NIST SP 800-172
더 많은 작업
NIST SP 800-172(Enhanced Security Requirements for Protecting Controlled Unclassified Information)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 중요 사업 및 고가치 자산과 관련된 통제 비밀해제 정보(CUI)를 지능형 지속 위협(APT)으로부터 보호하기 위해 제정한 강화 보안 요구사항 지침이다.
NIST SP 800-172는 미국 연방정부의 통제 비밀해제 정보(Controlled Unclassified Information, CUI)를 취급하는 비연방기관의 정보시스템에 추가적인 보안 요구사항을 적용하기 위한 지침이다.
기본적인 CUI 보호 요구사항을 규정한 NIST SP 800-171을 보완하며, 특히 중요 사업(Critical Program) 또는 고가치 자산(High Value Asset, HVA)과 관련된 CUI를 지능형 지속 위협(Advanced Persistent Threat, APT)으로부터 보호하는 데 중점을 둔다.
2026년 5월 발표된 Revision 3는 침투 저항 아키텍처, 피해 제한 운영 및 사이버 복원력을 결합한 다차원 심층 방어 전략을 제시한다.[1]
주요 특징은 다음과 같다.
- NIST SP 800-171의 기본 보안 요구사항을 보완하는 강화 보안 요구사항 제공.
- APT의 장기 침투, 은닉, 내부 확산 및 지속적 공격에 대한 방어 강화.
- 중요 사업 및 고가치 자산과 관련된 CUI 보호에 중점.
- 침투 저항 아키텍처(PRA), 피해 제한 운영(DLO), 사이버 복원력(CRS)의 세 가지 보호 전략 제시.
- 접근통제, 네트워크 분리, 자산 관리, 공급망 보안 등 17개 보안 요구사항 계열 구성.
- NIST SP 800-53 Revision 5의 보안 통제 및 통제 개선항목을 기반으로 요구사항 도출.
- NIST SP 800-160 Volume 2의 사이버 복원력 전략 및 공격자 영향 분류와 연계.
- 연방기관의 업무 필요성과 위험 평가 결과에 따라 요구사항을 선택적으로 적용.
- 계약, 보조금 협약 및 기타 합의를 통해 비연방기관에 적용.
이 문서는 모든 비연방기관에 전체 강화 요구사항을 일률적으로 적용하도록 요구하지 않는다. 미국 연방기관이 위험 평가와 업무 필요성을 고려하여 적용할 요구사항을 선정한다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-172 |
| 정식 명칭 | Enhanced Security Requirements for Protecting Controlled Unclassified Information |
| 한국어 명칭 | 통제 비밀해제 정보 보호를 위한 강화 보안 요구사항 |
| 발행기관 | NIST |
| 최초 발행 | 2021년 2월 2일 |
| 현행판 | Revision 3 |
| 현행판 발행 | 2026년 5월 13일 |
| 주요 대상 | 중요 사업 또는 고가치 자산과 관련된 CUI를 처리하는 비연방기관 시스템 |
| 주요 위협 | 지능형 지속 위협(APT) |
| 기반 문서 | NIST SP 800-171, NIST SP 800-53 |
| 평가 문서 | NIST SP 800-172A |
| 공식 페이지 | NIST CSRC |
| 원문 |
미국 연방정부는 국방, 연구개발, 산업 및 기타 정부 업무를 수행하는 과정에서 민간기업과 다양한 정보를 공유한다.
이러한 정보 중 국가기밀로 분류되지는 않았지만 법률, 규정 또는 정부 차원의 정책에 따라 보호와 배포 제한이 필요한 정보를 CUI라고 한다.
CUI는 연방기관 내부뿐 아니라 정부 계약업체, 연구기관 및 기타 비연방기관의 시스템에서도 처리될 수 있다.
기본적인 CUI 보호 요구사항은 NIST SP 800-171에서 규정한다. 그러나 중요 사업이나 고가치 자산과 관련된 CUI는 높은 수준의 기술과 자원을 보유한 APT의 공격 대상이 될 수 있다.
APT는 여러 공격 경로를 활용하여 시스템에 침투하고, 장기간 접근 권한을 유지하며, 탐지를 회피하고, 방어자의 대응에 적응할 수 있다.
