NIST SP 800-53

NIST SP 800-53(Security and Privacy Controls for Information Systems and Organizations)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 정보시스템과 조직의 보안 및 개인정보 보호 위험을 관리하기 위해 발행하는 보안·개인정보 보호 통제 카탈로그이다.

개요

NIST SP 800-53은 조직이 정보시스템과 업무에 필요한 보안 및 개인정보 보호 통제(Security and Privacy Controls)를 선정·구현·평가·관리할 수 있도록 체계화한 지침이다.

미국 연방정부의 정보보안 위험관리를 지원하기 위해 개발되었으며, 정부기관뿐 아니라 민간기업, 클라우드 서비스 제공업체, 연구기관 등에서도 보안 통제체계를 설계하는 데 활용한다.

NIST SP 800-53은 특정 보안 제품이나 기술을 지정하는 문서가 아니다. 조직이 달성해야 할 보안·개인정보 보호 기능과 보호조치를 정의하고, 구체적인 구현 방법은 조직의 업무 환경과 위험 수준에 따라 결정할 수 있도록 한다.

주요 특징은 다음과 같다.

• 보안과 개인정보 보호 통제를 하나의 카탈로그로 통합.
• 20개 통제군(Control Family)으로 구성.
• 기본 통제(Base Control)와 통제 강화항목(Control Enhancement)을 구분.
• 조직이 필요한 통제를 위험에 따라 선정하고 조정할 수 있도록 설계.
• 관리적·기술적·물리적 보호조치를 포괄.
• 특정 기술이나 산업에 종속되지 않는 통제 요구사항 제공.
• 조직 전체에 공통으로 적용하는 통제와 개별 시스템에 적용하는 통제를 구분.
• 미국 연방정부의 위험관리 프레임워크(RMF)와 연계.
• 클라우드, 모바일, 사물인터넷, 산업제어시스템 등 다양한 환경에 적용 가능.
• 별도 간행물인 SP 800-53A 및 SP 800-53B와 함께 활용.

항목	내용
문서 번호	NIST SP 800-53
정식 명칭	Security and Privacy Controls for Information Systems and Organizations
한국어 명칭	정보시스템 및 조직을 위한 보안 및 개인정보 보호 통제
발행기관	NIST
최초 발행	2005년
현행 주요 개정판	Revision 5
Rev. 5 발행	2020년 9월
Rev. 5 수정본	2020년 12월 10일
최신 통제 카탈로그 릴리스	Release 5.2.0 (2025년 8월 27일)
통제군	20개
주요 대상	미국 연방기관, 정보시스템 운영조직, 보안·개인정보 보호 담당자, 시스템 개발자 및 평가자
관련 문서	NIST SP 800-53A, NIST SP 800-53B, NIST SP 800-37
공식 페이지	NIST CSRC
Rev. 5 원문	PDF
최신 통제 데이터	NIST CPRT

제정 목적

NIST SP 800-53은 조직과 정보시스템이 직면하는 다양한 위험에 대응하기 위한 보호조치를 제공한다.

주요 위험은 다음과 같다.

• 외부 공격자의 정보시스템 침해.
• 내부자의 권한 오남용.
• 정보 유출과 무단 변경.
• 악성코드 감염 및 시스템 장애.
• 사람의 실수와 운영상 오류.
• 자연재해와 물리적 시설 장애.
• 소프트웨어 및 하드웨어 공급망 위험.
• 개인정보 처리 과정에서 발생하는 프라이버시 위험.

이러한 위험에 대응하기 위해 조직은 보안 요구사항을 정의하고 적절한 통제를 선정해야 한다.

NIST SP 800-53은 조직이 필요한 보호조치를 처음부터 개별적으로 개발하지 않고, 체계화된 통제 카탈로그를 바탕으로 위험관리 활동을 수행하도록 지원한다.

보안 요구사항과 통제의 구분

SP 800-53은 보안·개인정보 보호 요구사항(Requirements)과 통제(Controls)를 구분한다.

• 요구사항: 조직이나 시스템이 충족해야 하는 보호 목적과 의무.
• 통제: 요구사항을 충족하기 위해 구현하는 보호조치 또는 보호 기능.

예를 들어 조직이 사용자 계정의 무단 사용을 방지해야 한다는 요구사항을 가진 경우, 계정 관리와 접근통제 관련 통제를 선정할 수 있다.

요구사항은 법률, 규제, 계약, 조직 정책 및 업무상 필요에서 도출될 수 있다.

통제는 이러한 요구사항을 충족하기 위한 관리적·기술적·물리적 수단을 제공한다.

적용 대상

SP 800-53은 미국 연방정부의 정보시스템 및 조직을 주요 대상으로 하지만, Rev. 5는 다양한 컴퓨팅 환경에서 활용할 수 있도록 기술 중립적인 통제 카탈로그를 제공한다.

적용 가능한 환경은 다음과 같다.

• 일반적인 기업 정보시스템.
• 데이터센터와 서버 인프라.
• 클라우드 및 하이브리드 클라우드.
• 모바일 기기 및 원격근무 환경.
• 산업제어시스템(ICS).
• 운영기술(OT).
• 사이버물리시스템(CPS).
• 사물인터넷(IoT).
• 소프트웨어 개발 및 공급망.
• 개인정보를 처리하는 업무시스템.

다만 모든 통제가 모든 시스템에 필요한 것은 아니다.

조직은 시스템의 중요도, 처리 정보의 민감도, 위험 수준 및 적용 법규를 고려하여 적절한 통제를 선정해야 한다.

