-updated-security-requirements-and-assessment-procedures, 2024-05-14.
- ↑ Victoria Pillitteri, Ron Ross, Enhanced Security Requirements for Protecting Controlled Unclassified Information, NIST SP 800-172 Revision 3, https://doi.org/10.6028/NIST.SP.800-172r3, 2026-05-13.
- ↑ NIST Computer Security Resource Center, SP 800-171 Rev. 3, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations, https://csrc.nist.gov/pubs/sp/800/171/r3/final, 확인: 2026-10-25.