NIST SP 800-53A
더 많은 작업
NIST SP 800-53A(Assessing Security and Privacy Controls in Information Systems and Organizations)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행하는 보안 및 개인정보 보호 통제 평가 지침으로, 정보시스템과 조직에 적용된 통제가 올바르게 구현되고 의도대로 작동하는지 검사·면담·시험을 통해 검증하는 방법과 절차를 규정한 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-53A는 정보시스템과 조직에 적용된 보안 및 개인정보 보호 통제(Security and Privacy Controls)의 효과성을 평가하기 위한 지침이다.
NIST SP 800-53이 조직과 정보시스템에 적용할 수 있는 보안 및 개인정보 보호 통제 항목을 제시한다면, SP 800-53A는 해당 통제가 실제로 구현되어 요구사항을 충족하는지 확인하는 평가 절차를 제공한다.
평가의 핵심 목적은 다음 세 가지를 확인하는 것이다.[1]
- 올바른 구현(Implemented Correctly): 통제가 정해진 요구사항과 설계에 따라 적절하게 구현되었는가.
- 의도된 작동(Operating as Intended): 구현된 통제가 실제 운영 환경에서 의도한 방식으로 작동하는가.
- 목표 달성(Producing the Desired Outcome): 통제가 보안 및 개인정보 보호 요구사항과 관련하여 기대한 결과를 달성하는가.
NIST는 보안 통제 평가를 단순한 점검표 작성이나 합격·불합격 판정으로 보지 않는다. 평가를 통해 통제의 실효성을 입증할 증거를 확보하고, 조직이 위험을 관리하기 위한 의사결정에 활용하도록 한다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-53A |
| 문서명 | Assessing Security and Privacy Controls in Information Systems and Organizations |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 작성 주체 | Joint Task Force |
| 최초 발행 | 2005년 |
| 현행 개정판 | Revision 5 |
| 개정판 발행일 | 2022년 1월 25일 |
| 최신 확인 업데이트 | Release 5.2.0(2025년 8월 27일) |
| 주요 분야 | 보안 통제 평가, 개인정보 보호 통제 평가, 위험 관리, 보안 보증 |
| 핵심 평가 방법 | 검사(Examine), 면담(Interview), 시험(Test) |
| 관련 문서 | NIST SP 800-53, NIST SP 800-53B, NIST SP 800-37 |
| 공식 문서 | NIST SP 800-53A Rev. 5 |
2026년 10월 22일 기준 NIST 공식 간행물 페이지에서 확인되는 최종 개정판은 Revision 5이며, 2025년 8월 Release 5.2.0 업데이트가 반영되었다.[2]
NIST SP 800-53A는 2005년부터 개발되어 온 보안 통제 평가 지침이다.
초기 간행물은 미국 연방정부 정보시스템에 적용된 보안 통제의 효과를 평가하는 데 중점을 두었다.
이후 정보시스템의 복잡성이 증가하고 조직 차원의 위험 관리가 중요해지면서 평가 방법과 절차가 지속적으로 발전했다.
Revision 4는 2014년 12월 18일 발행되었다.
이 개정판은 정보시스템과 조직의 보안 통제 및 개인정보 보호 통제 평가를 지원하는 지침으로, 평가 목적과 평가 방법을 체계적으로 제시했다.
평가자가 통제별 요구사항을 검증할 수 있도록 평가 절차와 평가 대상을 제공하고, 평가 방법의 깊이와 범위를 조정할 수 있도록 했다.
2022년 1월 25일 Revision 5가 최종 발행되었다.
Revision 5는 2020년 발행된 NIST SP 800-53 Revision 5의 보안 및 개인정보 보호 통제체계에 맞춰 평가 절차를 개정한 것이다.
주요 변경사항은 다음과 같다.[3]
- SP 800-53 Revision 5의 통제 항목과 평가 절차 정합성 확보.
- 개인정보 보호 통제와 공급망 위험 관리 통제에 대한 평가 절차 확대.
- 평가 목적을 보다 세분화하여 통제의 개별 요구사항을 검증할 수 있도록 개선.
- 자동화 도구에서 활용하기 쉬운 평가 절차 구조 도입.
- 지속적 모니터링 및 지속 인가(Ongoing Authorization) 지원 강화.
- 평가 결과의 추적성과 활용성 개선.
- 평가 계획 수립 및 결과 분석에 관한 지침 보강.
Revision 5는 통제 평가를 보다 세밀하고 반복 가능한 방식으로 수행할 수 있도록 설계되었다.
2025년 8월 27일 NIST는 SP 800-53과 SP 800-53A의 Release 5.2.0을 발표했다.
SP 800-53A에는 다음 세 가지 통제 또는 통제 강화 항목에 대응하는 평가 절차가 추가되었다.[4]
| 통제 식별자 | 통제 영역 | 변경사항 |
|---|---|---|
| SA-15(13) | 개발 프로세스·표준 및 도구 | 신규 통제 강화 항목에 대응하는 평가 절차 추가 |
| SA-24 | 시스템 및 서비스 획득 | 신규 통제에 대응하는 평가 절차 추가 |
| SI-02(07) | 결함 수정 | 신규 통제 강화 항목에 대응하는 평가 절차 추가 |
Release 5.2.0은 Revision 6와 같은 전면 개정판이 아니라 Revision 5에 대한 후속 업데이트이다.
