NIST SP 800-53B
더 많은 작업
NIST SP 800-53B(Control Baselines for Information Systems and Organizations)는 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 보안 및 개인정보 보호 통제 기준선 지침으로, 정보시스템의 보안 영향 수준에 따른 통제 집합과 개인정보 보호 통제 기준선을 제시하고 조직별 맞춤 조정 방법을 설명하는 NIST SP 800 시리즈의 특별간행물이다.
NIST SP 800-53B는 정보시스템과 조직에 적용할 보안 및 개인정보 보호 통제(Security and Privacy Controls)를 선정하기 위한 기준선(Control Baseline)을 제공하는 지침이다.
NIST SP 800-53이 보안 및 개인정보 보호 통제의 전체 목록을 제공한다면, SP 800-53B는 그중 어떤 통제를 우선적으로 선정해야 하는지에 관한 기준을 제시한다.
문서의 핵심은 다음 네 가지 통제 기준선이다.[1]
- 낮은 영향 수준(Low-Impact) 보안 통제 기준선
- 중간 영향 수준(Moderate-Impact) 보안 통제 기준선
- 높은 영향 수준(High-Impact) 보안 통제 기준선
- 개인정보 보호 통제 기준선(Privacy Control Baseline)
보안 통제 기준선은 정보시스템의 기밀성·무결성·가용성이 침해되었을 때 발생할 수 있는 영향 수준을 기준으로 선정한다.
개인정보 보호 통제 기준선은 이러한 보안 영향 수준과 별도로 개인정보 처리에 따른 위험과 개인정보 보호 프로그램의 책임을 고려하여 적용한다.
NIST는 기준선을 모든 시스템에 그대로 적용해야 하는 고정된 통제 목록으로 취급하지 않는다. 조직의 업무, 위협 환경, 기술적 특성 및 법적 요구사항에 따라 통제를 추가하거나 조정하는 맞춤 조정(Tailoring)을 전제로 한다.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-53B |
| 문서명 | Control Baselines for Information Systems and Organizations |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 작성 주체 | Joint Task Force |
| 최초 발행 | 2020년 10월 29일 |
| 정오 반영 | 2020년 12월 10일 |
| 최신 릴리스 | Release 5.2.0 |
| 최신 릴리스 발표 | 2025년 8월 27일 |
| 주요 분야 | 보안 통제 선정, 개인정보 보호 통제 선정, 위험 관리 |
| 핵심 내용 | 3개 보안 통제 기준선, 1개 개인정보 보호 통제 기준선, 맞춤 조정, 오버레이 |
| 관련 문서 | NIST SP 800-53, NIST SP 800-53A, NIST SP 800-37 |
| 공식 문서 | NIST SP 800-53B |
2026년 10월 22일 기준 NIST 공식 간행물 페이지에서 확인되는 최신 릴리스는 5.2.0이다. 2025년 8월의 업데이트에서는 SP 800-53과 SP 800-53A의 내용이 변경되었지만 SP 800-53B의 통제 기준선 자체는 변경되지 않았다.[2]
초기의 NIST SP 800-53은 보안 통제 목록과 통제 기준선을 하나의 문서에서 제공했다.
그러나 SP 800-53의 활용 범위가 미국 연방정부를 넘어 민간기업, 산업별 조직 및 다양한 기술 환경으로 확대되면서 통제 목록과 연방정부용 기준선을 분리할 필요성이 커졌다.
이에 따라 NIST는 SP 800-53 Revision 5를 개정하면서 통제 목록과 통제 기준선의 역할을 분리했다.
- SP 800-53: 조직과 정보시스템에 적용할 수 있는 보안 및 개인정보 보호 통제의 전체 목록.
- SP 800-53B: 미국 연방정부를 위한 보안 및 개인정보 보호 통제 기준선.
- SP 800-53A: 선정된 통제의 구현 상태와 효과를 평가하는 절차.
