NIST SP 800-172A

NIST SP 800-172A(Assessing Enhanced Security Requirements for Controlled Unclassified Information)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 통제 비밀해제 정보(CUI)를 보호하기 위한 강화 보안 요구사항의 충족 여부를 검사·면담·시험으로 평가하도록 제정한 특별간행물이다.

개요

NIST SP 800-172A는 미국 연방정부의 통제 비밀해제 정보(Controlled Unclassified Information, CUI)를 취급하는 비연방기관의 시스템에 적용되는 강화 보안 요구사항을 평가하기 위한 지침이다.

강화 보안 요구사항 자체는 NIST SP 800-172에서 정의하며, SP 800-172A는 해당 요구사항의 구현 여부와 효과를 판단하기 위한 평가 목적, 평가 방법 및 평가 대상을 제시한다.

특히 중요 사업(Critical Program) 또는 고가치 자산(High Value Asset, HVA)과 관련된 CUI를 지능형 지속 위협(Advanced Persistent Threat, APT)으로부터 보호하기 위한 추가적인 보안조치의 충족 여부를 평가하는 데 활용한다.

2026년 5월 발행된 Revision 3는 NIST SP 800-172 Revision 3의 강화 보안 요구사항에 대응하며, NIST SP 800-53A Revision 5의 보안 통제 평가 절차를 기반으로 한다.^[1]

주요 특징은 다음과 같다.

NIST SP 800-172의 강화 보안 요구사항에 대응하는 평가 절차 제공.
검사(Examine), 면담(Interview), 시험(Test)의 세 가지 평가 방법 활용.
평가 목적과 판단문(Determination Statement)을 통해 요구사항 충족 여부 확인.
문서, 기술적 보호 메커니즘, 운영 활동 및 담당자를 평가 대상으로 활용.
평가의 깊이(Depth)와 범위(Coverage)를 조정할 수 있는 유연한 평가체계.
조직 정의 매개변수(Organization-Defined Parameter, ODP)의 설정 여부 평가.
자체 평가, 독립적인 제3자 평가 및 정부 주관 평가 지원.
평가 증거를 활용한 보증 사례(Assurance Case) 구성.
평가 결과를 위험 관리 및 보안 개선 의사결정에 활용.
NIST SP 800-53A의 평가 방법론과 연계.
기계 판독형 평가 절차 데이터 제공.

SP 800-172A는 모든 조직에 동일한 평가 방법과 증거를 요구하는 고정된 체크리스트가 아니다.

조직과 평가자는 적용되는 강화 보안 요구사항, 시스템의 특성, 위험 수준 및 평가 목적에 따라 평가 절차를 조정할 수 있다.

항목	내용
문서 번호	NIST SP 800-172A
정식 명칭	Assessing Enhanced Security Requirements for Controlled Unclassified Information
한국어 명칭	통제 비밀해제 정보 보호를 위한 강화 보안 요구사항 평가
발행기관	NIST
최초 발행	2022년 3월 15일
현행판	Revision 3
현행판 발행	2026년 5월 13일
주요 분야	보안 평가, 보안 요구사항 검증, 위험 관리, CUI 보호
평가 대상	NIST SP 800-172의 강화 보안 요구사항
주요 평가 방법	검사, 면담, 시험
평가 수행 방식	자체 평가, 독립적 제3자 평가, 정부 주관 평가
기반 문서	NIST SP 800-53A Revision 5
대응 문서	NIST SP 800-172 Revision 3
공식 페이지	NIST CSRC
원문	PDF

제정 배경

미국 연방정부는 국방, 연구개발, 산업 및 기타 정부 업무를 수행하는 과정에서 민간기업, 연구기관 및 계약업체와 정보를 공유한다.

이 가운데 국가기밀로 분류되지는 않았지만 법률, 규정 또는 정부 정책에 따라 보호와 배포 제한이 필요한 정보를 CUI라고 한다.

CUI를 취급하는 비연방기관의 시스템에는 NIST SP 800-171의 기본 보안 요구사항이 적용될 수 있다.

그러나 중요 사업이나 고가치 자산과 관련된 CUI는 높은 수준의 기술과 자원을 보유한 APT의 공격 대상이 될 수 있다.

이에 NIST는 기본 요구사항을 보완하는 강화 보안 요구사항을 SP 800-172로 제시하였다.

SP 800-172A는 이러한 강화 요구사항이 실제 시스템에 올바르게 구현되고 의도한 대로 작동하는지 확인하기 위해 개발되었다.

평가를 통해 다음 사항을 확인할 수 있다.

보안 요구사항이 충족되었는지 여부.
보안 및 위험 관리 프로그램의 문제점.
시스템과 운영 환경에 존재하는 보안 취약점 및 결함.
위험 완화 활동의 우선순위.
발견된 보안 결함의 개선 여부.
지속적 보안 모니터링에 필요한 정보.