NIST는 관련 변경사항을 Cybersecurity and Privacy Reference Tool(CPRT)에서도 제공한다.
NIST SP 800-53A는 정보시스템과 조직에 적용된 보안 및 개인정보 보호 통제를 평가 대상으로 한다.
통제는 적용 방식에 따라 다음과 같이 구분할 수 있다.
| 구분 | 영문 | 설명 |
|---|---|---|
| 시스템 고유 통제 | System-Specific Control | 특정 정보시스템에 적용되며 해당 시스템이 구현 책임을 지는 통제 |
| 공통 통제 | Common Control | 여러 정보시스템이 공통적으로 이용할 수 있도록 조직 차원에서 제공하는 통제 |
| 혼합 통제 | Hybrid Control | 일부는 공통 통제로 제공되고 나머지는 개별 시스템에서 구현하는 통제 |
공통 통제는 여러 시스템에서 상속(Inheritance)하여 사용할 수 있다.
예를 들어 조직 전체에 제공되는 물리적 출입통제나 공통 인증 기반시설은 여러 정보시스템이 동일한 통제를 이용할 수 있다.
이 경우 공통 통제 제공자(Common Control Provider)가 해당 통제의 구현과 평가에 관한 책임을 가진다.
개별 시스템은 공통 통제의 평가 결과를 활용할 수 있지만, 상속된 통제가 해당 시스템의 보안 및 개인정보 보호 요구사항을 충족하는지 확인해야 한다.
혼합 통제는 공통으로 제공되는 부분과 시스템별로 구현하는 부분을 구분하여 평가할 수 있다.[1]
NIST SP 800-53A의 평가 절차(Assessment Procedure)는 평가 목적과 이를 검증하기 위한 평가 방법 및 평가 대상으로 구성된다.
주요 구성 요소는 다음과 같다.
| 구성 요소 | 영문 | 의미 |
|---|---|---|
| 평가 목적 | Assessment Objective | 평가를 통해 확인하려는 통제의 요구사항과 목표 |
| 판정 문장 | Determination Statement | 통제 요구사항을 검증 가능한 단위로 세분화한 문장 |
| 평가 방법 | Assessment Method | 평가 증거를 확보하기 위한 검사·면담·시험 방법 |
| 평가 대상 | Assessment Object | 평가자가 검토하거나 시험하는 문서, 장치, 활동 또는 사람 |
| 평가 결과 | Assessment Finding | 판정 문장에 대한 평가 결과 |
평가 목적(Assessment Objective)은 특정 보안 또는 개인정보 보호 통제가 요구사항을 충족하는지 판단하기 위한 기준이다.
평가 목적은 하나 이상의 판정 문장(Determination Statement)으로 구성될 수 있다.
판정 문장은 통제의 요구사항을 보다 세부적인 검증 단위로 나눈 것이다.
예를 들어 접근통제 정책에 관한 평가에서는 다음과 같은 사항을 각각 확인할 수 있다.
- 접근통제 정책이 수립되어 있는가.
- 정책의 적용 대상과 책임이 정의되어 있는가.
- 정책이 관련 담당자에게 전달되는가.
- 정책이 정해진 주기에 따라 검토되고 갱신되는가.
이는 평가 구조를 설명하기 위한 예시이며, 실제 판정 문장의 정확한 내용은 해당 통제의 평가 절차를 기준으로 해야 한다.
SP 800-53의 일부 통제는 조직이 직접 값을 정하도록 하는 매개변수(Organization-Defined Parameter, ODP)를 포함한다.
예를 들어 다음과 같은 사항이 해당할 수 있다.
- 비활성 계정을 처리하는 기간.
- 접근 권한을 검토하는 주기.
- 로그를 보존하는 기간.
- 특정 보안 기능을 수행할 책임자.
- 조직이 허용하는 시스템 설정값.
평가자는 이러한 매개변수가 조직에 의해 적절하게 정의되었는지 확인해야 한다.
또한 실제 구현이 정의된 값과 일치하는지 평가해야 한다.
Revision 5에서는 조직 정의 매개변수에 관한 판정 문장을 다른 통제 요구사항과 구분하여 제시함으로써 평가의 추적성과 자동화 활용성을 개선했다.[1]
NIST SP 800-53A는 보안 및 개인정보 보호 통제를 평가하기 위한 세 가지 기본 방법을 제시한다.
- 검사(Examine)
- 면담(Interview)
- 시험(Test)
평가자는 통제의 특성과 필요한 보증 수준에 따라 하나 이상의 방법을 선택하여 적용한다.[1]
검사(Examine)는 평가 대상을 검토·관찰·분석하여 통제의 구현 상태와 효과를 확인하는 방법이다.
주요 평가 대상은 다음과 같다.
- 보안 정책 및 절차서.
- 시스템 설계 문서.
- 시스템 보안 계획.
- 개인정보 보호 계획.
- 시스템 구성정보.