SP 800-53B는 2020년 7월 공개 초안을 거쳐 2020년 10월 29일 최종 발행되었다.[3]
2020년 12월 10일에는 최초 발행본의 오류와 표현을 수정한 정오(Errata)가 반영되었다.
정오에는 통제 식별자, 통제 강화 항목의 명칭, 철회된 통제의 처리 설명 등에 관한 수정이 포함되었다.
현재 공식 PDF에는 이러한 수정사항이 반영되어 있다.
2025년 8월 27일 NIST는 SP 800-53 관련 문서의 Release 5.2.0을 발표했다.
이 릴리스는 소프트웨어 업데이트와 패치의 보안 및 신뢰성을 강화하기 위한 변경사항을 중심으로 한다.
주요 변경 대상은 SP 800-53의 통제 목록과 SP 800-53A의 평가 절차였다.
SP 800-53B는 통제 기준선의 내용 변경 없이 버전 번호만 5.2.0으로 갱신되었다.[4]
따라서 Release 5.2.0이라는 명칭을 SP 800-53B의 전면 개정판이나 새로운 기준선의 발표로 이해해서는 안 된다.
통제 기준선(Control Baseline)은 특정 조직이나 정보시스템의 보호 요구사항을 충족하기 위해 선정한 보안 및 개인정보 보호 통제의 기본 집합이다.
NIST SP 800-53B의 기준선은 NIST SP 800-53에 수록된 통제와 통제 강화 항목(Control Enhancement) 가운데 선정된 항목으로 구성된다.
기준선은 조직이 보안 통제를 처음부터 개별적으로 선정해야 하는 부담을 줄이고, 유사한 위험 수준을 가진 시스템에 일관된 보호체계를 적용할 수 있도록 한다.
다만 기준선은 통제 선정의 출발점이며 최종적인 통제 집합과 반드시 일치하지는 않는다.[1]
| 구분 | 통제 목록(Control Catalog) | 통제 기준선(Control Baseline) |
|---|---|---|
| 목적 | 활용 가능한 보안 및 개인정보 보호 통제의 전체 목록 제공 | 특정 보호 요구사항에 맞는 통제 집합 제공 |
| 대표 문서 | NIST SP 800-53 | NIST SP 800-53B |
| 구성 | 개별 통제와 통제 강화 항목 | 선정된 통제와 통제 강화 항목의 집합 |
| 선정 기준 | 특정 영향 수준에 종속되지 않는 통제 목록 | 보안 영향 수준 또는 개인정보 보호 요구사항 |
| 활용 | 통제 선정·구현·보강의 원천 | 초기 통제 집합의 선정과 맞춤 조정 |
SP 800-53에 수록된 모든 통제가 SP 800-53B의 기준선에 포함되는 것은 아니다.
어떤 통제는 낮음·중간·높음 기준선에 모두 포함되고, 어떤 통제는 중간 또는 높음 기준선에만 포함될 수 있다.
또한 어떠한 기본 기준선에도 포함되지 않은 통제라도 조직의 위험 평가 결과에 따라 추가할 수 있다.
통제 기준선은 시스템에 어떤 보안 통제를 적용할 것인지 결정하는 기준이다.
반면 구성 기준선(Configuration Baseline)은 시스템이나 장비의 승인된 설정 상태를 의미한다.
예를 들어 다음과 같이 구분할 수 있다.
- 통제 기준선: 접근통제, 인증, 감사기록, 취약점 관리 등 적용할 통제의 선정.
- 구성 기준선: 운영체제의 서비스 설정, 계정 정책, 로그 설정, 방화벽 규칙 등 구체적인 구성 상태.
통제 기준선에 형상 관리 통제인 CM-2(Baseline Configuration)가 포함될 수 있지만, SP 800-53B 자체가 운영체제나 네트워크 장비의 세부 설정값을 제공하는 것은 아니다.