법적 지위

NIST SP 800-53은 미국 연방정부의 정보보안 위험관리 체계를 지원하는 지침이다.

미국 연방기관은 FISMA(Federal Information Security Modernization Act), OMB Circular A-130 및 관련 정책에 따라 정보보안 위험관리와 통제 선정·구현을 수행한다.

다만 SP 800-53에 수록된 모든 통제가 모든 연방 정보시스템에 일률적으로 적용되는 것은 아니다. 실제 적용 범위는 관련 법령·정책, 시스템의 보안 분류, 선정된 기준선 및 위험 평가에 따라 결정된다.

민간기업은 일반적으로 자발적으로 활용할 수 있으나, 계약이나 규제에서 특정 통제의 적용을 요구할 수 있다.

SP 800-53 자체가 조직을 인증하는 인증제도는 아니다.

통제 카탈로그 구조

SP 800-53 Rev. 5는 보안 및 개인정보 보호 통제를 20개 통제군으로 분류한다.

각 통제군에는 기본 통제와 필요한 경우 이를 강화하는 통제 강화항목이 포함된다.

통제군은 두 글자의 영문 식별자로 구분한다.

통제군 안의 통제는 번호로 식별하며, 통제 강화항목은 기본 통제 번호 뒤에 괄호로 표시한다.

통제 식별번호

통제 식별번호는 다음과 같은 구조를 가진다.

예시	의미
AC	접근통제(Access Control) 통제군
AC-2	접근통제 통제군의 계정 관리(Account Management) 통제
AC-2(1)	AC-2의 첫 번째 통제 강화항목
AU-2	이벤트 로깅(Event Logging)
CM-2	기준 구성(Baseline Configuration)
IR-4	사고 처리(Incident Handling)
SC-7	경계 보호(Boundary Protection)
SI-2	결함 수정(Flaw Remediation)

통제 식별번호는 통제의 중요도나 우선순위를 나타내지 않는다.

예를 들어 AC-2가 AC-3보다 중요하다는 의미는 아니다.

통제 강화항목의 번호 역시 보안 수준의 순위를 나타내지 않는다.

또한 통제가 철회되더라도 기존 식별번호를 다른 통제에 재사용하지 않는다.

기본 통제

기본 통제(Base Control)는 특정 보안 또는 개인정보 보호 기능을 구현하기 위한 핵심 보호조치를 정의한다.

예를 들어 AC-2는 계정 관리에 관한 통제이다.

조직은 계정 유형, 계정 관리 책임, 계정 생성·변경·비활성화·삭제 절차 등을 관리해야 한다.

기본 통제는 반드시 특정 보안 제품의 기능만을 의미하지 않는다.

정책 수립, 관리 절차, 인적 활동, 자동화된 기술적 통제 등이 함께 포함될 수 있다.

통제 강화항목

통제 강화항목(Control Enhancement)은 기본 통제의 기능을 추가하거나 보호 수준을 높이는 항목이다.

예를 들어 AC-2의 강화항목에는 다음과 같은 내용이 포함된다.

통제	명칭	주요 내용
AC-2	Account Management	계정 관리
AC-2(1)	Automated System Account Management	시스템 계정 관리의 자동화
AC-2(2)	Automated Temporary and Emergency Account Management	임시·비상 계정의 자동 관리
AC-2(3)	Disable Accounts	지정된 조건에 따른 계정 비활성화
AC-2(4)	Automated Audit Actions	계정 관리 활동에 대한 자동 감사
AC-2(7)	Privileged User Accounts	특권 사용자 계정 관리
AC-2(9)	Restrictions on Use of Shared and Group Accounts	공유·그룹 계정의 사용 제한

강화항목은 기본 통제와 독립적으로 선정하는 항목이 아니다.

특정 강화항목을 선정하면 해당 기본 통제도 함께 선정·구현해야 한다.

통제의 세부 구성

SP 800-53의 개별 통제는 일반적으로 다음과 같은 구성요소를 가진다.

구성요소	영문	설명
통제	Control	구현해야 하는 보안 또는 개인정보 보호 기능
설명	Discussion	통제의 목적, 적용 시 고려사항 및 구현 예시
관련 통제	Related Controls	해당 통제와 연관되거나 상호 보완하는 다른 통제
통제 강화항목	Control Enhancements	기본 통제에 추가되는 기능 또는 강화 요구사항
참고자료	References	관련 법률, 표준, 지침 및 기술자료

설명(Discussion)은 통제 요구사항을 이해하고 구현하는 데 필요한 정보를 제공한다.

설명에 제시된 예시가 모든 조직에 의무적으로 적용되는 것은 아니다.

통제 자체의 요구사항과 이를 설명하기 위한 참고 내용은 구분해야 한다.

20개 통제군

SP 800-53 Rev. 5는 다음과 같은 20개 통제군을 정의한다.