따라서 기본적인 접근통제와 취약점 관리만으로는 충분하지 않을 수 있으며, 침투 가능성을 줄이는 동시에 침해 발생 이후에도 공격자의 활동을 제한하고 중요 업무를 지속할 수 있는 보안체계가 필요하다.
NIST SP 800-172는 이러한 추가 보호 필요성에 대응하기 위해 개발되었다.[1]
| 시기 | 문서 | 주요 내용 |
|---|---|---|
| 2021년 2월 2일 | SP 800-172 | 강화 보안 요구사항 최초 발행 |
| 2024년 11월 13일 | Revision 3 최초 공개 초안 | 요구사항 체계 및 보호 범위 개정 |
| 2025년 9월 29일 | Revision 3 최종 공개 초안 | 강화 요구사항 및 관련 평가 절차에 대한 의견 수렴 |
| 2026년 5월 13일 | Revision 3 최종본 | 강화 요구사항 확장 및 NIST SP 800-171 Revision 3와의 체계 정합성 확보 |
2026년 10월 23일 기준 최신 확정본은 NIST SP 800-172 Revision 3이다.
Revision 3는 2021년 최초 발행본을 대체한다.[2]
2026년 5월 13일 발표된 Revision 3는 다음 사항을 반영하였다.
- 접근통제, 네트워크 분리, 자산 관리 및 공급망 보안에 관한 강화 요구사항 확대.
- NIST SP 800-160의 사이버 복원력 보호 전략 및 공격자 영향과의 매핑 추가.
- NIST SP 800-171 Revision 3와 일관되도록 요구사항 구조 개편.
- NIST SP 800-53 Revision 5의 원천 보안 통제와 정합성 강화.
- 요구사항의 구체성을 높여 구현 및 평가 범위의 모호성 축소.
- 요구사항별 제목 및 번호 체계 정비.
- 계획(PL), 시스템 및 서비스 획득(SA), 공급망 위험 관리(SR) 계열 추가.
- 중복되거나 더 이상 적절하지 않은 일부 요구사항 철회.
- 조직 정의 매개변수(ODP)를 활용한 요구사항의 구체화.
- 보충 부록을 통한 요구사항 요약, 공격자 영향 및 매개변수 정보 제공.
Revision 3의 개정 번호는 NIST SP 800-171 Revision 3 및 관련 평가 문서와 일관성을 확보하기 위한 일회성 번호 조정을 반영한다.
따라서 Revision 3라는 명칭만으로 SP 800-172의 확정본이 세 차례 발행되었다고 해석해서는 안 된다.[3]
SP 800-172는 미국 연방기관과 계약 또는 협약 관계에 있는 비연방기관의 시스템에 적용하기 위한 지침이다.
다만 모든 비연방기관 시스템이 적용 대상인 것은 아니다.
적용 범위는 다음 조건을 중심으로 결정된다.
- 미국 연방정부의 CUI를 처리·저장·전송하는 시스템.
- 중요 사업 또는 고가치 자산과 관련된 CUI를 취급하는 시스템.
- 해당 시스템을 보호하는 보안 기능을 제공하는 구성요소.
- 신뢰 관계 등을 통해 보호 대상 시스템에 직접적인 공격 경로를 제공하는 구성요소.
- 연방기관이 위험 평가 결과에 따라 강화 요구사항의 적용이 필요하다고 판단한 범위.
적용 대상에는 서버, 워크스테이션, 네트워크 장비, 운영체제, 애플리케이션, 가상 머신, 모바일 장치 및 사이버물리시스템 구성요소 등이 포함될 수 있다.
강화 보안 요구사항의 적용 여부와 범위는 미국 연방기관이 결정한다.
연방기관은 중요 사업 및 고가치 자산과 관련된 CUI의 위험을 평가하고, 필요한 강화 요구사항을 계약 또는 기타 협약에 명시한다.
비연방기관은 해당 요구사항을 충족하기 위한 구체적인 구현 방법을 선택할 수 있다.
예를 들어 CUI를 처리하는 시스템을 별도의 보안 영역으로 격리하여 강화 요구사항의 적용 범위를 제한할 수 있다.