NIST SP 800-53B의 보안 통제 기준선은 정보시스템의 보안 영향 수준(Security Impact Level)에 따라 결정된다.
영향 수준의 분류는 미국 연방정보처리표준인 FIPS 199를 기반으로 하며, 기준선 선정에는 FIPS 200의 요구사항이 적용된다.[5][6]
영향 수준은 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)의 침해가 조직과 개인 등에 미치는 잠재적 영향을 기준으로 평가한다.
| 영향 수준 | 영문 | 의미 |
|---|---|---|
| 낮음 | Low | 보안 침해로 제한적인 부정적 영향이 발생할 수 있는 수준 |
| 중간 | Moderate | 보안 침해로 심각한 부정적 영향이 발생할 수 있는 수준 |
| 높음 | High | 보안 침해로 중대하거나 치명적인 부정적 영향이 발생할 수 있는 수준 |
정보시스템의 최종 영향 수준은 기밀성·무결성·가용성 가운데 가장 높은 평가값을 적용하는 최고 영향 수준 원칙(High Water Mark)에 따라 결정한다.
예를 들어 다음과 같은 시스템이 있다고 가정할 수 있다.
| 시스템 | 기밀성 | 무결성 | 가용성 | 최종 영향 수준 |
|---|---|---|---|---|
| 시스템 A | 낮음 | 낮음 | 낮음 | 낮음 |
| 시스템 B | 중간 | 낮음 | 중간 | 중간 |
| 시스템 C | 높음 | 중간 | 낮음 | 높음 |
| 시스템 D | 낮음 | 높음 | 중간 | 높음 |
시스템 C는 가용성의 영향 수준이 낮더라도 기밀성이 높음으로 평가되었으므로 최종적으로 높은 영향 수준의 시스템으로 분류된다.
시스템 D 역시 무결성의 영향 수준이 높기 때문에 높은 영향 수준의 보안 통제 기준선을 적용한다.
이 원칙은 기밀성·무결성·가용성의 보호 요구사항이 서로 영향을 미칠 수 있다는 점을 고려한 것이다.
다만 최종 영향 수준에 따라 높은 기준선을 선정했다고 해서 모든 개별 통제를 아무런 조정 없이 적용해야 한다는 의미는 아니다.
NIST는 이후 맞춤 조정 과정에서 실제 보호 요구사항을 고려하도록 한다.[1]
NIST SP 800-53B는 낮음·중간·높음의 세 가지 보안 통제 기준선을 제공한다.
Low-Impact Security Control Baseline은 기밀성·무결성·가용성의 침해가 모두 낮은 수준의 영향을 미치는 정보시스템을 대상으로 한다.
기본적인 보안 관리와 보호 기능을 제공하기 위한 통제 집합으로 구성된다.
대표적으로 다음과 같은 영역을 포함한다.
- 계정 및 접근 권한 관리.
- 사용자 식별과 인증.
- 보안 정책과 절차 수립.
- 보안 인식 교육.
- 감사기록 생성과 관리.
- 시스템 구성 관리.
- 취약점 점검.
- 보안 사고 대응.
- 물리적 접근통제.
낮은 영향 수준의 기준선이라고 해서 중요하지 않은 시스템이나 보안이 필요 없는 시스템을 의미하지는 않는다.
낮은 기준선에서도 기본적인 보안 요구사항을 충족해야 하며, 특정 위협이나 업무 특성에 따라 추가 통제를 적용할 수 있다.
Moderate-Impact Security Control Baseline은 하나 이상의 보안 목표에서 중간 수준의 영향이 예상되고, 높은 수준으로 평가된 보안 목표는 없는 정보시스템에 적용한다.
낮은 기준선보다 강화된 보호 수준을 제공하도록 구성된다.
대표적인 강화 영역은 다음과 같다.
- 접근 권한의 세분화와 검토.
- 보안 통제의 독립적 평가.