평가 결과는 조직이 강화 보안 요구사항의 충족 여부와 잔여 위험에 관해 의사결정을 수행하는 근거로 활용된다.^[1]

발행 및 개정 이력

시기	문서	주요 내용
2021년 4월 27일	SP 800-172A 공개 초안	강화 보안 요구사항 평가 절차에 대한 의견 수렴
2022년 3월 15일	SP 800-172A 최초 확정본	SP 800-172의 강화 요구사항에 대응하는 평가 절차 제공
2025년 9월 29일	Revision 3 공개 초안	개정된 강화 요구사항에 대응하는 평가 절차 제시
2026년 5월 13일	Revision 3 최종본	SP 800-172 Revision 3와 평가 절차의 정합성 확보

2026년 10월 23일 기준 NIST CSRC에서 확인되는 최신 확정본은 NIST SP 800-172A Revision 3이다.^[2]

2022년 최초 발행본

2022년 3월 15일 발행된 최초 확정본은 NIST SP 800-172의 강화 보안 요구사항에 대응하는 평가 절차를 제공하였다.

평가자가 검사·면담·시험을 통해 증거를 확보하고, 평가 목적에 따라 요구사항의 충족 여부를 판단하도록 구성되었다.

또한 평가 목적을 세부 판단문으로 분해하고 조직 정의 매개변수를 평가에 반영하는 구조를 제공하였다.

평가 방법과 대상은 조직 및 평가자의 필요에 따라 선택할 수 있도록 하였다.^[3]

2026년 Revision 3

2026년 5월 13일 NIST는 SP 800-172 Revision 3와 SP 800-172A Revision 3를 함께 발표하였다.

Revision 3의 주요 변경사항은 다음과 같다.

SP 800-172 Revision 3의 신규 및 개정 강화 보안 요구사항에 대응하도록 평가 절차 갱신.
NIST SP 800-53A Revision 5의 원천 평가 절차와 정합성 확보.
NIST SP 800-171A Revision 3와 일관된 평가 절차 구조 적용.
조직 정의 매개변수를 평가 판단문에 반영.
개정된 강화 보안 요구사항의 번호 및 계열 구조 반영.
평가 절차와 관련된 보충 부록 제공.
기계 판독형 평가 절차 데이터 제공.

Revision 3라는 번호는 SP 800-171 Revision 3 및 SP 800-171A Revision 3와의 일관성을 위한 일회성 개정 번호 조정을 반영한다.

따라서 SP 800-172A의 확정본이 세 차례 발행되었다는 의미는 아니다.^[4]

적용 대상

SP 800-172A는 미국 연방기관이 지정한 강화 보안 요구사항을 평가하는 데 사용한다.

주요 대상은 다음과 같다.

중요 사업과 관련된 CUI를 처리하는 비연방기관의 시스템.
고가치 자산과 관련된 CUI를 처리하는 시스템.
해당 시스템에 적용되는 강화 보안 요구사항.
강화 요구사항을 구현하는 기술적 보호 메커니즘.
관련 정책, 절차 및 운영 활동.
보안 요구사항의 구현과 운영을 담당하는 인력.

평가 범위는 CUI를 처리·저장·전송하는 시스템의 시스템 보안 계획(System Security Plan, SSP)을 바탕으로 결정한다.

조직은 평가 목적, 알려진 위협과 취약점, 시스템 및 플랫폼의 의존관계, 운영상 제약조건, 위험 허용 수준 등을 고려하여 평가 절차를 조정할 수 있다.

평가 수행 주체

SP 800-172A는 세 가지 평가 수행 방식을 지원한다.

방식	영문	설명
자체 평가	Self-Assessment	조직 내부의 개발자, 운영자, 보안 담당자 등이 평가 수행
독립적인 제3자 평가	Independent Third-Party Assessment	평가 대상 조직과 독립된 외부 평가자가 수행
정부 주관 평가	Government-Sponsored Assessment	미국 연방기관 등 평가를 요구하는 기관이 주관

평가 방식은 연방기관의 요구사항과 계약 또는 협약에 따라 결정될 수 있다.

SP 800-172A 자체가 모든 평가를 반드시 독립적인 제3자가 수행하도록 요구하는 것은 아니다.

평가 절차의 구성

SP 800-172A의 평가 절차(Assessment Procedure)는 크게 다음 요소로 구성된다.

평가 목적(Assessment Objective).
판단문(Determination Statement).
잠재적 평가 방법 및 대상(Potential Assessment Methods and Objects).
원천 평가 절차에 대한 참조(References).

평가 절차는 NIST SP 800-172의 개별 강화 보안 요구사항에 대응한다.