이러한 격리에는 다음 방법이 활용될 수 있다.
- 물리적으로 분리된 시스템과 네트워크.
- 방화벽을 이용한 서브네트워크 분리.
- 소프트웨어 정의 경계.
- 마이크로 세그멘테이션.
- 제로 트러스트 네트워크 아키텍처.
- 정보 흐름 통제.
다만 보안 영역을 분리하더라도 보호 대상 시스템에 직접적인 공격 경로를 제공하는 신뢰 관계와 연결 구성요소를 고려해야 한다.
SP 800-172 Revision 3는 APT에 대응하기 위한 다차원 보호 전략(Multidimensional Protection Strategy)을 제시한다.
이 전략은 세 가지 요소로 구성된다.
| 구분 | 영문 | 주요 목적 |
|---|---|---|
| 침투 저항 아키텍처 | Penetration-Resistant Architecture (PRA) | 공격자의 시스템 침투와 지속적인 접근 권한 확보 가능성 감소 |
| 피해 제한 운영 | Damage-Limiting Operations (DLO) | 침해 탐지 능력 향상 및 침해 발생 시 피해 제한 |
| 사이버 복원력 | Cyber Resiliency (CRS) | 공격 상황에서도 중요 업무를 지속하고 복구·적응하는 능력 확보 |
세 요소는 상호 보완적이다.
APT가 일부 방어체계를 우회하거나 시스템 침해에 성공할 수 있다는 점을 전제로, 침투 방지뿐 아니라 탐지·제한·복구 역량을 함께 확보하도록 한다.[1]
침투 저항 아키텍처(PRA)는 공격자가 조직의 시스템에 침투하거나 지속적인 접근 권한을 확보할 기회를 제한하는 아키텍처이다.
기술적 통제뿐 아니라 시스템 설계, 엔지니어링 및 운영 절차를 함께 활용한다.
주요 접근 방식은 다음과 같다.
- 시스템과 네트워크의 논리적·물리적 분리.
- 보안 영역별 접근통제.
- 최소 권한 적용.
- 중요 작업에 대한 이중 승인.
- 구성요소 간 신뢰 관계 제한.
- 중요 시스템의 공격 표면 축소.
- 보안 설정 및 변경 관리 강화.
침투 저항 아키텍처는 공격자의 최초 침투 가능성과 내부 확산 기회를 줄이는 데 중점을 둔다.
피해 제한 운영(DLO)은 공격자가 시스템 침해에 성공했을 때 이를 탐지하고 피해 범위를 제한하기 위한 운영적·절차적 보호 조치이다.
탐지되지 않은 침해까지 고려한다는 점이 특징이다.
주요 접근 방식은 다음과 같다.
- 고도화된 보안관제 및 이상행위 분석.
- 침해 징후에 대한 지속적 모니터링.
- 중요 작업에 대한 이중 승인.
- 중요 데이터와 시스템의 격리.
- 공격자의 내부 이동 제한.
- 침해사고 발생 시 신속한 봉쇄.
- 공격자의 행위를 관찰하기 위한 기만 기술 활용.
사이버 복원력(CRS)은 시스템에 대한 공격, 침해 및 불리한 상황을 예상하고 견디며, 복구하고, 변화에 적응하는 능력이다.
사이버 복원력은 공격을 완전히 방지하는 것만을 목표로 하지 않는다.
일부 시스템이 침해되더라도 조직의 핵심 임무와 업무를 수행할 수 있도록 하는 데 중점을 둔다.
주요 접근 방식은 다음과 같다.
- 중요 기능의 분산과 격리.
- 대체 시스템 및 구성요소 확보.
- 침해 상황에서의 업무 연속성 유지.
- 신뢰할 수 있는 상태로 시스템 복구.
- 공격자에 대한 기만과 우회.
- 시스템 구성의 변경 및 다양화.
- 공격 상황에 따른 보안체계의 적응.
SP 800-172는 이러한 복원력 개념을 NIST SP 800-160 Volume 2의 사이버 복원력 공학 지침과 연계한다.