- 시스템 구성 변경에 대한 통제.
- 감사기록의 분석과 보호.
- 보안 사고 탐지 및 대응 역량.
- 비상대응과 복구체계.
- 통신 보호와 암호화.
- 취약점 관리와 지속적 모니터링.
중간 영향 수준 기준선에는 낮은 기준선에 포함되지 않은 추가 통제나 통제 강화 항목이 포함될 수 있다.
High-Impact Security Control Baseline은 기밀성·무결성·가용성 가운데 하나 이상이 높은 영향 수준으로 평가된 정보시스템에 적용한다.
보안 침해가 조직의 핵심 업무나 자산, 개인 또는 국가에 중대한 영향을 미칠 수 있는 시스템을 대상으로 한다.
높은 기준선은 보다 강화된 보호 역량을 제공하도록 구성되며, 다음과 같은 영역에서 추가 통제가 선정될 수 있다.
- 중요 기능에 대한 접근통제 강화.
- 보안 기능의 신뢰성과 복원력 확보.
- 강화된 감사 및 모니터링.
- 비상대응과 복구 능력 강화.
- 시스템 및 통신 보호.
- 구성 변경에 대한 엄격한 통제.
- 보안 통제 평가의 강화.
- 공급망 위험 관리.
높은 영향 수준 기준선은 낮음이나 중간 기준선보다 더 많은 통제를 포함하는 경향이 있지만, 기준선의 보호 수준을 통제 개수만으로 판단해서는 안 된다.
실제 보안 수준은 통제의 적절한 선정과 구현, 통제 간 상호작용 및 운영 효과에 따라 달라진다.
Privacy Control Baseline은 개인정보 처리로 인해 발생할 수 있는 위험을 관리하고 미국 연방기관의 개인정보 보호 프로그램 책임을 지원하기 위한 초기 통제 집합이다.
보안 통제 기준선과 달리 시스템의 낮음·중간·높음 영향 수준에 직접 종속되지 않는다.
미국 관리예산처(OMB)의 Circular A-130에서 정한 개인정보 보호 프로그램 책임을 고려하여 구성되었다.[3]
정보보안 위험은 일반적으로 정보의 기밀성·무결성·가용성 침해와 관련된다.
개인정보 보호 위험은 개인정보의 수집, 생성, 이용, 저장, 제공, 공개, 보유, 파기 등 처리 활동이 개인에게 미치는 부정적인 영향을 포함한다.
따라서 개인정보가 외부에 유출되지 않았더라도 부적절한 수집이나 이용으로 개인정보 보호 위험이 발생할 수 있다.
예를 들어 다음과 같은 상황을 구분할 수 있다.
- 정보보안 위험: 공격자가 고객정보 데이터베이스에 무단으로 접근하여 정보를 유출하는 경우.
- 개인정보 보호 위험: 시스템이 정상적으로 작동하지만 업무 목적에 비해 과도한 개인정보를 수집하거나 부적절한 목적으로 사용하는 경우.
개인정보 보호 통제 기준선은 이러한 개인정보 처리 위험을 관리하기 위한 통제를 포함한다.
개인정보를 처리하는 시스템에서는 보안 통제 기준선과 개인정보 보호 통제 기준선을 함께 고려해야 한다.
예를 들어 중간 영향 수준의 정보시스템이 개인정보를 처리한다면 다음과 같은 접근이 가능하다.
- 시스템의 보안 영향 수준을 중간으로 분류한다.
- 중간 영향 수준의 보안 통제 기준선을 선정한다.
- 개인정보 처리 활동과 개인에게 미치는 영향을 평가한다.
- 개인정보 보호 통제 기준선을 검토한다.
- 두 기준선에 포함된 통제와 통제 강화 항목을 확인한다.
- 조직의 요구사항에 따라 맞춤 조정한다.
- 최종 통제 집합과 구현 책임을 문서화한다.