- 접근 권한 목록.
- 감사 로그.
- 보안 교육 및 훈련 기록.
- 운영 및 유지보수 기록.
- 물리적 보안시설과 장치.
예를 들어 접근통제 정책의 존재 여부를 확인하려면 정책 문서와 승인 기록을 검사할 수 있다.
그러나 정책 문서가 존재한다는 사실만으로 실제 접근통제가 올바르게 작동한다고 결론 내릴 수는 없다.
따라서 필요한 경우 면담이나 시험을 추가해야 한다.
면담(Interview)은 조직의 구성원 또는 관련 담당자와 대화하여 통제의 구현 및 운영 상태를 확인하는 방법이다.
주요 면담 대상은 다음과 같다.
- 정보보안 책임자.
- 개인정보 보호 책임자.
- 시스템 관리자.
- 네트워크 관리자.
- 시스템 개발자.
- 업무 담당자.
- 보안 통제 운영자.
- 내부감사 및 위험 관리 담당자.
면담은 문서만으로 확인하기 어려운 실제 업무 절차와 운영 관행을 파악하는 데 활용할 수 있다.
예를 들어 사고 대응 절차가 실제로 어떻게 운영되는지 확인하기 위해 담당자를 면담할 수 있다.
다만 담당자의 진술과 실제 운영 상태가 다를 수 있으므로 필요한 경우 관련 기록이나 시험 결과를 함께 확인해야 한다.
시험(Test)은 평가 대상을 정해진 조건에서 실제로 작동시켜 기대한 결과와 실제 결과를 비교하는 방법이다.
시험 대상은 보안 메커니즘이나 보안 관련 활동이다.
대표적인 예는 다음과 같다.
- 허가되지 않은 사용자의 접근 차단 여부 확인.
- 계정 잠금 기능의 작동 확인.
- 세션 종료 기능의 작동 확인.
- 감사 로그 생성 기능 확인.
- 백업 데이터 복원 시험.
- 침입 탐지 및 경보 기능 확인.
- 시스템 보안 설정의 실제 적용 여부 확인.
- 취약점 점검 및 모의 침투 시험.
시험은 통제가 실제 환경에서 의도한 대로 작동하는지 직접 확인할 수 있다는 장점이 있다.
그러나 시험 과정에서 시스템의 성능이나 가용성에 영향을 줄 수 있으므로 시험 범위와 조건을 사전에 정의해야 한다.
| 방법 | 주요 활동 | 대표적인 평가 대상 | 확인할 수 있는 사항 |
|---|---|---|---|
| 검사(Examine) | 문서와 기록 및 구성정보 검토 | 정책, 절차서, 로그, 설정정보 | 통제의 설계와 구현 상태에 관한 증거 |
| 면담(Interview) | 담당자와의 질의응답 | 관리자, 운영자, 사용자 | 통제의 실제 운영 절차와 책임 수행 여부 |
| 시험(Test) | 기능 실행 및 결과 검증 | 시스템 기능, 보안 메커니즘, 운영 활동 | 실제 작동 상태와 기대 결과의 일치 여부 |
세 가지 방법은 상호배타적이지 않다.
예를 들어 계정 관리 통제를 평가할 때 정책 문서를 검사하고, 관리자에게 계정 발급 절차를 면담한 뒤, 실제 계정 비활성화 기능을 시험할 수 있다.
NIST는 모든 평가 대상에 세 가지 방법을 반드시 적용하도록 요구하지 않는다.
평가 목적을 충족하는 데 필요한 방법과 대상을 선정하도록 한다.
SP 800-53A는 평가 대상(Assessment Object)을 네 가지 유형으로 구분한다.
| 유형 | 영문 | 주요 내용 |
|---|---|---|
| 명세 | Specifications | 정책, 절차, 계획, 요구사항, 설계 문서 등 |
| 메커니즘 | Mechanisms | 하드웨어·소프트웨어·펌웨어 및 물리적 보호 장치 |
| 활동 | Activities | 보안 통제를 구현하거나 운영하기 위해 수행하는 행위 |
| 사람 | Individuals | 통제를 설계·구현·운영하거나 관련 책임을 수행하는 구성원 |
명세(Specifications)는 시스템이나 통제에 관한 문서화된 정보를 의미한다.
메커니즘(Mechanisms)은 보안 기능을 구현하는 기술적·물리적 수단이다. 방화벽, 접근통제 기능, 잠금장치, 보안 카메라 등이 해당할 수 있다.
활동(Activities)은 백업 수행, 로그 검토, 비상대응 훈련과 같이 사람이 수행하거나 운영 절차에 따라 이루어지는 보안 관련 행위이다.
사람(Individuals)은 정책이나 절차를 수립하고 통제를 운영하는 담당자를 의미한다.
평가 방법에 따라 적절한 평가 대상이 달라진다.
검사는 주로 명세·메커니즘·활동에 적용하고, 면담은 사람을 대상으로 수행하며, 시험은 메커니즘과 활동에 적용한다.[1]
NIST SP 800-53A는 평가 방법의 엄격성과 적용 범위를 조정하기 위해 두 가지 속성을 사용한다.