평가자는 요구사항별 판단문을 기준으로 증거를 수집하고 충족 여부를 결정한다.^[1]

평가 목적

평가 목적(Assessment Objective)은 특정 보안 요구사항의 충족 여부를 판단하기 위해 확인해야 하는 사항을 정의한다.

하나의 보안 요구사항에 여러 조건이 포함되어 있다면 평가 목적을 복수의 판단문으로 구분할 수 있다.

이를 통해 요구사항의 일부만 충족한 상태와 전체를 충족한 상태를 구별할 수 있다.

판단문

판단문(Determination Statement)은 평가자가 증거를 바탕으로 참 또는 거짓에 해당하는 판단을 내릴 수 있도록 구성된 문장이다.

각 판단문에는 고유 식별자가 부여된다.

예를 들어 다음과 같은 형식이 사용된다.

A.03.01.01E
A.03.01.01E.ODP[01]
A.03.13.08E[01]

식별자의 의미는 다음과 같다.

요소	의미
A	평가 절차(Assessment Procedure)
03.01.01	대응하는 강화 보안 요구사항 번호
E	강화 보안 요구사항(Enhanced Security Requirement)
ODP	조직 정의 매개변수
[01]	복수의 판단문 또는 매개변수 가운데 특정 항목

판단문을 이용하면 평가 결과를 원래의 보안 요구사항과 추적 가능하게 연결할 수 있다.

잠재적 평가 방법 및 대상

잠재적 평가 방법 및 대상(Potential Assessment Methods and Objects)은 평가 목적을 달성하기 위해 사용할 수 있는 방법과 증거의 예시를 제시한다.

평가 절차에 나열된 모든 방법과 대상을 반드시 사용해야 하는 것은 아니다.

평가자는 충분한 증거를 확보할 수 있도록 필요한 방법과 대상을 선택한다.

평가 방법

SP 800-172A는 NIST SP 800-53A의 평가 방법론을 기반으로 검사, 면담, 시험의 세 가지 방법을 사용한다.

평가 방법	영문	주요 활동	평가 대상의 예
검사	Examine	문서·설정·기록 등을 검토하고 분석	보안 정책, 시스템 설계 문서, 설정값, 감사기록
면담	Interview	담당자와 논의하여 운영 절차와 구현 상태 확인	시스템 관리자, 개발자, 보안 담당자
시험	Test	지정된 조건에서 실제 기능을 실행하여 기대 결과와 비교	접근통제 기능, 보안 메커니즘, 시스템 동작

검사

검사(Examine)는 평가 대상을 검토·조사·관찰·분석하여 보안 요구사항의 구현 여부에 관한 증거를 확보하는 방법이다.

주요 검사 대상은 다음과 같다.

정보보호 정책.
운영 절차서.
시스템 보안 계획.
시스템 설계 및 아키텍처 문서.
보안 설정값.
접근 권한 목록.
변경 관리 기록.
감사 및 이벤트 로그.
과거 평가 결과.
기타 관련 기록.

검사는 문서화된 보안 요구사항과 실제 운영 상태를 비교하는 데 활용할 수 있다.

다만 정책이나 절차서가 존재한다는 사실만으로 해당 통제가 실제로 작동한다고 단정할 수는 없다.

면담

면담(Interview)은 평가자가 관련 담당자와 대화하여 보안 요구사항의 구현과 운영 상태를 확인하는 방법이다.

주요 면담 대상은 다음과 같다.

시스템 소유자.
시스템 관리자.
네트워크 관리자.
보안 담당자.
시스템 개발자.
운영 절차 담당자.
보안 통제 구현 책임자.

면담은 문서에 명시되지 않은 운영 절차를 확인하거나 검사 및 시험 결과를 해석하는 데 활용할 수 있다.

시험

시험(Test)은 평가 대상의 실제 동작을 지정된 조건에서 실행하여 기대되는 동작과 비교하는 방법이다.

예를 들어 다음과 같은 시험을 수행할 수 있다.

특정 작업에 대한 이중 승인 적용 여부 확인.
접근통제 정책의 실제 집행 여부 확인.
보안 도구의 격리 상태 확인.
기만 시스템의 공격 탐지 기능 확인.
네트워크 분리 메커니즘의 동작 확인.
보안 기능의 설정 변경에 따른 동작 확인.

시험은 문서나 담당자의 설명과 실제 시스템 동작 사이의 차이를 확인하는 데 활용할 수 있다.

평가 대상

SP 800-172A는 평가 대상(Assessment Object)을 네 가지로 구분한다.

구분	영문	설명	예시
명세	Specifications	시스템과 관련된 문서화된 산출물	정책, 계획, 요구사항, 설계 문서
메커니즘	Mechanisms	시스템에 구현된 기술적 보호조치	하드웨어, 소프트웨어, 펌웨어 보안 기능
활동	Activities	시스템 보호를 위해 수행하는 업무와 절차	백업, 사고 대응 훈련, 네트워크 모니터링
개인	Individuals	명세·메커니즘·활동을 적용하거나 수행하는 사람	관리자, 운영자, 개발자, 보안 담당자

명세는 반드시 독립된 문서 파일일 필요는 없다.