식별자	영문 명칭	한국어 명칭	주요 내용
AC	Access Control	접근통제	계정 관리, 접근 권한, 최소 권한, 원격접속, 정보 흐름 통제
AT	Awareness and Training	보안 인식 및 교육	보안 인식 교육, 역할별 교육, 교육 기록
AU	Audit and Accountability	감사 및 책임추적성	이벤트 로깅, 감사 기록, 로그 보호, 감사 분석
CA	Assessment, Authorization, and Monitoring	평가·인가 및 모니터링	통제 평가, 운영 인가, 지속적 모니터링, 모의침투시험
CM	Configuration Management	구성 관리	기준 구성, 변경통제, 최소 기능, 자산 구성 관리
CP	Contingency Planning	비상계획	백업, 복구, 대체 처리시설, 비상 대응계획
IA	Identification and Authentication	식별 및 인증	사용자·기기 식별, 인증, 인증정보 관리
IR	Incident Response	사고 대응	사고 처리, 사고 보고, 사고 대응 훈련 및 계획
MA	Maintenance	유지보수	시스템 유지보수, 원격 유지보수, 유지보수 도구 통제
MP	Media Protection	매체 보호	저장매체 접근통제, 보관, 운송, 삭제
PE	Physical and Environmental Protection	물리적·환경적 보호	시설 접근통제, 전력, 화재, 환경 보호
PL	Planning	계획 수립	시스템 보안·개인정보 보호 계획, 아키텍처 관련 계획
PM	Program Management	프로그램 관리	조직 차원의 보안·개인정보 보호 프로그램 관리
PS	Personnel Security	인적 보안	인사 보안 심사, 퇴직·전보 처리, 외부 인력 관리
PT	PII Processing and Transparency	개인식별정보 처리 및 투명성	개인정보 처리 권한, 처리 목적, 동의, 투명성
RA	Risk Assessment	위험 평가	위험 평가, 취약점 모니터링, 공급망 관련 위험 분석
SA	System and Services Acquisition	시스템 및 서비스 획득	시스템 개발·조달, 개발 보안, 공급업체 요구사항
SC	System and Communications Protection	시스템 및 통신 보호	네트워크 경계, 암호화, 통신 기밀성·무결성
SI	System and Information Integrity	시스템 및 정보 무결성	결함 수정, 악성코드 방어, 보안 모니터링, 소프트웨어 무결성
SR	Supply Chain Risk Management	공급망 위험 관리	공급망 위험 평가, 공급업체 관리, 구성요소 진위 확인

20개 통제군 중 17개는 FIPS 200의 최소 보안 요구사항 영역과 연계된다.

PM, PT, SR은 조직 차원의 프로그램 관리, 개인정보 보호 및 공급망 위험관리를 다루는 통제군이다.

접근통제(AC)

접근통제 통제군은 정보시스템과 자원에 대한 접근을 관리한다.

대표적인 통제는 다음과 같다.

• AC-2: 계정 관리.
• AC-3: 접근 집행.
• AC-4: 정보 흐름 집행.
• AC-5: 직무 분리.
• AC-6: 최소 권한.
• AC-7: 로그인 실패 시도 제한.
• AC-11: 세션 잠금.
• AC-17: 원격접속.

접근통제는 단순히 사용자의 로그인 여부를 확인하는 것에 그치지 않는다.

사용자가 어떤 자원에 접근할 수 있는지, 어떤 작업을 수행할 수 있는지, 권한을 어떻게 부여·변경·회수하는지를 포함한다.

감사 및 책임추적성(AU)

감사 및 책임추적성 통제군은 정보시스템에서 발생하는 보안 관련 활동을 기록하고 분석하는 데 필요한 보호조치를 정의한다.

대표적인 통제는 다음과 같다.

• AU-2: 이벤트 로깅.
• AU-3: 감사 기록의 내용.
• AU-4: 감사 저장 용량.
• AU-5: 감사 로깅 처리 실패 대응.
• AU-6: 감사 기록의 검토·분석·보고.
• AU-8: 타임스탬프.
• AU-9: 감사 정보 보호.
• AU-11: 감사 기록 보존.
• AU-12: 감사 기록 생성.

조직은 보안 이벤트를 기록하는 것뿐 아니라 로그의 무결성, 보존 기간, 분석 절차 및 접근 권한을 함께 관리해야 한다.

구성 관리(CM)

구성 관리 통제군은 정보시스템의 보안 설정과 변경사항을 체계적으로 관리한다.

대표적인 통제는 다음과 같다.

• CM-2: 기준 구성.
• CM-3: 구성 변경통제.
• CM-4: 변경의 보안·개인정보 보호 영향 분석.
• CM-5: 변경을 위한 접근 제한.
• CM-6: 구성 설정.
• CM-7: 최소 기능.
• CM-8: 시스템 구성요소 목록.

구성 관리에는 운영체제와 애플리케이션의 설정뿐 아니라 시스템 구성요소와 변경 이력에 대한 관리도 포함된다.

사고 대응(IR)

사고 대응 통제군은 보안사고의 탐지, 분석, 처리, 보고 및 대응체계 유지에 관한 통제를 제공한다.

대표적인 통제는 다음과 같다.

• IR-2: 사고 대응 훈련.
• IR-3: 사고 대응 시험.
• IR-4: 사고 처리.
• IR-5: 사고 모니터링.
• IR-6: 사고 보고.
• IR-8: 사고 대응 계획.

사고 대응 통제는 사고가 발생한 이후의 기술적 조치뿐 아니라 사전 준비와 조직적 대응체계를 포함한다.

위험 평가(RA)

위험 평가 통제군은 조직과 시스템의 위험을 식별·분석하고 취약점을 관리하는 데 필요한 통제를 정의한다.

대표적인 통제는 다음과 같다.

• RA-2: 보안 분류.
• RA-3: 위험 평가.
• RA-5: 취약점 모니터링 및 스캐닝.
• RA-7: 위험 대응.

위험 평가는 단순히 취약점의 존재 여부를 확인하는 활동과 구분된다.