- 깊이(Depth)
- 범위(Coverage)
두 속성은 각각 세 단계로 구분한다.
- 기본(Basic)
- 집중(Focused)
- 포괄(Comprehensive)
깊이(Depth)는 평가 과정의 엄격성과 상세 수준을 의미한다.
| 수준 | 영문 | 특징 |
|---|---|---|
| 기본 | Basic | 평가 목적을 충족하기 위한 기본적인 검토와 분석 |
| 집중 | Focused | 보다 상세한 검토와 분석을 통해 추가적인 보증 확보 |
| 포괄 | Comprehensive | 높은 수준의 엄격성과 상세한 분석을 통해 보다 강한 보증 확보 |
깊이는 평가 과정에서 얼마나 엄격하고 상세하게 증거를 검토할 것인지에 관한 속성이다.
예를 들어 시스템의 접근통제 기능을 평가할 때 단순한 설정값 확인과 다양한 조건을 고려한 상세한 기능 시험은 평가 깊이에서 차이가 발생할 수 있다.
범위(Coverage)는 평가에 포함되는 대상의 종류와 수, 평가 대상의 폭을 의미한다.
| 수준 | 영문 | 특징 |
|---|---|---|
| 기본 | Basic | 기본적인 평가 대상을 선정하여 검토 |
| 집중 | Focused | 보다 넓은 대상과 다양한 조건을 포함 |
| 포괄 | Comprehensive | 광범위한 평가 대상을 포함하여 높은 수준의 보증 확보 |
범위는 평가할 시스템 구성요소, 문서, 활동, 담당자의 수와 종류에 영향을 준다.
예를 들어 서버 1대의 설정을 확인하는 평가와 동일한 기능을 수행하는 여러 서버 및 운영 환경을 평가하는 경우에는 평가 범위가 달라진다.
깊이와 범위는 서로 다른 속성이므로 독립적으로 조정할 수 있다.
예를 들어 특정 핵심 보안 기능에 대해 깊이 있는 시험을 수행하면서 평가 대상 시스템의 수는 제한할 수 있다.
반대로 조직 전체의 많은 시스템을 대상으로 기본적인 설정 검사를 수행할 수도 있다.
평가자는 조직이 요구하는 보증 수준, 위험 수준, 평가 비용 및 운영 환경을 고려하여 적절한 조합을 선택해야 한다.
NIST는 깊이와 범위의 값을 일률적으로 고정하지 않고 조직의 위험 관리 요구사항에 따라 조정할 수 있도록 한다.[1]
NIST SP 800-53A Revision 5의 제3장은 통제 평가 수행을 위한 절차를 설명한다.
주요 활동은 다음 다섯 가지로 구분된다.
- 평가 준비
- 평가 계획 수립
- 평가 수행
- 평가 보고서 결과 분석
- 보안 및 개인정보 보호 역량 평가
평가 준비(Prepare for Security and Privacy Control Assessments)는 통제 평가를 수행하기 위한 조직적·기술적 조건을 마련하는 활동이다.
주요 준비사항은 다음과 같다.
- 평가 목적과 범위 결정.
- 평가 대상 시스템과 통제 식별.
- 평가 일정 및 주요 단계 결정.
- 평가에 필요한 자원 확보.
- 평가자 또는 평가팀 선정.
- 평가자의 전문성과 독립성 검토.
- 시스템 및 통제 관련 문서 확보.
- 관계자 간 의사소통 체계 수립.
평가자는 시스템의 업무 목적과 아키텍처, 운영 환경 및 통제 구현 방식을 이해해야 한다.
기존 평가 결과가 존재한다면 재사용 가능성을 검토할 수 있다.
평가 계획(Assessment Plan)은 평가자가 어떤 통제를 어떤 방법으로 평가할 것인지 정의하는 문서이다.
주요 구성 요소는 다음과 같다.
- 평가 목적.
- 평가 범위.
- 평가 대상 통제 및 통제 강화 항목.
- 적용할 평가 절차.
- 평가 방법과 평가 대상.
- 평가 깊이와 범위.
- 평가자의 역할과 책임.
- 평가 일정.
- 필요한 자원과 접근 권한.
- 평가 결과의 기록 및 보고 방법.
평가 계획은 평가 목적과 조직의 보증 요구사항에 부합하도록 작성해야 한다.
또한 시스템의 운영 환경과 위험 수준에 따라 평가 절차를 조정할 수 있다.
평가 수행(Conduct Security and Privacy Control Assessments)은 승인된 평가 계획에 따라 검사·면담·시험을 실시하고 평가 결과를 기록하는 활동이다.
평가자는 각 판정 문장에 대해 필요한 증거를 확보한다.
이 과정에서 다음과 같은 사항을 확인한다.
- 통제가 요구사항에 따라 구현되었는가.
- 실제 운영 상태가 문서화된 내용과 일치하는가.
- 통제가 기대한 결과를 제공하는가.
- 통제에 결함이나 미비점이 존재하는가.
- 평가 결과를 뒷받침할 충분한 증거가 확보되었는가.
평가 과정에서 발견된 문제는 평가 보고서에 기록한다.