SP 800-172 Revision 3는 강화 보안 요구사항이 공격자의 활동에 미치는 영향을 다섯 가지로 분류한다.
이 분류는 NIST SP 800-160 Volume 2의 사이버 복원력 접근법을 기반으로 한다.
| 구분 | 영문 | 주요 의미 |
|---|---|---|
| 사전 차단 | Preclude | 공격자가 위협 행위를 실행할 기회를 제거하거나 감소 |
| 노출 | Expose | 공격자의 활동을 탐지하거나 드러냄 |
| 방향 전환 | Redirect | 공격자를 실제 보호 대상에서 다른 대상으로 유도 |
| 방해 | Impede | 공격자의 활동을 지연시키거나 어렵게 만듦 |
| 제한 | Limit | 공격으로 발생하는 피해의 범위와 영향을 감소 |
각 강화 요구사항에는 해당 요구사항이 지원하는 보호 전략과 공격자에 대한 예상 영향이 제시된다.
예를 들어 기만 시스템을 이용한 공격 탐지는 공격자의 활동을 노출시키고 피해를 제한하는 효과를 목표로 한다.
이러한 분류는 조직이 특정 방어 기능에만 집중하지 않고 다양한 보호 효과를 조합하도록 지원한다.
SP 800-172 Revision 3의 강화 보안 요구사항은 NIST SP 800-171 Revision 3와 일관된 17개 계열로 구성된다.
각 계열은 특정 보안 영역에 관한 강화 요구사항을 포함한다.
| 번호 | 요구사항 계열 | 영문 | 주요 영역 |
|---|---|---|---|
| 3.1 | 접근통제 | Access Control | 특권 작업, 원격 접근, 세션 및 정보 흐름 통제 |
| 3.2 | 보안 인식 및 교육 | Awareness and Training | 역할별 보안 교육 및 공급망 관련 교육 |
| 3.3 | 감사 및 책임추적성 | Audit and Accountability | 감사기록 보호 및 보안 이벤트 분석 |
| 3.4 | 형상 관리 | Configuration Management | 구성요소 관리, 변경 통제 및 신뢰할 수 있는 구성 유지 |
| 3.5 | 식별 및 인증 | Identification and Authentication | 장치 인증 및 인증수단 보호 |
| 3.6 | 침해사고 대응 | Incident Response | 사고 대응 역량 및 사고 정보 활용 |
| 3.7 | 유지보수 | Maintenance | 유지보수 도구 및 관련 활동의 보안 |
| 3.8 | 매체 보호 | Media Protection | 저장매체 보호 및 안전한 삭제 |
| 3.9 | 인적 보안 | Personnel Security | 인력에 대한 보안 요구사항 |
| 3.10 | 물리적 보호 | Physical Protection | 시설과 시스템 구성요소의 물리적 보호 |
| 3.11 | 위험 평가 | Risk Assessment | 위협·취약점 및 위험 분석 |
| 3.12 | 보안 평가 및 모니터링 | Security Assessment and Monitoring | 침투 테스트, 독립 평가 및 지속적 모니터링 |
| 3.13 | 시스템 및 통신 보호 | System and Communications Protection | 네트워크 분리, 기만 및 통신 보호 |
| 3.14 | 시스템 및 정보 무결성 | System and Information Integrity | 무결성 검증 및 악성 활동 탐지 |
| 3.15 | 계획 | Planning | 보안 아키텍처와 심층 방어 계획 |
| 3.16 | 시스템 및 서비스 획득 | System and Services Acquisition | 시스템 획득과 보안 전문화 |
| 3.17 | 공급망 위험 관리 | Supply Chain Risk Management | 공급망 통지, 구성요소 검사 및 출처 관리 |
Revision 3의 강화 보안 요구사항은 다음과 같은 형식으로 표시한다.
- 03.01.01E: 이중 승인(Dual Authorization).
- 03.12.01E: 침투 테스트(Penetration Testing).
- 03.13.08E: 기만 시스템(Decoys).
- 03.17.03E: 구성요소 진위 확인(Component Authenticity).
번호 끝의 E는 강화 보안 요구사항(Enhanced Security Requirement)을 나타낸다.