위협, 취약점, 발생 가능성, 영향 및 조직의 위험 허용 수준 등을 고려하여 대응 우선순위를 결정한다.

시스템 및 서비스 획득(SA)

시스템 및 서비스 획득 통제군은 시스템 개발, 조달 및 외부 서비스 활용 과정에서 필요한 보안·개인정보 보호 통제를 제공한다.

대표적인 통제는 다음과 같다.

• SA-3: 시스템 개발 생명주기.
• SA-4: 획득 프로세스.
• SA-8: 보안 및 개인정보 보호 공학 원칙.
• SA-9: 외부 시스템 서비스.
• SA-10: 개발자 구성 관리.
• SA-11: 개발자 시험 및 평가.
• SA-15: 개발 프로세스·표준 및 도구.
• SA-24: 사이버 복원력을 고려한 설계.

SA-24는 2025년 Release 5.2.0에서 추가된 통제이다.

시스템 및 정보 무결성(SI)

시스템 및 정보 무결성 통제군은 시스템의 결함, 악성코드, 비정상적인 동작 및 정보 무결성 훼손에 대응하기 위한 통제를 제공한다.

대표적인 통제는 다음과 같다.

• SI-2: 결함 수정.
• SI-3: 악성코드 방어.
• SI-4: 시스템 모니터링.
• SI-7: 소프트웨어·펌웨어 및 정보 무결성.
• SI-12: 정보 관리 및 보존.

취약점 패치와 업데이트의 검증, 소프트웨어 무결성 확인 및 이상행위 탐지 등은 이 통제군과 관련된다.

공급망 위험 관리(SR)

공급망 위험 관리 통제군은 시스템, 구성요소 및 서비스의 공급망에서 발생할 수 있는 위험을 관리한다.

대표적인 통제는 다음과 같다.

• SR-2: 공급망 위험 관리 계획.
• SR-3: 공급망 통제 및 프로세스.
• SR-5: 획득 전략·도구 및 방법.
• SR-6: 공급업체 평가 및 검토.
• SR-8: 통보 계약.
• SR-11: 구성요소 진위 확인.

공급망 위험은 소프트웨어 개발업체뿐 아니라 하드웨어 제조업체, 외부 서비스 제공업체 및 기타 공급업체와의 관계에서도 발생할 수 있다.

조직 정의 매개변수

SP 800-53의 일부 통제에는 조직이 구체적인 값을 결정해야 하는 매개변수가 포함된다.

이를 조직 정의 매개변수(Organization-Defined Parameters)라고 한다.

매개변수는 크게 두 가지 방식으로 지정한다.

방식	영문	설명
할당	Assignment	조직이 필요한 값이나 조건을 직접 지정
선택	Selection	NIST가 제시한 선택지 중 하나 이상을 선택

예를 들어 감사 기록의 보존 기간을 정하는 통제에서는 조직이 보존 요구사항에 따라 기간을 지정해야 할 수 있다.

이때 NIST가 모든 조직에 동일한 기간을 일률적으로 요구하는 것은 아니다.

조직은 관련 법규, 업무 중요도, 위험 평가 결과 및 내부 정책을 고려하여 적절한 값을 결정한다.

조직 정의 매개변수를 구체화하면 해당 값은 통제 요구사항의 일부가 된다.

반복과 세부화

통제의 조정에는 다음과 같은 방법도 활용된다.

• 반복(Iteration): 하나의 통제를 서로 다른 조건이나 매개변수로 여러 번 적용.
• 세부화(Refinement): 통제의 구현 범위나 방법을 더 구체적으로 정의.

예를 들어 동일한 인증 관련 통제를 일반 사용자와 특권 관리자에게 서로 다른 조건으로 적용할 수 있다.

이러한 유연성은 조직의 업무 환경과 위험 수준에 맞는 통제 구현을 지원한다.

통제 구현 방식

SP 800-53은 통제 구현 방식을 세 가지로 구분한다.

구분	영문	설명
공통 통제	Common Control	여러 시스템이 공통으로 이용하거나 상속할 수 있는 통제
시스템 고유 통제	System-Specific Control	특정 시스템을 위해 개별적으로 구현하는 통제
혼합 통제	Hybrid Control	공통 통제와 시스템 고유 통제를 결합한 통제

공통 통제

공통 통제(Common Control)는 여러 시스템이나 프로그램이 공통으로 이용할 수 있는 통제이다.

예를 들어 다음과 같은 통제를 조직 차원에서 공통으로 제공할 수 있다.

• 물리적 시설 접근통제.
• 중앙 집중식 신원 및 인증 서비스.
• 조직 공통 보안 교육.
• 중앙 보안관제 및 로그 관리.
• 조직 차원의 사고 대응체계.

공통 통제를 이용하는 시스템은 해당 통제의 보호 기능을 상속(Inheritance)할 수 있다.

이 경우 통제를 제공하는 조직이나 서비스가 공통 통제의 구현·평가·인가·모니터링에 대한 책임을 가진다.

공통 통제를 활용하면 여러 시스템에서 동일한 통제를 중복 구현하거나 평가하는 부담을 줄일 수 있다.

다만 공통 통제의 장애나 침해가 여러 시스템에 영향을 미칠 수 있으므로 의존관계와 책임 범위를 관리해야 한다.

시스템 고유 통제

시스템 고유 통제(System-Specific Control)는 특정 정보시스템을 위해 개별적으로 구현하는 통제이다.