데이터베이스, 거버넌스·위험·컴플라이언스(GRC) 도구, OSCAL 등 다양한 형태의 산출물이 평가 증거로 활용될 수 있다.

평가의 깊이와 범위

SP 800-172A는 평가 방법에 깊이(Depth)와 범위(Coverage) 속성을 적용한다.

이 두 속성은 평가의 엄격성, 대상 범위 및 필요한 작업량을 결정하는 데 활용된다.

깊이

깊이(Depth)는 평가자가 특정 대상을 얼마나 상세하고 엄격하게 검토할 것인지 나타낸다.

깊이를 높이면 평가 대상의 구현과 동작에 대해 더 상세한 증거를 확보할 수 있다.

다만 평가에 필요한 시간과 자원도 증가할 수 있다.

범위

범위(Coverage)는 평가 대상 가운데 어느 정도를 평가할 것인지 나타낸다.

예를 들어 동일한 접근통제 기능이 여러 시스템에 구현되어 있다면 평가 대상 시스템과 구성요소의 범위를 결정해야 한다.

평가자는 조직이 요구하는 보증 수준과 위험 특성에 따라 깊이와 범위를 정한다.

깊이와 범위의 구체적인 적용 방법은 NIST SP 800-53A에서 추가로 설명한다.

조직 정의 매개변수

조직 정의 매개변수(Organization-Defined Parameter, ODP)는 보안 요구사항의 구체적인 적용 범위나 값을 조직이 정하도록 하는 요소이다.

ODP는 요구사항에 필요한 값의 지정(Assignment) 또는 선택(Selection)으로 구성될 수 있다.

예를 들어 다음 사항이 ODP에 해당할 수 있다.

이중 승인이 필요한 특권 명령과 중요 작업.
접근이 허용되는 계정 유형.
동시 세션 허용 수.
보안 점검 주기.
모니터링 대상.
격리할 시스템 구성요소.
허용하거나 차단할 정보 흐름.

SP 800-172A는 ODP가 포함된 요구사항에 대해 해당 매개변수가 정의되었는지 확인하는 판단문을 제공한다.

ODP가 필요한 요구사항에서 값이 정해지지 않았다면 실제 구현 상태를 정확히 평가하기 어려울 수 있다.

Revision 3의 부록 E에는 평가 절차에서 사용되는 ODP가 요구사항 계열별로 정리되어 있다.

평가 절차의 구체적인 예

이중 승인 평가

03.01.01E Dual Authorization은 조직이 지정한 특권 명령이나 중요 작업에 이중 승인을 적용하도록 하는 강화 보안 요구사항이다.

SP 800-172A의 평가 절차는 다음 두 사항을 판단한다.

A.03.01.01E.ODP[01]: 이중 승인이 필요한 특권 명령 또는 기타 작업이 정의되었는가?
A.03.01.01E: 지정된 특권 명령 또는 작업에 이중 승인이 실제로 적용되는가?

평가 방법과 대상의 예시는 다음과 같다.

평가 방법	평가 대상의 예
검사	접근통제 정책, 이중 승인 절차, 시스템 설계 문서, 설정값, 승인 대상 작업 목록
면담	접근통제 책임자, 시스템 관리자, 보안 담당자
시험	이중 승인 메커니즘

평가자는 정책상 이중 승인이 필요하다고 명시된 작업이 실제로 단일 사용자에 의해 실행되지 않도록 통제되는지 확인할 수 있다.

해당 평가 절차의 원천은 NIST SP 800-53A의 AC-03(02) 통제 평가 절차이다.^[1]

기만 시스템 평가

03.13.08E Decoys는 악성 공격을 탐지·유도·분석하기 위한 기만 구성요소에 관한 강화 보안 요구사항이다.

SP 800-172A는 이를 세 가지 판단문으로 구분한다.

A.03.13.08E[01]: 악성 공격을 탐지하기 위한 기만 구성요소가 포함되어 있는가?
A.03.13.08E[02]: 악성 공격의 방향을 전환하기 위한 기만 구성요소가 포함되어 있는가?
A.03.13.08E[03]: 악성 공격을 분석하기 위한 기만 구성요소가 포함되어 있는가?

평가 방법의 예시는 다음과 같다.

검사: 기만 기술 관련 절차, 설계 문서, 시스템 설정, 감사기록.
면담: 시스템 관리자, 보안 담당자, 개발자.
시험: 기만 기능을 구현하는 기술적 메커니즘.

이 평가 절차의 원천은 NIST SP 800-53A의 SC-26 통제 평가 절차이다.