다만 SP 800-172의 강화 요구사항 번호가 SP 800-171의 동일 번호 요구사항을 직접 강화한다는 의미는 아니다.
예를 들어 03.01.01E가 반드시 SP 800-171의 03.01.01을 강화하는 것은 아니다.
각 요구사항의 설명에는 SP 800-171의 기존 요구사항을 강화하는지, 별도의 보안 통제에서 도출되었는지 등이 명시된다.
03.01.01E Dual Authorization은 조직이 지정한 특권 명령 또는 중요 작업을 수행할 때 이중 승인을 적용하도록 요구한다.
이중 승인은 Two-Person Control이라고도 한다.
하나의 계정이나 사용자가 중요 작업을 독자적으로 수행하지 못하도록 하여 내부자 위협과 탈취된 계정의 악용 위험을 줄이는 것이 목적이다.
예를 들어 조직이 중요 시스템의 특정 특권 작업을 이중 승인 대상으로 지정할 수 있다.
다만 긴급 대응이 필요한 상황에서는 이중 승인 절차가 공공 및 환경 안전에 미치는 영향도 고려해야 한다.
03.12.01E Penetration Testing은 조직이 정의한 주기에 따라 지정된 시스템 또는 구성요소에 침투 테스트를 수행하도록 요구한다.
침투 테스트는 공격자가 악용할 수 있는 취약점을 식별하기 위한 전문적인 보안 평가이다.
조직은 평가 주기와 대상 시스템을 구체적으로 정해야 한다.
이는 단순한 취약점 스캔과 구분되는 전문적인 보안 평가 활동이다.
03.13.08E Decoys는 공격 탐지, 공격 방향 전환 및 공격 분석을 위해 악성 공격의 대상이 되도록 설계된 구성요소를 시스템에 포함하도록 하는 요구사항이다.
대표적인 구현 방식은 다음과 같다.
- 허니팟(Honeypot).
- 허니넷(Honeynet).
- 기만 네트워크(Deception Net).
기만 시스템은 공격자의 관심을 실제 업무 시스템에서 다른 대상으로 유도하고 공격 활동을 관찰하는 데 활용할 수 있다.
다만 기만 시스템이 공격자의 침투 거점으로 악용되어 실제 업무 시스템에 피해를 주지 않도록 적절한 격리 조치가 필요하다.
해당 요구사항은 피해 제한 운영(DLO)과 사이버 복원력(CRS)을 지원한다.
03.13.09E Isolation of Security Tools, Mechanisms, and Support Components는 조직이 지정한 보안 도구와 지원 구성요소를 다른 내부 시스템 구성요소로부터 격리하도록 요구한다.
관리되는 인터페이스를 가진 물리적으로 분리된 서브네트워크를 활용하는 방식이다.
보안 도구와 분석 환경을 중요 업무 처리 네트워크로부터 분리하여 공격자가 조직의 보안 분석 및 포렌식 기법을 파악하기 어렵게 만드는 데 목적이 있다.
Revision 3는 공급망 위험 관리 계열에 다음과 같은 강화 요구사항을 포함한다.
| 요구사항 | 영문 | 주요 내용 |
|---|---|---|
| 03.17.01E | Notification Agreements | 공급망 관련 기관과 보안 통지에 관한 협약 및 절차 수립 |
| 03.17.02E | Inspection of Systems or Components | 시스템 또는 구성요소 검사 |
| 03.17.03E | Component Authenticity | 위조 구성요소의 탐지·방지 및 보고 |
| 03.17.04E | Provenance | 시스템·구성요소 및 관련 CUI의 출처와 이력 관리 |
| 03.17.05E | Supply Chain Integrity – Pedigree | 공급망 구성요소의 이력과 무결성 관리 |
이러한 요구사항은 외부 공급자로부터 제공받는 시스템과 구성요소가 공격 경로로 악용될 가능성을 줄이기 위한 것이다.[1]
SP 800-172 Revision 3는 일부 요구사항에 조직 정의 매개변수(Organization-Defined Parameter, ODP)를 사용한다.
ODP는 요구사항의 구체적인 적용 범위와 값을 조직이 정할 수 있도록 하는 요소이다.