보안 통제와 개인정보 보호 통제는 서로 완전히 분리된 집합이 아니다.
일부 통제는 보안 기준선과 개인정보 보호 기준선에 모두 포함된다.
또한 개인정보 보호 기준선에만 포함된 통제도 존재한다.
NIST는 개인정보 보호 기준선을 적용했다는 사실만으로 OMB A-130의 모든 개인정보 보호 의무를 충족했다고 판단해서는 안 된다고 설명한다.[1]
NIST SP 800-53B의 기준선은 일반적인 정보시스템과 조직의 운영 환경에 관한 여러 가정을 바탕으로 구성되었다.
대표적인 가정은 다음과 같다.
- 정보시스템의 데이터가 비교적 지속적으로 유지된다.
- 정보시스템은 여러 사용자가 순차적 또는 동시적으로 사용하는 환경이다.
- 같은 시스템의 사용 권한을 가진 사용자 사이에서도 일부 정보는 공유되지 않는다.
- 정보시스템은 네트워크 환경에서 운영되며 일반적인 목적의 컴퓨팅 기능을 수행한다.
- 조직은 통제를 구현하는 데 필요한 구조, 자원 및 기반시설을 갖추고 있다.
이러한 가정이 성립하지 않는 환경에서는 일부 통제의 적용 필요성이나 구현 방식이 달라질 수 있다.
예를 들어 단독으로 운영되는 특수 목적 장비나 자원이 제한된 소규모 조직은 일반적인 다중 사용자 정보시스템과 다른 조건을 가질 수 있다.
NIST는 내부자 위협, 지능형 지속 공격(APT), 기밀정보 처리, 서로 다른 보안 영역 간 통신 등 특수한 상황에서는 기준선에 포함된 통제만으로 충분하지 않을 수 있다고 설명한다.
이러한 경우 추가적인 위험 평가와 통제 보강이 필요하다.[1]
맞춤 조정(Tailoring)은 선정된 통제 기준선을 조직과 정보시스템의 구체적인 보안 및 개인정보 보호 요구사항에 맞게 조정하는 과정이다.
SP 800-53B의 기준선은 맞춤 조정을 거쳐 실제 적용할 통제 집합으로 확정된다.
NIST는 맞춤 조정의 주요 활동을 다음 여섯 가지로 설명한다.[1]
- 공통 통제 식별 및 지정.
- 적용 범위 고려사항 반영.
- 보완 통제 선정.
- 조직 정의 매개변수의 값 지정.
- 추가 통제 및 통제 강화 항목을 통한 기준선 보강.
- 통제 구현에 필요한 세부 명세 제공.
공통 통제(Common Control)는 조직 내 하나 이상의 정보시스템에서 공통으로 이용할 수 있도록 제공하는 통제이다.
예를 들어 조직 전체에 적용되는 물리적 출입통제, 보안 교육 프로그램, 공통 인증 서비스 등이 공통 통제로 제공될 수 있다.
공통 통제를 상속받는 시스템은 동일한 통제를 별도로 구현할 필요가 없을 수 있다.
다만 공통 통제를 상속받았다는 사실만으로 해당 시스템의 보호 요구사항이 충족된다고 단정할 수는 없다.
시스템 소유자와 인가 책임자는 상속된 통제가 해당 시스템의 위험 수준에 적합한 보호를 제공하는지 확인해야 한다.
공통 통제 제공자는 통제의 구현 상태와 평가 결과를 관련 시스템에 제공해야 한다.
통제의 일부만 공통으로 제공되고 나머지를 개별 시스템에서 구현하는 경우에는 혼합 통제(Hybrid Control)로 관리할 수 있다.
범위 설정(Scoping)은 선정된 기준선의 통제가 실제 시스템과 운영 환경에 어느 범위까지 적용되는지 판단하는 활동이다.
모든 통제가 모든 시스템 구성요소에 적용되는 것은 아니다.