예를 들어 특정 업무 애플리케이션의 접근 권한 정책이나 시스템별 보안 설정은 시스템 고유 통제로 구현할 수 있다.

해당 시스템의 소유자는 통제의 구현과 운영에 대한 주요 책임을 가진다.

혼합 통제

혼합 통제(Hybrid Control)는 하나의 통제를 공통 부분과 시스템 고유 부분으로 나누어 구현하는 방식이다.

예를 들어 조직이 공통 비상계획 양식을 제공하고, 각 시스템 소유자가 시스템별 복구 절차를 추가하는 방식이 가능하다.

혼합 통제에서는 공통 부분과 시스템 고유 부분의 책임을 명확하게 구분해야 한다.

통제 선정과 적용

SP 800-53은 통제 카탈로그를 제공하지만, 특정 조직이나 시스템이 적용해야 하는 통제 목록을 일률적으로 지정하지 않는다.

실제 통제 선정은 조직의 위험관리 절차와 관련 정책에 따라 수행한다.

미국 연방정부의 일반적인 통제 선정 과정은 다음과 같다.

1. 정보시스템과 처리 정보의 중요도를 분석한다.
2. FIPS 199에 따라 기밀성·무결성·가용성의 영향 수준을 분류한다.
3. SP 800-53B에서 해당 영향 수준에 맞는 보안 통제 기준선을 확인한다.
4. 개인정보 처리와 관련된 요구사항을 고려한다.
5. 조직의 업무, 위험 및 운영 환경에 맞게 기준선을 조정한다.
6. 필요한 통제와 강화항목을 추가로 선정한다.
7. 조직 정의 매개변수를 구체화한다.
8. 공통·시스템 고유·혼합 통제의 구현 책임을 지정한다.
9. 통제를 구현하고 그 결과를 문서화한다.
10. SP 800-53A 등을 활용하여 통제의 구현 및 효과를 평가한다.
11. 위험관리 절차에 따라 인가와 지속적 모니터링을 수행한다.

이 과정은 NIST 위험 관리 프레임워크(RMF)의 통제 선정·구현·평가·인가·모니터링 단계와 연계된다.

보안 분류

FIPS 199는 정보 및 정보시스템의 기밀성·무결성·가용성에 대한 잠재적 영향을 평가하여 낮음(Low), 중간(Moderate), 높음(High)으로 분류하는 기준을 제공한다.

보안 분류는 시스템에 필요한 통제 기준선을 선정하는 데 활용된다.

영향 수준	영문	의미
낮음	Low	보안 사고가 발생했을 때 제한적인 부정적 영향이 예상되는 수준
중간	Moderate	심각한 부정적 영향이 예상되는 수준
높음	High	중대하거나 치명적인 부정적 영향이 예상되는 수준

시스템의 최종 보안 영향 수준은 기밀성·무결성·가용성 중 가장 높은 영향 수준을 기준으로 결정한다.

통제 기준선

통제 기준선(Control Baseline)은 특정 보호 수준을 달성하기 위해 기본적으로 선정하는 통제의 집합이다.

SP 800-53 Rev. 5에서는 통제 기준선을 별도 문서인 SP 800-53B로 분리하였다.

SP 800-53B는 다음 기준선을 제공한다.

• 낮은 영향 수준의 보안 통제 기준선.
• 중간 영향 수준의 보안 통제 기준선.
• 높은 영향 수준의 보안 통제 기준선.
• 개인정보 보호 통제 기준선.

개인정보 보호 기준선은 시스템의 보안 영향 수준과 별도로 적용할 수 있다.

기준선 맞춤 조정

기준선 맞춤 조정(Tailoring)은 선정된 통제 기준선을 조직의 실제 환경에 맞게 수정하는 과정이다.

주요 활동은 다음과 같다.

• 적용되지 않는 통제의 검토.
• 보완 통제의 추가.
• 통제 구현 방식의 조정.
• 조직 정의 매개변수 지정.
• 공통 통제의 상속 여부 확인.
• 시스템과 업무 특성에 맞는 추가 보호조치 선정.

기준선 맞춤 조정은 단순히 통제 수를 줄이는 과정이 아니다.

위험 평가 결과와 보호 요구사항을 바탕으로 필요한 통제를 추가하거나 구현 방법을 조정하는 활동이다.

통제 평가와 인가

SP 800-53의 통제를 선정하고 구현했다고 해서 해당 통제가 정상적으로 작동한다고 단정할 수는 없다.

조직은 통제가 올바르게 구현되었는지, 의도한 대로 작동하는지, 보안·개인정보 보호 요구사항을 충족하는지 평가해야 한다.

이때 SP 800-53A가 통제 평가를 위한 방법과 절차를 제공한다.

통제 평가

SP 800-53A는 통제 평가에 사용할 수 있는 세 가지 방법을 정의한다.

평가 방법	영문	설명
검사	Examine	정책, 절차서, 설정, 로그, 시스템 구성 등 평가 대상의 자료와 상태를 확인
면담	Interview	담당자와의 대화를 통해 통제의 구현·운영 상태를 확인
시험	Test	시스템이나 보안 기능을 실제로 동작시켜 기대한 결과가 나타나는지 확인

평가자는 통제의 성격과 위험 수준에 따라 하나 이상의 방법을 조합할 수 있다.

예를 들어 계정 관리 통제에 대해 계정 관리 절차서를 검사하고, 담당자를 면담하며, 퇴사자 계정이 실제로 비활성화되는지 시험할 수 있다.