평가 결과 분석(Analyze Assessment Report Results)은 발견된 통제의 결함과 미비점이 조직에 미치는 위험을 검토하는 활동이다.
평가자는 통제의 상태와 발견사항을 보고하며, 시스템 소유자와 관련 책임자는 평가 결과를 검토하여 필요한 대응 조치를 결정한다.
평가 결과는 다음과 같은 활동에 활용될 수 있다.
- 통제의 결함 수정.
- 보안 및 개인정보 보호 계획 갱신.
- 위험 평가 결과 갱신.
- 시정조치 계획 수립.
- 시스템 운영 인가를 위한 위험 판단.
평가 결과가 불만족이라고 해서 해당 시스템의 운영이 자동으로 금지되는 것은 아니다.
조직은 발견사항의 심각성과 위험 수준을 검토하여 적절한 대응을 결정한다.
보안 및 개인정보 보호 역량 평가(Assess Security and Privacy Capabilities)는 개별 통제뿐 아니라 여러 통제가 결합하여 제공하는 보안 및 개인정보 보호 역량을 평가하는 활동이다.
개별 통제가 각각 요구사항을 충족하더라도 통제 간 상호작용이나 시스템 구조상의 문제로 인해 기대한 보안 결과를 달성하지 못할 수 있다.
따라서 필요한 경우 여러 통제의 결합된 효과를 평가해야 한다.
이러한 평가는 조직의 보안 및 개인정보 보호 요구사항이 실제 시스템 수준에서 충족되는지 확인하는 데 활용된다.[1]
NIST SP 800-53A는 각 판정 문장에 대한 평가 결과를 기본적으로 두 가지로 구분한다.
| 판정 | 영문 | 의미 |
|---|---|---|
| 만족 | Satisfied | 평가 결과 해당 판정 문장의 요구사항을 충족한 것으로 판단 |
| 불만족 | Other Than Satisfied | 평가 결과 해당 판정 문장의 요구사항을 충족하지 못한 것으로 판단 |
평가 결과는 단순한 통제별 합격·불합격 판정과 구분해야 한다.
하나의 통제에는 여러 판정 문장이 존재할 수 있으며, 일부 요구사항은 충족하지만 다른 요구사항은 충족하지 못할 수 있다.
평가자는 이러한 차이를 구체적으로 기록해야 한다.
또한 불만족 판정이 내려진 항목은 위험 수준과 업무 영향 등을 고려하여 대응 방안을 결정해야 한다.
예를 들어 다음과 같은 상황이 발생할 수 있다.
- 통제의 일부 기능이 구현되지 않은 경우.
- 통제가 구현되었으나 실제로 작동하지 않는 경우.
- 운영 절차가 수립되었으나 이행되지 않는 경우.
- 조직이 정의해야 할 매개변수가 누락된 경우.
- 통제의 효과를 확인하기 위한 증거가 충분하지 않은 경우.
평가자는 발견사항과 판단 근거를 명확히 기록하여 후속 위험 관리 활동에 활용할 수 있도록 해야 한다.[1]
통제 평가 결과는 보안 평가 보고서(Security Assessment Report) 또는 개인정보 보호 평가 보고서(Privacy Assessment Report) 등의 형태로 작성할 수 있다.
평가 보고서에는 다음과 같은 정보가 포함될 수 있다.
- 평가 대상 시스템과 통제.
- 평가 목적 및 범위.
- 평가 수행자.
- 적용한 평가 방법.
- 평가에 사용한 증거.
- 판정 문장별 평가 결과.
- 발견된 결함과 미비점.
- 평가자의 의견과 권고사항.
- 후속 조치가 필요한 사항.
NIST SP 800-53A의 부록 E는 평가 보고서 작성에 관한 지침과 예시를 제공한다.
평가 결과는 조직이 정한 보고 양식이나 관리 시스템에 기록할 수 있으며, 가능한 경우 자동화된 방법을 활용할 수 있다.
평가에서 발견된 결함과 미비점은 위험 관리 절차에 따라 검토하고 처리해야 한다.
미비점에 대한 조치는 일반적으로 다음과 같은 흐름으로 이루어진다.
- 평가자가 통제의 결함이나 미비점을 식별한다.
- 평가 결과와 증거를 보고서에 기록한다.
- 시스템 소유자 또는 관련 책임자가 발견사항을 검토한다.
- 위험 수준과 업무 영향을 분석한다.
- 필요한 위험 대응 방안을 결정한다.
- 시정조치를 수행하거나 위험을 수용한다.
- 필요한 경우 통제를 재평가한다.
미해결 결함은 조치 계획 및 이정표(POA&M, Plan of Action and Milestones)를 통해 관리할 수 있다.
POA&M은 발견된 문제를 해결하기 위한 계획과 진행 상황을 기록하는 문서이다.
일반적으로 다음과 같은 정보를 포함할 수 있다.
- 발견된 결함 또는 미비점.
- 시정조치 내용.
- 조치 책임자.
- 필요한 자원.
- 완료 목표일.
- 조치 진행 상태.
평가자는 통제의 효과를 검증하고 결과를 보고하지만, 위험 수용과 시스템 운영 인가에 관한 최종 의사결정은 권한을 가진 조직의 책임자가 수행한다.