예를 들어 물리적 보안 통제는 시설과 장비의 운영 환경을 고려해야 하며, 특정 통신 기능에 관한 통제는 해당 기능을 사용하는 구성요소를 중심으로 적용할 수 있다.
NIST는 다음과 같은 사항을 고려하도록 한다.
- 통제의 구현 위치와 적용 대상.
- 시스템의 운영 환경과 기술적 특성.
- 정보의 기밀성·무결성·가용성 요구사항.
- 관련 법령과 정책.
- 시스템 구성요소 간 의존관계.
- 업무 목적과 운영상 제약.
범위 설정은 통제를 임의로 삭제하기 위한 절차가 아니다.
특정 통제를 적용하지 않기로 결정했다면 그 판단의 근거를 위험 기반으로 설명하고 문서화해야 한다.
보완 통제(Compensating Control)는 기준선에서 선정된 통제를 그대로 구현하기 어려울 때 동등하거나 유사한 수준의 보호를 제공하기 위해 사용하는 대체 통제이다.
예를 들어 업무 특성상 시스템의 자동 화면 잠금 기능을 사용할 수 없는 경우, 물리적 접근통제와 운영 절차 등을 결합하여 필요한 보호 수준을 확보하는 방안을 검토할 수 있다.
NIST는 보완 통제를 선정할 때 다음 사항을 요구한다.
- 우선 SP 800-53의 통제 목록에서 적절한 보완 통제를 검토한다.
- 원래 통제를 구현할 수 없는 이유를 설명한다.
- 보완 통제가 보안 및 개인정보 보호 요구사항을 어떻게 충족하는지 근거를 제시한다.
- 보완 통제 적용으로 발생하는 위험을 평가하고 수용 여부를 결정한다.
보완 통제는 원래 요구사항을 회피하기 위한 수단이 아니다.
필요한 경우 여러 통제를 조합하여 동등한 보호 수준을 확보할 수 있다.
SP 800-53의 일부 통제에는 조직이 직접 값을 정해야 하는 매개변수(Organization-Defined Parameter)가 포함된다.
이러한 매개변수는 할당(Assignment) 또는 선택(Selection) 방식으로 정의된다.
예를 들어 다음과 같은 사항이 해당할 수 있다.
- 계정의 비활성 상태를 허용하는 기간.
- 접근 권한의 검토 주기.
- 보안 로그의 보존 기간.
- 특정 통제의 수행 책임자.
- 보안 기능의 실행 주기.
- 허용할 인증 수단이나 운영 방식.
기준선에 해당 통제가 포함되었다고 해서 조직 정의 매개변수의 값까지 자동으로 확정되는 것은 아니다.
조직은 법적 요구사항, 업무 목적, 위험 수준 및 기술적 환경을 고려하여 적절한 값을 지정해야 한다.
지정된 값은 통제 요구사항의 일부가 되며 보안 및 개인정보 보호 계획에 기록한다.
기준선 보강(Supplementation)은 초기 기준선에 포함되지 않은 통제나 통제 강화 항목을 추가하는 활동이다.
특정 위협이나 업무 환경에 대한 위험 평가 결과에 따라 추가적인 보호가 필요할 수 있다.
대표적인 고려 대상은 다음과 같다.
- 지능형 지속 공격(APT)에 대한 대응.
- 내부자 위협.
- 공급망 위험.
- 중요 기반시설의 운영 환경.
- 특수한 개인정보 처리 활동.
- 특정 법령이나 규제의 추가 요구사항.
기준선에 포함되지 않은 통제라도 필요한 경우 SP 800-53의 통제 목록에서 선정하여 추가할 수 있다.
기준선에 포함된 통제는 조직이 구현해야 할 보안 요구사항을 제시하지만, 구체적인 시스템 구현 방법까지 모두 규정하지는 않는다.