단순히 허니팟이나 기만 시스템이 존재한다는 사실만 확인하는 것이 아니라 탐지·방향 전환·분석이라는 각 목적을 충족하는지 판단하도록 구성되어 있다.

보안 도구 격리 평가

03.13.09E Isolation of Security Tools, Mechanisms, and Support Components는 보안 도구와 관련 구성요소를 다른 내부 시스템 구성요소로부터 격리하는 강화 보안 요구사항이다.

평가 목적은 다음 사항을 확인하는 것이다.

격리 대상 보안 도구와 구성요소가 정의되어 있는가?
해당 구성요소가 관리되는 인터페이스를 가진 물리적으로 분리된 서브네트워크를 통해 다른 내부 구성요소와 격리되어 있는가?

평가자는 시스템 아키텍처, 네트워크 구성, 보안 설정 및 실제 격리 메커니즘 등을 검토할 수 있다.

해당 평가 절차의 원천은 NIST SP 800-53A의 SC-07(13) 통제 평가 절차이다.

평가 수행 절차

SP 800-172A Revision 3의 부록 D는 보안 요구사항 평가를 네 단계로 구분한다.

이 절차는 NIST SP 800-53A의 평가 방법론을 기반으로 한다.

단계	영문	주요 활동	주요 결과
1. 평가 준비	Preparing for Assessments	평가 목적·범위·일정·인력·자료 확보	평가 준비 완료
2. 평가 계획 수립	Developing Assessment Plans	평가 절차 선정·조정 및 승인	평가 계획
3. 평가 수행	Conducting Assessments	검사·면담·시험 및 증거 수집	평가 결과와 보고서
4. 결과 분석·문서화·보고	Analyzing, Documenting, and Reporting Assessment Results	발견 사항 분석 및 위험 대응 결정 지원	평가 보고 및 후속 조치

평가 준비

평가 준비 단계에서는 평가를 수행하기 위한 조직적·기술적 조건을 확보한다.

주요 활동은 다음과 같다.

평가 목적과 범위 결정.
평가 일정과 주요 의사결정 시점 설정.
평가 관련 정책 및 절차 확인.
평가자 선정 및 독립성 검토.
평가 수행에 필요한 자원 확보.
관련 부서와 의사소통 체계 수립.
시스템 보안 계획 및 설계 자료 확보.
기존 평가 결과와 관련 기록 수집.
요구사항 해석과 발견 사항에 관한 의사소통 절차 마련.

기존 평가 결과 가운데 재사용 가능한 자료에는 감사 보고서, 취약점 스캔 결과, 물리적 보안 점검, 개발 시험 및 평가, 공급자의 결함 개선 자료 등이 포함될 수 있다.

평가 계획 수립

평가 계획 수립 단계에서는 시스템 보안 계획을 바탕으로 구체적인 평가 방법을 결정한다.

주요 활동은 다음과 같다.

평가 대상 강화 보안 요구사항 선정.
해당 요구사항에 대응하는 평가 절차 선정.
검사·면담·시험 가운데 필요한 평가 방법 결정.
평가 대상과 증거의 범위 결정.
평가의 깊이와 범위 속성 지정.
중복되는 평가 활동의 통합 및 최적화.
평가 계획 확정 및 승인.

평가 계획은 평가 목적과 범위를 명확하게 하고 평가자가 어떤 방법으로 증거를 수집할 것인지 정하는 문서이다.

평가 수행

평가 수행 단계에서는 승인된 계획에 따라 평가 방법을 적용한다.

평가자는 각 판단문에 대해 필요한 증거를 확보하고 충족 여부를 판단한다.

판단 결과는 다음 두 가지로 구분된다.

결과	영문	의미
충족	Satisfied	평가 목적이 충족되었으며 수용 가능한 결과가 확인됨
미충족 또는 불완전 충족	Other Than Satisfied	평가 목적이 충족되지 않았거나 완전히 충족되지 않음

Other Than Satisfied는 평가자가 충분한 정보를 확보하지 못하여 판단문에 필요한 결론을 내릴 수 없는 경우에도 사용될 수 있다.

따라서 증거가 부족한 상태를 자동으로 충족으로 처리해서는 안 된다.

결과 분석·문서화·보고

마지막 단계에서는 평가 결과를 분석하고 관련 책임자에게 보고한다.

주요 활동은 다음과 같다.

판단문별 평가 결과 정리.
발견된 보안 약점과 결함 분석.
관련 위험 평가.
보완조치 권고.
평가 보고서 작성.
조직의 위험 관리 책임자에게 결과 전달.
시스템 보안 계획 갱신.
조치 계획 및 일정(POA&M) 갱신.

평가 결과는 위험 수용, 위험 완화, 위험 회피, 위험 이전 또는 위험 공유 등의 대응 결정에 활용될 수 있다.