NIST SP 800-53A는 평가자의 전문성과 독립성을 중요한 고려사항으로 다룬다.
평가자는 통제의 구현과 운영에 관한 충분한 지식과 기술을 보유해야 한다.
또한 평가 결과가 이해관계에 의해 왜곡되지 않도록 필요한 수준의 독립성을 확보해야 한다.
평가 방식은 다음과 같이 구분할 수 있다.
| 유형 | 설명 |
|---|---|
| 자체 평가 | 시스템 소유자나 조직 내부 담당자가 수행하는 평가 |
| 독립 평가 | 평가 대상 통제의 구현 및 운영과 충분히 분리된 평가자가 수행하는 평가 |
| 외부 평가 | 외부 전문기관이나 평가자가 수행하는 평가 |
독립 평가가 반드시 외부기관에 의한 평가를 의미하는 것은 아니다.
조직 내부에서도 평가 대상의 구현 및 운영과 독립적인 담당자가 평가를 수행할 수 있다.
필요한 독립성의 수준은 평가 목적, 위험 수준, 관련 요구사항 등에 따라 달라질 수 있다.
평가자의 독립성이 높다고 해서 평가 결과의 품질이 자동으로 보장되는 것은 아니며, 평가자의 전문성과 평가 방법의 적절성도 함께 고려해야 한다.[1]
NIST SP 800-53A는 기존 평가 결과를 적절하게 재사용하여 평가 비용과 중복 작업을 줄일 수 있도록 한다.
재사용 가능한 자료에는 다음과 같은 것들이 포함될 수 있다.
- 이전 보안 통제 평가 결과.
- 내부 및 외부 감사 결과.
- 취약점 점검 결과.
- 시스템 개발 과정의 시험 결과.
- 제품 및 서비스에 대한 기존 평가 결과.
- 공통 통제의 평가 결과.
다만 기존 평가 결과를 무조건 재사용할 수 있는 것은 아니다.
재사용 여부를 판단할 때는 다음과 같은 사항을 고려해야 한다.
- 이전 평가의 범위와 목적.
- 평가 방법의 적절성.
- 평가 결과의 최신성.
- 시스템 및 운영 환경의 변경 여부.
- 기존 평가자의 독립성.
- 현재 평가에서 요구하는 보증 수준.
예를 들어 이전 평가 이후 시스템의 주요 구성이나 보안 통제가 변경되었다면 기존 결과만으로 현재 상태를 충분히 입증하기 어려울 수 있다.
또한 현재 평가에서 독립적인 평가가 요구되는 경우, 독립성이 확보되지 않은 과거 자체 평가 결과를 그대로 대체하여 사용할 수 없을 수 있다.
NIST SP 800-53A는 통제 평가를 시스템 운영 인가 시점에만 수행하는 일회성 활동으로 제한하지 않는다.
통제의 효과는 시스템 구성, 운영 환경, 위협 및 업무 요구사항의 변화에 따라 달라질 수 있다.
따라서 지속적 모니터링과 연계하여 필요한 통제를 반복적으로 평가할 수 있도록 한다.
지속적 평가(Ongoing Assessment)는 통제의 효과를 지속적으로 확인하고 위험 관리에 필요한 정보를 제공하는 활동이다.
예를 들어 다음과 같은 항목을 주기적으로 확인할 수 있다.
- 시스템 보안 설정의 변경 여부.
- 계정 및 접근 권한의 적절성.
- 취약점과 보안 패치 상태.
- 감사 로그 생성 및 관리 상태.
- 보안 기능의 작동 상태.
- 공통 통제의 변경 및 평가 결과.
평가 주기와 범위는 조직의 위험 수준과 모니터링 전략에 따라 결정한다.
자동화 도구를 이용하면 반복적인 통제 평가의 효율성을 높일 수 있다.
대표적인 활용 사례는 다음과 같다.
- 시스템 설정값과 보안 기준의 자동 비교.
- 계정 및 권한 설정의 자동 점검.
- 보안 패치 적용 여부 확인.
- 로그 설정 및 수집 상태 확인.
- 보안 통제의 구성 변경 탐지.
- 평가 결과의 자동 수집 및 보고.
자동화는 반복적인 검사와 시험에 유용하지만 모든 통제를 자동으로 평가할 수 있는 것은 아니다.
정책의 적절성, 조직의 책임 수행, 업무 절차의 실효성 등은 사람의 판단과 면담이 필요할 수 있다.
따라서 자동화된 평가 결과를 다른 평가 방법과 결합하여 활용할 수 있다.
NIST는 보안 통제와 평가 정보를 기계가 처리할 수 있는 형태로 표현하기 위해 OSCAL(Open Security Controls Assessment Language)을 개발했다.
OSCAL은 보안 통제 목록, 평가 계획, 평가 결과 및 관련 정보를 구조화하여 표현할 수 있도록 지원한다.
SP 800-53A의 평가 절차는 PDF 외에도 CSV, 일반 텍스트 및 OSCAL 등의 형식으로 제공된다.