따라서 조직은 통제의 목적을 충족하기 위한 구현 세부사항을 추가로 정의할 수 있다.
예를 들어 접근통제 요구사항을 구현하기 위해 인증 구조, 권한 관리 방식, 적용 대상 시스템 및 관련 운영 절차를 명세할 수 있다.
NIST는 구현 세부사항을 추가하더라도 원래 통제의 의도를 변경하지 않도록 주의해야 한다고 설명한다.
맞춤 조정 과정에서 내린 결정은 시스템 보안 계획(System Security Plan)과 개인정보 보호 계획(Privacy Plan) 등에 문서화한다.
NIST는 선정된 기준선의 모든 통제가 조직에 의해 검토되고 처리되어야 한다고 설명한다.
기준선에서 통제를 제외했다면 제외 사유와 위험 기반 판단 근거를 기록해야 한다.[1]
| 항목 | 기록할 내용 |
|---|---|
| 기준선 | 최초 선정한 낮음·중간·높음 보안 기준선과 개인정보 보호 기준선 |
| 적용 통제 | 실제 적용할 통제 및 통제 강화 항목 |
| 공통 통제 | 상속할 공통 통제와 제공자 |
| 제외 통제 | 제외 대상과 적용하지 않는 이유 |
| 보완 통제 | 대체 통제와 동등한 보호 수준을 제공한다는 근거 |
| 추가 통제 | 기준선에 추가한 통제와 선정 이유 |
| 조직 정의 매개변수 | 통제에 적용할 주기·기간·임계값 등의 구체적인 값 |
| 구현 방식 | 통제의 실제 구현 위치와 방법 |
| 승인 | 맞춤 조정 결과의 검토 및 승인 기록 |
특히 법령이나 규제, 정책에 의해 적용이 요구되는 통제는 단순한 맞춤 조정만으로 임의 제외할 수 없다.
오버레이(Overlay)는 특정 산업, 기술, 업무 또는 운영 환경에 공통으로 적용할 수 있도록 통제 기준선을 추가로 조정한 통제 집합이다.
일반적인 맞춤 조정이 개별 조직이나 시스템에 적용되는 과정이라면, 오버레이는 유사한 요구사항을 가진 여러 조직이나 시스템에서 재사용할 수 있도록 개발된다.
NIST SP 800-53B의 부록 C는 오버레이의 개발과 활용 방법을 설명한다.[1]
오버레이는 다음과 같은 환경을 대상으로 개발할 수 있다.
| 분야 | 적용 대상의 예 |
|---|---|
| 산업 분야 | 금융, 의료, 제조, 에너지, 운송 |
| 기술 환경 | 클라우드, 가상화, 모바일, 스마트그리드 |
| 시스템 유형 | 산업제어시스템, 사물인터넷 장치, 독립형 시스템 |
| 운영 환경 | 우주, 해상, 전술 환경 |
| 업무 목적 | 긴급 대응, 연구개발, 시험평가 |
| 위협 환경 | 지능형 지속 공격, 내부자 위협 |
| 법적 요구사항 | 특정 법령이나 규제에 따른 추가 보호 요구사항 |
예를 들어 산업제어시스템은 일반적인 업무용 정보시스템과 달리 실시간 제어와 가용성이 중요한 환경에서 운영될 수 있다.
이러한 환경에서는 일반적인 통제 기준선을 그대로 적용하기보다 산업제어시스템의 특성에 맞게 조정한 오버레이를 활용할 수 있다.
NIST는 NIST SP 800-82의 산업제어시스템 관련 지침을 오버레이 활용 사례로 제시한다.
오버레이에는 다음과 같은 정보가 포함될 수 있다.
- 특정 분야에 적용할 통제와 통제 강화 항목.
- 추가하거나 제외할 통제.
- 특정 기술이나 운영 환경에 관한 통제 해석.
- 조직 정의 매개변수의 값.
- 통제 구현에 관한 추가 지침.