평가자는 보안 요구사항의 충족 여부를 판단하기 위한 증거를 제공하지만, 위험 수용에 관한 최종 의사결정은 해당 권한을 가진 책임자가 수행한다.

평가 결과와 보증 사례

보증 사례(Assurance Case)는 시스템에 관한 특정 주장이 타당하다는 것을 논증과 증거로 뒷받침하는 구조이다.

SP 800-172A에서 평가의 대상이 되는 주장은 SP 800-172의 강화 보안 요구사항을 충족한다는 것이다.

보증 사례에는 다음과 같은 증거가 활용될 수 있다.

보안 정책과 절차.
시스템 보안 계획.
보안 아키텍처 및 설계 문서.
보안 설정 및 운영 기록.
기술적 시험 결과.
기존 보안 평가 결과.
독립적인 제3자 평가 결과.
제품 보안 평가 결과.
보안 요구사항별 판단문과 평가 결과.

조직은 기존에 확보한 증거를 재사용할 수 있으며, 필요한 경우 추가적인 시스템 수준 평가를 수행한다.

예를 들어 암호 모듈이나 상용 소프트웨어의 보안 평가 결과를 관련 증거로 활용할 수 있다.

그러나 개별 제품의 평가 결과만으로 해당 제품이 포함된 시스템 전체의 강화 보안 요구사항이 충족되었다고 단정할 수는 없다.

시스템의 구성, 운영 환경 및 다른 구성요소와의 상호작용을 고려해야 한다.

강화 보안 요구사항 계열

SP 800-172A Revision 3의 평가 절차는 SP 800-172 Revision 3와 동일한 17개 요구사항 계열로 구성된다.

번호	요구사항 계열	영문	주요 평가 영역
3.1	접근통제	Access Control	특권 명령, 접근 제한, 세션 및 정보 흐름 통제
3.2	보안 인식 및 교육	Awareness and Training	강화된 보안 교육과 인식 제고
3.3	감사 및 책임추적성	Audit and Accountability	감사기록, 이벤트 분석 및 추적성
3.4	형상 관리	Configuration Management	시스템 구성과 변경 관리
3.5	식별 및 인증	Identification and Authentication	신원 확인 및 인증 메커니즘
3.6	침해사고 대응	Incident Response	사고 대응 절차 및 역량
3.7	유지보수	Maintenance	유지보수 활동과 도구의 보안
3.8	매체 보호	Media Protection	저장매체 보호
3.9	인적 보안	Personnel Security	관련 인력의 보안
3.10	물리적 보호	Physical Protection	시설과 시스템 구성요소 보호
3.11	위험 평가	Risk Assessment	위협 및 취약점 분석
3.12	보안 평가 및 모니터링	Security Assessment and Monitoring	보안 평가, 침투 테스트 및 지속적 모니터링
3.13	시스템 및 통신 보호	System and Communications Protection	네트워크 분리, 기만 및 통신 보호
3.14	시스템 및 정보 무결성	System and Information Integrity	소프트웨어·펌웨어·정보 무결성
3.15	계획	Planning	보안 아키텍처 및 심층 방어
3.16	시스템 및 서비스 획득	System and Services Acquisition	시스템 및 서비스 획득 보안
3.17	공급망 위험 관리	Supply Chain Risk Management	공급망 통지, 구성요소 검사 및 출처 관리

각 계열에는 여러 평가 절차가 포함될 수 있으며, 철회된 강화 요구사항에 대해서는 별도의 평가 절차가 제공되지 않는다.

문서 구조

SP 800-172A Revision 3는 본문 3개 장과 부록 A부터 F까지로 구성된다.^[1]

구분	영문 제목	주요 내용
제1장	Introduction	문서의 목적, 적용 범위 및 구성
제2장	The Fundamentals	평가 절차, 방법, 대상 및 보증 사례
제3장	The Procedures	강화 보안 요구사항별 평가 절차
부록 A	Acronyms	약어
부록 B	Glossary	용어 정의
부록 C	Summary of Enhanced Security Requirements	강화 보안 요구사항 요약
부록 D	Security Requirement Assessments	보안 요구사항 평가 수행 절차
부록 E	Organization-Defined Parameters	조직 정의 매개변수
부록 F	Change Log	문서 변경 이력

제2장

제2장은 강화 보안 요구사항 평가의 기본 개념을 설명한다.

주요 내용은 다음과 같다.

평가 절차의 구성.
평가 목적과 판단문.
검사·면담·시험의 평가 방법.
평가 대상의 종류.
평가의 깊이와 범위.
평가 결과의 판단.
보증 사례의 구성.

제3장

제3장은 SP 800-172의 강화 보안 요구사항에 대응하는 평가 절차를 제공한다.

각 평가 절차에는 다음 정보가 포함된다.

강화 보안 요구사항 번호 및 제목.
평가 목적.
판단문.
잠재적 평가 방법 및 대상.
NIST SP 800-53A의 원천 평가 절차.