이를 통해 평가 절차를 보안 관리 시스템이나 자동화 도구에 연계할 수 있다.[3]
관련 자료는 NIST의 Cybersecurity and Privacy Reference Tool과 OSCAL Content 저장소에서 확인할 수 있다.
NIST SP 800-53A Revision 5의 제4장은 NIST SP 800-53의 통제체계에 대응하는 평가 절차를 제공한다.
총 20개 통제 계열(Control Family)로 구성된다.[1]
| 약어 | 통제 계열 | 주요 평가 내용 |
|---|---|---|
| AC | Access Control | 접근 권한의 부여·변경·회수 및 접근통제 기능 |
| AT | Awareness and Training | 보안 및 개인정보 보호 교육과 인식 제고 |
| AU | Audit and Accountability | 감사기록 생성, 보존, 검토 및 책임추적 |
| CA | Assessment, Authorization, and Monitoring | 통제 평가, 시스템 인가 및 지속적 모니터링 |
| CM | Configuration Management | 시스템 구성 및 변경 관리 |
| CP | Contingency Planning | 비상대응 계획, 백업 및 복구 |
| IA | Identification and Authentication | 사용자 및 시스템의 식별과 인증 |
| IR | Incident Response | 보안 사고 탐지, 대응 및 보고 |
| MA | Maintenance | 시스템 유지보수의 보안 관리 |
| MP | Media Protection | 저장매체 보호 및 폐기 |
| PE | Physical and Environmental Protection | 물리적 출입통제와 환경적 보호 |
| PL | Planning | 보안 및 개인정보 보호 계획 |
| PM | Program Management | 조직 차원의 보안 및 개인정보 보호 프로그램 관리 |
| PS | Personnel Security | 인력의 채용·이동·퇴직 등에 관한 보안 |
| PT | Personally Identifiable Information Processing and Transparency | 개인식별정보 처리 및 투명성 |
| RA | Risk Assessment | 위험 평가와 취약점 관리 |
| SA | System and Services Acquisition | 시스템 개발·도입 및 외부 서비스 관리 |
| SC | System and Communications Protection | 시스템 및 통신 보호 |
| SI | System and Information Integrity | 시스템과 정보의 무결성 |
| SR | Supply Chain Risk Management | 공급망 위험 관리 |
각 통제 계열에는 기본 통제와 통제 강화 항목에 대응하는 평가 절차가 포함될 수 있다.
평가자는 조직의 평가 대상에 포함된 통제와 강화 항목을 선정하고, 필요한 평가 방법과 대상을 결정하여 평가를 수행한다.
SP 800-53A의 평가 절차가 존재한다고 해서 모든 조직이 해당 절차를 전부 수행해야 하는 것은 아니다.
실제 평가 범위는 조직에 적용되는 요구사항과 선정된 통제, 위험 수준 및 평가 목적에 따라 달라진다.
NIST SP 800-53A의 부록 D는 모의 침투 테스트(Penetration Testing)를 다룬다.
모의 침투 테스트는 실제 공격자가 활용할 수 있는 취약점과 공격 경로를 확인하기 위한 보안 평가 방법이다.
일반적인 통제 평가가 개별 통제의 구현 상태와 효과를 확인하는 데 초점을 맞춘다면, 모의 침투 테스트는 여러 취약점이나 통제의 결함이 결합되어 발생할 수 있는 보안 문제를 확인하는 데 활용할 수 있다.
예를 들어 개별 접근통제 기능이 정상적으로 작동하더라도 여러 기능의 상호작용으로 인해 권한 상승이나 접근통제 우회가 발생할 수 있다.
모의 침투 테스트는 이러한 문제를 확인하는 데 도움이 된다.
다만 모의 침투 테스트가 모든 보안 및 개인정보 보호 통제 평가를 대체하는 것은 아니다.
평가 목적과 범위에 따라 검사·면담·시험 및 기타 평가 방법을 함께 활용해야 한다.[1]
NIST SP 800-53A Revision 5는 본문 4개 장과 6개 부록으로 구성된다.
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 적용 범위 및 관련 간행물 |
| 제2장 | The Fundamentals | 통제 평가의 기본 개념과 평가 방법 |
| 제3장 | The Process | 평가 준비, 계획 수립, 수행 및 결과 분석 |
| 제4장 | Security and Privacy Assessment Procedures | 20개 통제 계열의 평가 절차 |
| 부록 A | Glossary | 주요 용어 정의 |
| 부록 B | Acronyms | 약어 목록 |
| 부록 C | Assessment Method Descriptions | 검사·면담·시험 방법의 상세 설명 |
| 부록 D | Penetration Testing | 모의 침투 테스트 |
| 부록 E | Assessment Reports | 평가 보고서 구성 및 작성 지침 |
| 부록 F | Ongoing Assessment and Automation | 지속적 평가와 자동화 |
문서의 상당 부분은 제4장의 개별 통제 평가 절차로 구성되어 있다.
부록 C는 평가 방법별 깊이와 범위의 의미를 상세하게 설명하며, 부록 E와 F는 평가 결과의 보고 및 지속적 활용을 지원한다.