주요 방식은 다음과 같다.
| 방식 | 영문 | 설명 |
|---|---|---|
| 값 지정 | Assignment | 조직이 주기, 대상, 수량, 역할 또는 기타 값을 지정 |
| 선택 | Selection | 제시된 선택지 중 하나 이상을 선정 |
예를 들어 침투 테스트 요구사항에서는 다음 항목을 정의해야 한다.
- 침투 테스트 수행 주기.
- 침투 테스트 대상 시스템 또는 구성요소.
NIST는 ODP의 구체적인 값을 일률적으로 지정하지 않는다.
연방기관 또는 연방기관의 협의체가 해당 값을 공식적으로 정하지 않은 경우에는 비연방기관이 값을 지정하여 요구사항을 완성해야 한다.
따라서 ODP가 포함된 요구사항을 적용할 때는 실제로 어떤 값이 지정되었는지 확인해야 한다.
Revision 3의 부록 E에는 ODP가 사용되는 요구사항과 관련 매개변수가 정리되어 있다.
SP 800-172의 강화 보안 요구사항은 조직의 위험 관리 전략에 따라 종합적으로 또는 선택적으로 적용할 수 있다.
요구사항 선정 시에는 다음 사항을 고려한다.
- 연방기관의 임무 및 업무 필요성.
- 중요 사업과 고가치 자산의 특성.
- CUI의 처리·저장·전송 범위.
- APT 위협과 예상 공격 경로.
- 기존 보안 요구사항의 충족 여부.
- 시스템 구성요소 간 신뢰 관계.
- 강화 요구사항 간 의존성.
- 위험 평가 결과.
- 침투 저항, 피해 제한 및 복원력 사이의 균형.
특정 보호 전략에 속하는 요구사항만 선정하면 APT에 대한 대응 능력이 불균형해질 수 있다.
따라서 NIST는 세 가지 보호 전략과 공격자에 대한 다양한 영향을 함께 고려하도록 권고한다.
또한 요구사항의 구현 방법과 기술 선택에는 유연성을 허용한다.
다만 실제로 적용해야 하는 요구사항은 연방기관이 계약이나 협약을 통해 지정한 범위에 따라 결정된다.
SP 800-172는 강화 보안 요구사항을 정의하는 문서이며, 평가 절차는 별도의 NIST SP 800-172A에서 제공한다.
2026년 5월 13일에는 SP 800-172 Revision 3와 함께 SP 800-172A Revision 3도 최종 발행되었다.
SP 800-172A Revision 3의 정식 명칭은 Assessing Enhanced Security Requirements for Controlled Unclassified Information이다.
주요 평가 방식은 다음과 같다.
- 자체 평가(Self-Assessment).
- 독립적인 제3자 평가(Independent Third-Party Assessment).
- 정부 주관 평가(Government-Sponsored Assessment).
평가의 깊이와 범위는 연방기관의 요구사항에 따라 조정할 수 있다.
평가 결과와 수집된 증거는 보안 요구사항의 충족 여부를 판단하고 위험 기반 의사결정을 수행하는 데 활용한다.[4]
| 구분 | SP 800-172 | SP 800-172A |
|---|---|---|
| 목적 | 강화 보안 요구사항 정의 | 강화 보안 요구사항의 평가 |
| 주요 내용 | 보안 요구사항, 보호 전략, 공격자 영향 | 평가 절차 및 평가 방법 |
| 주요 이용자 | 보안 설계자, 시스템 운영자, 위험 관리 책임자 | 보안 평가자, 감사자, 평가 수행기관 |
| 현행판 | Revision 3 | Revision 3 |
| 현행판 발행 | 2026년 5월 | 2026년 5월 |
두 문서는 상호 보완적이며, SP 800-172A가 SP 800-172를 대체하는 것은 아니다.