통제 평가 결과

통제 평가에서는 통제의 구현 상태와 효과를 확인하고 발견된 문제를 문서화한다.

평가 결과는 조직의 위험 판단과 시정조치에 활용된다.

대표적인 관련 문서는 다음과 같다.

• 시스템 보안 계획(System Security Plan, SSP).
• 보안 평가 보고서(Security Assessment Report, SAR).
• 조치 계획 및 이정표(Plan of Action and Milestones, POA&M).

평가 결과는 시스템 운영 인가와 지속적 모니터링을 위한 근거가 된다.

NIST 위험 관리 프레임워크와의 관계

SP 800-53은 NIST 위험 관리 프레임워크(Risk Management Framework, RMF)를 구성하는 주요 참조 문서 중 하나이다.

RMF는 조직과 시스템의 위험을 관리하기 위한 절차를 정의하며, SP 800-53은 해당 절차에서 사용할 보안 및 개인정보 보호 통제 카탈로그를 제공한다.

RMF 단계	영문	SP 800-53과의 관계
준비	Prepare	조직의 보안·개인정보 보호 요구사항과 통제 관리체계 준비
분류	Categorize	통제 기준선 선정에 필요한 시스템 영향 수준 결정
선정	Select	SP 800-53의 통제와 SP 800-53B의 기준선을 활용
구현	Implement	선정한 통제를 시스템과 조직에 구현
평가	Assess	SP 800-53A의 평가 절차 등을 활용
인가	Authorize	통제 평가 결과와 잔여 위험을 바탕으로 운영 여부 결정
모니터링	Monitor	통제의 운영 상태와 효과를 지속적으로 확인

RMF의 구체적인 절차는 NIST SP 800-37 Rev. 2에서 정의한다.

SP 800-53은 RMF 자체를 대체하는 문서가 아니며, RMF는 SP 800-53에 수록된 통제 목록만으로 구성되는 체계도 아니다.

개인정보 보호 통제의 통합

SP 800-53 Rev. 5의 중요한 변화 중 하나는 보안 통제와 개인정보 보호 통제를 하나의 카탈로그로 통합한 것이다.

Rev. 4에서는 개인정보 보호 통제가 별도의 부록에 정리되어 있었으나, Rev. 5에서는 개인정보 보호 관련 통제를 전체 통제 카탈로그에 통합하였다.

또한 개인식별정보 처리 및 투명성(PT) 통제군을 신설하였다.

개인정보 보호 통제는 단순히 개인정보의 기밀성을 유지하는 데 그치지 않는다.

개인정보의 수집, 이용, 처리, 제공, 보관 및 삭제 과정에서 발생하는 위험을 관리하는 데 필요한 보호조치를 포함한다.

보안 위험과 개인정보 보호 위험

정보보안 위험은 일반적으로 정보나 시스템의 기밀성·무결성·가용성에 대한 위협과 관련된다.

반면 개인정보 보호 위험은 개인정보 처리 활동이 개인에게 미칠 수 있는 부정적 영향과 관련된다.

두 위험은 서로 연관되지만 동일하지는 않다.

예를 들어 보안 모니터링을 위해 상세한 사용자 활동 로그를 수집하는 것은 침해사고 탐지에 도움이 될 수 있다.

그러나 이러한 로그에 개인을 식별할 수 있는 정보가 포함된다면 개인정보 보호 위험도 함께 고려해야 한다.

따라서 보안 담당자와 개인정보 보호 담당자는 통제의 선정·구현·평가 과정에서 협력해야 한다.

통제의 기능성과 보증

SP 800-53은 보안·개인정보 보호 통제를 기능성(Functionality)과 보증(Assurance)의 관점에서 설명한다.

구분	영문	설명
기능성	Functionality	시스템과 조직이 제공하는 보안·개인정보 보호 기능 및 보호 능력
보증	Assurance	해당 기능이 올바르게 구현되고 의도대로 작동한다는 신뢰 수준

예를 들어 접근통제 기능을 구현하는 것은 기능성에 해당한다.

반면 접근통제 기능이 요구사항에 맞게 구현되었는지 시험하고 검증하는 활동은 보증과 관련된다.

SP 800-53은 통제의 기능성과 보증을 함께 고려하여 시스템의 신뢰성(Trustworthiness)을 확보하도록 한다.

개정 이력

NIST SP 800-53은 2005년 처음 발행된 이후 여러 차례 개정되었다.

주요 개정 이력은 다음과 같다.

시기	판본	주요 내용
2005년 2월	최초 발행	미국 연방 정보시스템의 보안 통제 지침 제시
2005년 12월	Revision 1	초기 통제체계 개정
2007년 12월	Revision 2	보안 통제 카탈로그 보완
2009년 8월	Revision 3	보안 통제체계와 위험관리 접근법 개정
2013년 4월	Revision 4	개인정보 보호 통제 및 새로운 보안 위협 관련 내용 강화
2020년 9월	Revision 5	보안·개인정보 보호 통제 통합, 통제 구조 개편, 공급망 위험 관리 강화
2020년 12월 10일	Rev. 5 수정본	정오표 반영
2025년 8월 27일	Release 5.2.0	소프트웨어 업데이트·패치의 보안성과 신뢰성에 관한 통제 추가·개정

2026년 10월 25일 기준 NIST CSRC에서 확인되는 현행 주요 개정판은 Revision 5이며, 최신 통제 카탈로그 릴리스는 2025년 8월 27일 발표된 Release 5.2.0이다.