NIST SP 800-53A는 보안 및 개인정보 보호 통제 평가를 위한 지침으로, 관련 NIST 간행물과 함께 활용된다.
| 문서 | 주요 내용 | SP 800-53A와의 관계 |
|---|---|---|
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 목록 | 평가 대상이 되는 통제 요구사항 제공 |
| NIST SP 800-53B | 보안 및 개인정보 보호 통제 기준선 | 시스템의 영향 수준 등에 따라 적용할 통제 기준선 제공 |
| NIST SP 800-37 | 위험 관리 프레임워크(RMF) | 통제 평가가 수행되는 위험 관리 절차 제공 |
| NIST SP 800-30 | 위험 평가 | 통제 평가 결과를 위험 평가에 활용 |
| NIST SP 800-137 | 정보보안 지속적 모니터링 | 통제 효과의 지속적 평가와 모니터링 지원 |
NIST SP 800-53은 보안 및 개인정보 보호 통제의 요구사항을 제시하는 문서이다.
반면 SP 800-53A는 해당 요구사항을 충족하는지 확인하기 위한 평가 방법과 절차를 제공한다.
두 문서의 관계는 다음과 같이 구분할 수 있다.
- SP 800-53: 어떤 보안 및 개인정보 보호 통제를 적용할 것인가.
- SP 800-53A: 적용된 통제가 요구사항을 충족하는지 어떻게 평가할 것인가.
SP 800-53A는 새로운 통제 목록을 별도로 정의하는 문서가 아니라 SP 800-53의 통제 요구사항을 평가할 수 있도록 구체화한 문서이다.
NIST SP 800-53B는 보안 및 개인정보 보호 통제의 기준선(Control Baseline)을 제공한다.
기준선은 조직과 시스템의 특성 및 요구사항에 따라 선정하고 조정할 수 있는 통제 집합이다.
반면 SP 800-53A는 선정된 통제의 구현 상태와 효과를 평가한다.
따라서 통제의 선정과 평가는 구분되는 활동이다.
NIST SP 800-37은 위험 관리 프레임워크(RMF, Risk Management Framework)를 제시한다.
RMF는 다음 일곱 단계로 구성된다.
- 준비(Prepare)
- 분류(Categorize)
- 선정(Select)
- 구현(Implement)
- 평가(Assess)
- 인가(Authorize)
- 모니터링(Monitor)
SP 800-53A는 이 중 평가(Assess)와 모니터링(Monitor) 단계에서 활용되는 주요 지침이다.
평가 단계에서는 통제의 구현 상태와 효과를 검증하고, 모니터링 단계에서는 통제의 효과를 지속적으로 확인한다.
평가 결과는 인가 책임자가 시스템 운영에 따른 위험을 판단하는 데 필요한 정보로 활용된다.[5]
NIST SP 800-53A는 미국 연방정부의 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 평가 지침이다.
민간기업과 다른 기관에서도 통제 평가 방법론으로 활용할 수 있다.
다만 문서 자체가 모든 민간조직에 일률적인 법적 준수 의무를 부과하는 것은 아니다.
또한 다음과 같은 사항을 고려해야 한다.
- 평가 절차의 조정: 조직은 시스템의 특성과 위험 수준에 따라 평가 절차를 조정할 수 있다.
- 평가 범위의 한계: 평가 대상에서 제외된 통제나 시스템에 대해서는 충분한 보증을 제공하지 못할 수 있다.
- 평가 증거의 중요성: 통제가 존재한다는 사실만으로 효과가 입증되는 것은 아니며 적절한 증거가 필요하다.
- 평가 결과의 유효기간: 시스템과 운영 환경이 변화하면 기존 평가 결과의 유효성이 달라질 수 있다.
- 자동화의 한계: 모든 보안 및 개인정보 보호 통제를 자동으로 평가할 수 있는 것은 아니다.
- 위험 수용과의 구분: 통제 평가 결과는 위험 관리 의사결정의 근거이며, 평가 자체가 위험 수용이나 시스템 운영 인가를 의미하지는 않는다.
- 개정판 확인: 통제 목록과 평가 절차가 개정될 수 있으므로 적용 시점의 현행 문서와 업데이트를 확인해야 한다.
NIST SP 800-53A의 핵심은 보안 통제의 존재 여부를 확인하는 데 그치지 않고, 통제가 실제로 요구사항을 충족하고 의도한 보안 및 개인정보 보호 효과를 제공하는지 검증하는 데 있다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 Joint Task Force, Assessing Security and Privacy Controls in Information Systems and Organizations, NIST Special Publication 800-53A Revision 5, National Institute of Standards and Technology, 2022-01-25.
- ↑ SP 800-53A Rev. 5, Assessing Security and Privacy Controls in Information Systems and Organizations, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ 3.0 3.1 NIST Updates Security and Privacy Control Assessment Procedures, NIST Computer Security Resource Center, 2022-01-25.
- ↑ NIST Releases Revision to SP 800-53 Security and Privacy Controls, NIST Computer Security Resource Center, 2025-08-27.
- ↑ Joint Task Force, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, NIST SP 800-37 Revision 2, National Institute of Standards and Technology, 2018-12-20.