| 문서 | 주요 내용 | SP 800-172와의 관계 |
|---|---|---|
| SP 800-171 | 비연방기관의 CUI 보호를 위한 기본 보안 요구사항 | 기본 요구사항 제공 |
| SP 800-171A | SP 800-171 보안 요구사항 평가 절차 | 기본 요구사항 평가 |
| SP 800-172 | 중요 CUI 보호를 위한 강화 보안 요구사항 | 강화 요구사항 정의 |
| SP 800-172A | 강화 보안 요구사항 평가 절차 | 강화 요구사항 평가 |
| SP 800-53 | 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 | 강화 요구사항의 원천 통제 제공 |
| SP 800-53A | 보안 및 개인정보 보호 통제 평가 절차 | 강화 요구사항 평가 절차의 기반 |
| SP 800-53B | 보안 통제 기준선 | SP 800-171 및 강화 요구사항 도출과 연계 |
| SP 800-160 Volume 2 | 사이버 복원력 공학 | 보호 전략과 공격자 영향 분류의 기반 |
| SP 800-161 | 사이버보안 공급망 위험 관리 | 공급망 위험 관리에 관한 별도 지침 |
| SP 800-207 | 제로 트러스트 아키텍처 | 침투 저항 아키텍처 구현에 활용 가능한 접근법 |
NIST SP 800-171은 비연방기관의 시스템에서 처리되는 CUI를 보호하기 위한 기본 보안 요구사항을 제시한다.
SP 800-172는 이 기본 요구사항이 충족되었다는 전제에서 추가적인 보호 조치를 제공한다.
따라서 SP 800-172는 SP 800-171을 대체하지 않는다.
특히 SP 800-171이 CUI의 기밀성 보호를 중심으로 한다면, SP 800-172 Revision 3는 중요 사업과 고가치 자산에 관련된 CUI의 기밀성·무결성·가용성에 대한 추가 보호를 다룬다.
SP 800-53은 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 카탈로그이다.
SP 800-172의 강화 요구사항은 SP 800-53 Revision 5의 통제와 통제 개선항목을 기반으로 도출된다.
다만 SP 800-53의 통제 전체가 SP 800-172의 강화 요구사항으로 적용되는 것은 아니다.
SP 800-172는 CUI와 APT 위협에 대응하기 위해 선정된 요구사항을 별도로 구성한다.
SP 800-160 Volume 2는 사이버 복원력 공학에 관한 지침이다.
SP 800-172 Revision 3는 이 문서의 보호 전략과 공격자 영향 개념을 활용한다.
강화 요구사항별로 침투 저항 아키텍처, 피해 제한 운영 및 사이버 복원력 가운데 어떤 전략을 지원하는지 설명한다.
또한 공격자의 활동을 사전 차단, 노출, 방향 전환, 방해 및 제한하는 효과를 연결한다.
SP 800-161은 조직과 시스템의 사이버보안 공급망 위험 관리(C-SCRM)에 관한 지침이다.
공급자, 제품, 서비스 및 구성요소의 전체 수명주기에 걸친 공급망 위험 관리 활동을 다룬다.
반면 SP 800-172는 중요 사업과 고가치 자산에 관련된 CUI를 보호하기 위한 강화 보안 요구사항을 정의한다.
두 문서는 공급망 보안 영역에서 연계될 수 있지만 목적과 적용 범위가 서로 다르다.
SP 800-172 Revision 3는 본문 3개 장과 부록 A부터 F까지로 구성된다.
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 제정 배경, 목적, 적용 범위 및 문서 구성 |
| 제2장 | The Fundamentals | 강화 요구사항의 전제, 개발 방법론 및 선정 원칙 |
| 제3장 | The Requirements | 17개 계열의 강화 보안 요구사항 |
| 부록 A | Acronyms | 약어 |
| 부록 B | Glossary | 용어 정의 |
| 부록 C | Summary of Enhanced Security Requirements | 강화 보안 요구사항 요약 |
| 부록 D | Adversary Effects | 공격자에 대한 영향 |
| 부록 E | Organization-Defined Parameters | 조직 정의 매개변수 |
| 부록 F | Change Log | 문서 변경 이력 |
제2장은 강화 보안 요구사항의 기본적인 전제와 개발 방법론을 설명한다.
주요 내용은 다음과 같다.
- CUI 보호에 관한 기본 가정.
- SP 800-171의 기본 요구사항 충족 전제.
- APT에 대응하기 위한 다차원 보호 전략.
- 강화 요구사항의 개발 방법.
- 요구사항 번호 체계와 구조.