Revision 5의 PDF 원문은 2020년 12월 수정본을 기준으로 한다.

2025년 Release 5.2.0에서 추가·변경된 통제는 별도로 제공되는 최신 통제 데이터와 변경 내역을 확인해야 한다.

Revision 5의 주요 변화

Revision 5는 기존의 보안 통제체계를 개편하여 다양한 조직과 기술 환경에서 활용할 수 있도록 하였다.

주요 변경사항은 다음과 같다.

• 보안 통제와 개인정보 보호 통제를 통합.
• 개인정보 보호 관련 PT 통제군 신설.
• 공급망 위험 관리 관련 SR 통제군 신설.
• 조직 차원의 프로그램 관리(PM) 통제를 통합 카탈로그에 포함.
• 통제 기준선을 별도 문서인 SP 800-53B로 분리.
• 통제 선정 절차와 통제 카탈로그의 분리.
• 특정 기술에 종속되지 않는 통제 표현 확대.
• 다양한 위험관리 및 사이버보안 프레임워크와의 연계 지원.

이러한 변경을 통해 SP 800-53은 특정 연방 정보시스템의 보안 통제 목록을 넘어 다양한 조직과 컴퓨팅 환경에서 활용할 수 있는 통제 카탈로그로 발전하였다.

Release 5.2.0

NIST는 2025년 8월 27일 SP 800-53 Release 5.2.0을 발표하였다.

이 릴리스는 소프트웨어 업데이트와 패치의 보안성 및 신뢰성을 개선하는 데 중점을 두었다.

미국 대통령 행정명령 14306호에 대응하여 소프트웨어 개발, 시험, 업데이트 배포, 무결성 검증 및 사이버 복원력 관련 통제를 보완하였다.

신규 통제 및 강화항목

Release 5.2.0에서 추가된 통제 및 강화항목은 다음과 같다.

식별번호	영문 명칭	주요 내용
SA-15(13)	Development Process, Standards, and Tools - Logging Syntax	개발 과정에서의 로그 구문 관련 요구사항
SA-24	Design for Cyber Resiliency	사이버 복원력을 고려한 설계
SI-02(07)	Flaw Remediation - Root Cause Analysis	결함 수정 과정에서의 근본 원인 분석

SA-24는 시스템과 소프트웨어를 설계할 때 사이버 복원력을 고려하도록 하는 신규 통제이다.

SI-02(07)은 결함 수정 과정에서 근본 원인 분석을 수행하도록 하는 강화항목이다.

SA-15(13)은 개발 프로세스에서 로그 구문에 관한 요구사항을 다룬다.

NIST는 이 세 항목을 기존 SP 800-53B 기준선에 자동으로 추가하지 않았다.

기존 통제의 개정

Release 5.2.0에서는 SI-07(12)의 요구사항이 개정되었다.

기존에는 조직이 정의한 사용자 소프트웨어를 대상으로 하던 내용을 조직이 정의한 소프트웨어 전체로 확대하였다.

또한 다음 통제 및 강화항목의 설명이 보완되었다.

• SA-04: 획득 프로세스.
• SA-05: 시스템 문서화.
• SA-08(14): 보안 및 개인정보 보호 공학 원칙 관련 강화항목.
• SI-02: 결함 수정.
• SI-02(05): 결함 수정 관련 강화항목.

관련 통제 참조 및 설명도 일부 갱신되었다.

설명(Discussion)의 변경은 반드시 통제 요구사항 자체의 변경을 의미하지 않는다.

SP 800-53A 및 SP 800-53B와의 동기화

Release 5.2.0 발표에 따라 관련 문서도 갱신되었다.

• SP 800-53A: 신규 통제 및 강화항목에 대응하는 평가 절차 추가.
• SP 800-53B: 기준선 자체는 변경하지 않고 버전 번호만 동기화.

따라서 Release 5.2.0의 통제를 적용할 때는 평가 절차의 변경 여부와 기준선 포함 여부를 구분해야 한다.

NIST SP 800-53A 및 800-53B와의 차이

SP 800-53, SP 800-53A, SP 800-53B는 서로 다른 목적을 가진 독립된 간행물이다.

문서	정식 명칭	핵심 역할	주요 질문
SP 800-53	Security and Privacy Controls for Information Systems and Organizations	보안 및 개인정보 보호 통제 카탈로그	어떤 통제가 존재하는가?
SP 800-53A	Assessing Security and Privacy Controls in Information Systems and Organizations	통제 평가 방법과 절차	통제가 제대로 구현되고 작동하는가?
SP 800-53B	Control Baselines for Information Systems and Organizations	통제 기준선 및 맞춤 조정 지침	어떤 통제를 기본적으로 선정해야 하는가?

SP 800-53

보안 및 개인정보 보호 통제의 내용과 구조를 정의한다.

각 통제의 목적, 요구사항, 관련 통제, 강화항목 및 참고자료를 제공한다.

SP 800-53A

통제 평가를 위한 방법과 절차를 제공한다.

검사(Examine), 면담(Interview), 시험(Test)을 활용하여 통제가 올바르게 구현되고 의도대로 작동하는지 평가한다.

통제 평가계획의 수립과 평가 결과의 분석도 다룬다.

SP 800-53B

미국 연방정부의 통제 기준선을 제공한다.

시스템 영향 수준에 따른 세 가지 보안 통제 기준선과 개인정보 보호 기준선을 포함한다.