평가자는 이 정보를 이용하여 실제 시스템의 특성에 맞는 평가 계획을 수립할 수 있다.

부록 C

부록 C는 강화 보안 요구사항의 번호와 제목, 원천 평가 절차를 요약한다.

요구사항과 평가 절차의 대응관계를 확인하는 데 활용할 수 있다.

부록 D

부록 D는 보안 요구사항 평가를 준비·계획·수행·결과 분석 및 보고의 네 단계로 설명한다.

각 단계의 주요 활동과 기대 결과를 표로 제시한다.

부록 E

부록 E는 조직 정의 매개변수를 요구사항별로 정리한다.

평가자는 해당 부록을 이용하여 평가에 필요한 매개변수가 정의되었는지 확인할 수 있다.

부록 F

부록 F는 문서의 변경 이력을 제공한다.

다른 NIST 문서와의 관계

SP 800-172A는 강화 보안 요구사항의 평가에 특화된 문서이며, 다른 NIST 보안 요구사항 및 평가 문서와 함께 활용할 수 있다.

문서	주요 내용	SP 800-172A와의 관계
SP 800-171	비연방기관의 CUI 보호를 위한 기본 보안 요구사항	기본 요구사항 정의
SP 800-171A	SP 800-171의 보안 요구사항 평가 절차	기본 요구사항 평가
SP 800-172	CUI 보호를 위한 강화 보안 요구사항	평가 대상 요구사항 정의
SP 800-172A	강화 보안 요구사항 평가 절차	강화 요구사항의 충족 여부 평가
SP 800-53	보안 및 개인정보 보호 통제 카탈로그	강화 요구사항의 원천 통제
SP 800-53A	보안 및 개인정보 보호 통제 평가 절차	평가 방법론과 원천 평가 절차
SP 800-37	위험 관리 프레임워크(RMF)	평가 결과를 위험 관리 및 인가에 활용
SP 800-160 Volume 2	사이버 복원력 공학	강화 보안 요구사항의 보호 전략과 연계

SP 800-172와의 차이

SP 800-172는 강화 보안 요구사항을 정의하는 문서이다.

반면 SP 800-172A는 해당 요구사항을 어떻게 평가할 것인지 설명한다.

구분	SP 800-172	SP 800-172A
주요 목적	강화 보안 요구사항 정의	강화 보안 요구사항 평가
핵심 질문	어떤 보안조치를 구현해야 하는가?	해당 보안조치가 요구사항을 충족하는가?
주요 내용	요구사항, 보호 전략, 공격자 영향	평가 목적, 판단문, 평가 방법 및 대상
주요 이용자	보안 설계자, 시스템 운영자, 위험 관리 담당자	평가자, 감사자, 보안 평가 담당자
현행판	Revision 3	Revision 3
발행일	2026년 5월	2026년 5월

두 문서는 상호 보완적이며 SP 800-172A가 SP 800-172를 대체하는 것은 아니다.

SP 800-171A와의 차이

SP 800-171A는 SP 800-171의 기본 보안 요구사항을 평가하는 문서이다.

반면 SP 800-172A는 SP 800-172의 강화 보안 요구사항을 평가한다.

두 문서는 평가 방법과 절차 구조에서 유사성을 갖지만 평가 대상 요구사항이 다르다.

따라서 기본 보안 요구사항의 평가를 완료했다는 사실만으로 강화 보안 요구사항의 평가까지 완료한 것으로 볼 수는 없다.

SP 800-53A와의 관계

SP 800-53A는 NIST SP 800-53의 보안 및 개인정보 보호 통제를 평가하기 위한 지침이다.

검사·면담·시험의 평가 방법과 평가의 깊이·범위, 평가 계획 및 보고 절차를 제공한다.

SP 800-172A의 평가 절차는 SP 800-53A Revision 5의 원천 평가 절차를 기반으로 도출되었다.

예를 들어 다음과 같은 대응관계가 있다.

SP 800-172A 평가 절차	내용	SP 800-53A 원천 평가 절차
03.01.01E	이중 승인	AC-03(02)
03.13.08E	기만 시스템	SC-26
03.13.09E	보안 도구 격리	SC-07(13)
03.13.14E	디토네이션 챔버	SC-44
03.15.01E	보안 아키텍처	PL-08
03.17.03E	구성요소 진위 확인	SR-11

SP 800-53A는 일반적인 보안 통제 평가 방법론을 제공하고, SP 800-172A는 CUI 강화 보안 요구사항에 특화된 평가 절차를 제공한다.

SP 800-37과의 관계

SP 800-37은 위험 관리 프레임워크(Risk Management Framework, RMF)를 정의한다.

RMF는 준비·분류·선정·구현·평가·인가·모니터링의 일곱 단계로 구성된다.