- 조직 정의 매개변수.
- 위험 기반 요구사항 선정 원칙.
제3장은 17개 계열의 강화 보안 요구사항을 제시한다.
각 요구사항에는 필요한 경우 다음 정보가 포함된다.
- 요구사항 번호 및 제목.
- 구체적인 보안 요구사항.
- 요구사항에 대한 설명(Discussion).
- 관련 보호 전략(Protection Strategy).
- 공격자에 대한 영향(Adversary Effects).
- NIST SP 800-53의 원천 보안 통제(References).
요구사항에 대한 설명은 구현과 평가를 지원하기 위한 참고 정보이며, 요구사항 자체의 적용 범위를 확대하는 규범적 요구사항은 아니다.
부록 C는 강화 보안 요구사항을 요약한다.
요구사항 번호, 제목, 유형 및 관련 원천 통제 등을 확인할 수 있다.
부록 D는 사이버 복원력 기술이 공격자의 활동에 미치는 영향을 설명한다.
공격자의 위협 행위 발생 가능성, 피해 발생 능력 및 피해 범위에 대한 영향을 분석하는 데 활용할 수 있다.
부록 E는 조직 정의 매개변수를 정리한다.
각 요구사항에서 조직이 직접 지정하거나 선택해야 하는 값의 종류를 확인할 수 있다.
부록 F는 문서의 변경 이력을 제공한다.
NIST는 SP 800-172 Revision 3의 강화 보안 요구사항을 PDF 외에도 기계 판독이 가능한 형태로 제공한다.
주요 제공 형식은 다음과 같다.
- Cybersecurity and Privacy Reference Tool(CPRT) 데이터셋.
- Open Security Controls Assessment Language(OSCAL) 데이터셋.
- 강화 보안 요구사항 오버레이.
- 기존 SP 800-172와 Revision 3 사이의 변경사항 분석 자료.
이러한 자료는 요구사항 관리, 통제 매핑 및 보안 평가 자동화에 활용할 수 있다.
다만 NIST는 PDF 문서를 강화 보안 요구사항의 규범적 원본으로 지정하였다.
CPRT 또는 OSCAL 데이터셋과 PDF 사이에 차이가 있는 경우 PDF를 기준으로 해야 한다.[2]
SP 800-172는 일반적인 보안 강화 권고사항을 넘어 APT 위협을 고려한 추가 보호 요구사항을 제시한다.
실제 적용 시에는 다음 사항을 구분해야 한다.
- SP 800-171의 기본 보안 요구사항과 SP 800-172의 강화 보안 요구사항.
- 모든 CUI에 적용되는 기본 보호와 중요 사업·고가치 자산에 필요한 추가 보호.
- 연방기관이 선택한 요구사항과 문서에 수록된 전체 요구사항.
- 요구사항 자체와 구현을 돕기 위한 설명.
- 보안 요구사항을 정의하는 SP 800-172와 평가 절차를 제공하는 SP 800-172A.
- 기술적인 침투 방지 조치와 침해 이후의 탐지·피해 제한·복원력 확보 조치.
또한 SP 800-172 자체가 모든 민간기업에 직접적인 법적 의무를 부과하는 것은 아니다.
미국 연방기관과의 계약, 보조금 협약, 관련 법률 및 정책에 따라 실제 준수 의무와 적용 범위가 결정된다.
- ↑ 1.0 1.1 1.2 1.3 Victoria Pillitteri, Ron Ross, Enhanced Security Requirements for Protecting Controlled Unclassified Information, NIST SP 800-172 Revision 3, 2026-05.
- ↑ 2.0 2.1 NIST Computer Security Resource Center, SP 800-172 Rev. 3, Enhanced Security Requirements for Protecting Controlled Unclassified Information, 확인: 2026-10-23.
- ↑ NIST, NIST Releases SP 800-172r3 and SP 800-172Ar3: Enhanced Security Requirements and Assessment Procedures for Protecting CUI, 2026-05-13.
- ↑ Victoria Pillitteri, Ron Ross, Assessing Enhanced Security Requirements for Controlled Unclassified Information, NIST SP 800-172A Revision 3, 2026-05.