기준선 맞춤 조정(Tailoring) 및 특정 환경을 위한 통제 오버레이(Overlay)의 개발도 다룬다.

다른 보안 프레임워크와의 관계

NIST CSF

NIST 사이버보안 프레임워크(Cybersecurity Framework, CSF)는 조직의 사이버보안 위험관리 활동을 체계화하기 위한 프레임워크이다.

CSF 2.0은 다음 여섯 가지 기능을 중심으로 구성된다.

• Govern: 거버넌스.
• Identify: 식별.
• Protect: 보호.
• Detect: 탐지.
• Respond: 대응.
• Recover: 복구.

CSF는 조직이 달성해야 하는 사이버보안 성과를 중심으로 구성된다.

반면 SP 800-53은 이러한 성과를 달성하는 데 활용할 수 있는 구체적인 보안 및 개인정보 보호 통제를 제공한다.

두 문서는 상호 보완적으로 활용할 수 있지만 일대일로 대응하는 체계는 아니다.

ISO/IEC 27001

ISO/IEC 27001은 정보보호 관리체계(ISMS)의 수립·운영·유지 및 지속적 개선에 관한 요구사항을 정의하는 국제표준이다.

SP 800-53은 보안 및 개인정보 보호 통제의 카탈로그를 제공한다는 점에서 목적과 구조가 다르다.

NIST는 SP 800-53과 ISO/IEC 27001:2022 사이의 통제 대응관계(Crosswalk)를 제공한다.

다만 대응표에 연결되어 있다는 사실만으로 두 표준의 통제가 완전히 동등하다는 의미는 아니다.

CIS Controls

CIS Controls는 조직이 우선적으로 수행할 수 있는 보안 보호조치를 체계화한 통제체계이다.

SP 800-53은 보안뿐 아니라 개인정보 보호, 조직 차원의 프로그램 관리 및 공급망 위험 관리까지 포함하는 포괄적인 통제 카탈로그이다.

두 통제체계는 목적과 범위가 다르므로 조직의 요구사항에 따라 병행하여 활용할 수 있다.

기계 판독형 통제 데이터

NIST는 SP 800-53의 통제를 PDF뿐 아니라 기계 판독이 가능한 데이터 형식으로도 제공한다.

대표적인 형식은 OSCAL(Open Security Controls Assessment Language)이다.

OSCAL은 보안 통제, 통제 기준선, 시스템 보안계획 및 평가 관련 정보를 기계가 처리할 수 있는 형식으로 표현하기 위한 표준화된 데이터 모델이다.

NIST는 SP 800-53 통제 데이터를 JSON, XML, YAML 등의 형식으로 제공한다.

활용 분야

기계 판독형 통제 데이터는 다음과 같은 용도로 활용할 수 있다.

• 보안 통제 목록의 자동 수집.
• 통제 식별번호와 명칭의 일관된 관리.
• 통제 기준선의 비교.
• 통제 개정 이력의 추적.
• 보안 평가 도구와의 연계.
• GRC(Governance, Risk and Compliance) 시스템의 통제 관리.
• 통제 구현 상태와 평가 결과의 구조화.
• 규제 및 보안 프레임워크 사이의 대응관계 관리.

NIST는 Cybersecurity and Privacy Reference Tool(CPRT)을 통해 통제 카탈로그와 관련 참조자료를 제공한다.

문서 구조

NIST SP 800-53 Rev. 5의 PDF 원문은 3개 장과 부록으로 구성된다.

구분	영문 제목	주요 내용
제1장	Introduction	문서의 목적, 적용 범위, 대상 독자 및 다른 간행물과의 관계
제2장	The Fundamentals	통제의 구조, 조직화, 구현 방식, 보안·개인정보 보호 통제의 관계
제3장	The Controls	20개 통제군에 속한 보안 및 개인정보 보호 통제
부록 A	Glossary	주요 용어 정의
부록 B	Acronyms	약어
부록 C	Control Summaries	통제 및 강화항목 요약

제3장은 문서의 핵심 부분으로, 20개 통제군별 통제와 강화항목을 수록한다.

부록 C는 통제 식별번호, 명칭 및 구현 관련 정보를 요약하여 제공한다.

활용 시 고려사항

SP 800-53을 조직의 보안체계에 적용할 때는 다음 사항을 구분해야 한다.

• 통제 카탈로그와 통제 기준선.
• 보안 요구사항과 통제 구현 방법.
• 기본 통제와 통제 강화항목.
• 통제의 선정과 실제 구현.
• 통제의 구현 여부와 효과성 평가.
• 공통 통제와 시스템 고유 통제.
• 보안 위험과 개인정보 보호 위험.
• 통제의 기능성과 보증.
• NIST 지침의 권고사항과 법령·계약에 따른 의무사항.

SP 800-53은 통제의 목록과 내용을 제공하지만, 특정 시스템의 보안성을 자동으로 보증하지 않는다.

조직은 통제를 적절하게 선정하고 실제로 구현한 뒤, 그 효과를 평가하고 지속적으로 관리해야 한다.

또한 통제 카탈로그는 시간이 지나면서 변경될 수 있다.

통제의 신설·개정·철회 여부와 통제 기준선의 변경 여부를 확인하고, 조직이 채택한 판본과 릴리스를 명확하게 관리해야 한다.

같이 보기

• NIST
• NIST SP 800 시리즈
• NIST 위험 관리 프레임워크
• 보안 통제 프레임워크
• 보안 통제 평가
• 보안 기준선