SP 800-172A의 평가 결과는 조직의 위험 관리 의사결정과 연계할 수 있다.

예를 들어 평가에서 발견된 결함을 조치 계획에 반영하거나, 보완조치 이후 재평가를 수행할 수 있다.

다만 SP 800-172A 자체가 시스템 운영 인가를 부여하거나 위험 수용 여부를 결정하는 절차는 아니다.

기계 판독형 평가 자료

NIST는 SP 800-172A Revision 3의 평가 절차를 PDF 외에도 기계 판독이 가능한 형태로 제공한다.

주요 제공 형식은 다음과 같다.

Cybersecurity and Privacy Reference Tool(CPRT) 데이터셋.
Open Security Controls Assessment Language(OSCAL) 데이터셋.

이러한 자료는 평가 절차를 구조화하여 관리하거나 다른 보안 관리 시스템과 연계하는 데 활용할 수 있다.

예를 들어 다음과 같은 활용이 가능하다.

평가 절차의 목록 관리.
요구사항과 판단문의 대응관계 관리.
평가 대상 및 증거 목록 관리.
보안 통제 평가 도구와의 연계.
평가 결과의 구조화.
평가 자동화 시스템 개발.

다만 기계 판독형 데이터가 제공된다는 사실만으로 평가 절차가 자동으로 수행되거나 모든 판단을 기계적으로 처리할 수 있다는 의미는 아니다.

또한 NIST는 PDF를 평가 절차의 규범적 원본으로 지정하였다.

CPRT 또는 OSCAL 데이터셋과 PDF 사이에 차이가 있는 경우 PDF를 기준으로 해야 한다.^[2]

적용 시 유의사항

SP 800-172A를 실제 평가에 활용할 때는 다음 사항을 구분해야 한다.

SP 800-171A의 기본 요구사항 평가와 SP 800-172A의 강화 요구사항 평가.
평가 목적과 실제 평가 방법.
필수적인 요구사항과 잠재적 평가 방법·대상의 예시.
요구사항의 구현 여부와 구현 효과.
문서상 정책의 존재와 실제 시스템의 동작.
평가자가 확인한 사실과 위험 관리 책임자의 의사결정.
개별 판단문의 결과와 요구사항 전체의 충족 여부.

특히 평가 절차에 제시된 모든 문서와 기술적 메커니즘을 확보해야만 요구사항을 충족하는 것은 아니다.

조직은 평가 목적을 달성할 수 있는 충분한 증거를 확보하도록 평가 방법과 대상을 선택할 수 있다.

반대로 평가에 필요한 증거가 부족하다면 실제 보안조치가 구현되어 있더라도 충족 여부를 판단하지 못할 수 있다.

SP 800-172A는 특정 제품이나 시스템에 대한 독립적인 보안 인증 제도를 정의하지 않는다.

또한 모든 민간기업에 직접적인 법적 의무를 부과하는 문서도 아니다.

실제 적용 의무와 평가 범위는 미국 연방기관의 요구사항, 관련 법률 및 계약·협약 조건에 따라 결정된다.

같이 보기

각주

↑ ^1.0 ^1.1 ^1.2 ^1.3 ^1.4 Victoria Pillitteri, Ron Ross, Assessing Enhanced Security Requirements for Controlled Unclassified Information, NIST SP 800-172A Revision 3, National Institute of Standards and Technology, 2026-05.
↑ ^2.0 ^2.1 NIST Computer Security Resource Center, SP 800-172 Rev. 3, Assessing Enhanced Security Requirements for Controlled Unclassified Information, 확인: 2026-10-23.
↑ NIST Computer Security Resource Center, NIST Releases Assessment Procedures for Enhanced Security Requirements, NIST Special Publication 800-172A, 2022-03-15.
↑ NIST, NIST Releases SP 800-172r3 and SP 800-172Ar3: Enhanced Security Requirements and Assessment Procedures for Protecting CUI, 2026-05-13.

[nist172a-1] 1.0 ^1.1 ^1.2 ^1.3 ^1.4 Victoria Pillitteri, Ron Ross, Assessing Enhanced Security Requirements for Controlled Unclassified Information, NIST SP 800-172A Revision 3, National Institute of Standards and Technology, 2026-05.

[status-2] 2.0 ^2.1 NIST Computer Security Resource Center, SP 800-172 Rev. 3, Assessing Enhanced Security Requirements for Controlled Unclassified Information, 확인: 2026-10-23.

[original-3] NIST Computer Security Resource Center, NIST Releases Assessment Procedures for Enhanced Security Requirements, NIST Special Publication 800-172A, 2022-03-15.

[release-4] NIST, NIST Releases SP 800-172r3 and SP 800-172Ar3: Enhanced Security Requirements and Assessment Procedures for Protecting CUI, 2026-05-13.

[1]

[2]

[3]

[4]