- 적용 대상과 범위.
- 오버레이 개발의 가정과 근거.
오버레이는 기존 기준선에 맞춤 조정을 적용하여 만들 수도 있고, 특정한 보호 요구사항을 바탕으로 기준선과 독립적으로 개발할 수도 있다.
오버레이를 사용하더라도 개별 시스템의 환경에 맞는 추가적인 맞춤 조정이 필요할 수 있다.
NIST는 오버레이의 공유와 재사용을 지원하기 위해 SCOR(Security Control Overlay Repository)를 제공한다.
SCOR는 조직이나 관련 분야의 전문가가 개발한 보안 통제 오버레이를 공유할 수 있도록 지원하는 저장소이다.
오버레이는 자발적으로 제출하고 공유할 수 있으며, 모든 오버레이가 NIST의 의무 적용 기준을 의미하는 것은 아니다.[7]
NIST SP 800-53B는 개별 통제의 선정뿐 아니라 여러 통제가 결합하여 제공하는 보안 및 개인정보 보호 역량(Capability)도 고려하도록 한다.
특정 보안 목표는 하나의 통제만으로 달성하기 어려운 경우가 많다.
예를 들어 안전한 원격 인증을 구현하려면 다음과 같은 통제가 함께 필요할 수 있다.
- 다중요소 인증.
- 재전송 공격에 대한 보호.
- 인증정보 보호.
- 통신의 기밀성 및 무결성 보호.
NIST는 안전한 원격 인증 역량의 예시로 IA-2(1), IA-2(2), IA-2(8), IA-2(9), SC-8(1) 등의 통제를 제시한다.[1]
이처럼 서로 보완하는 통제를 하나의 목적에 따라 묶으면 조직이 필요한 보호 역량을 이해하고 통제의 효과를 평가하는 데 도움이 된다.
개별 통제가 각각 구현되어 있더라도 통제 간 연계가 적절하지 않으면 기대한 보호 효과를 달성하지 못할 수 있다.
NIST SP 800-53B의 제3장은 20개 통제 계열(Control Family)에 대한 기준선 배정표를 제공한다.
각 표에는 개별 통제와 통제 강화 항목이 낮음·중간·높음 보안 기준선 및 개인정보 보호 기준선 가운데 어디에 포함되는지 표시되어 있다.[1]
| 약어 | 통제 계열 | 주요 분야 |
|---|---|---|
| AC | Access Control | 접근통제 |
| AT | Awareness and Training | 보안 인식 및 교육 |
| AU | Audit and Accountability | 감사 및 책임추적 |
| CA | Assessment, Authorization, and Monitoring | 통제 평가, 인가 및 모니터링 |
| CM | Configuration Management | 형상 관리 |
| CP | Contingency Planning | 비상대응 계획 |
| IA | Identification and Authentication | 식별 및 인증 |
| IR | Incident Response | 사고 대응 |
| MA | Maintenance | 유지보수 |
| MP | Media Protection | 저장매체 보호 |
| PE | Physical and Environmental Protection | 물리적 및 환경적 보호 |
| PL | Planning | 보안 및 개인정보 보호 계획 |
| PM | Program Management | 프로그램 관리 |
| PS | Personnel Security | 인력 보안 |
| PT | Personally Identifiable Information Processing and Transparency | 개인식별정보 처리 및 투명성 |
| RA | Risk Assessment | 위험 평가 |
| SA | System and Services Acquisition | 시스템 및 서비스 획득 |
| SC | System and Communications Protection | 시스템 및 통신 보호 |
| SI | System and Information Integrity | 시스템 및 정보 무결성 |
| SR | Supply Chain Risk Management | 공급망 위험 관리 |
기준선 배정표는 통제별로 다음과 같은 정보를 제공한다.
- 통제 식별자(Control Number).
- 통제 또는 통제 강화 항목의 명칭.
- 개인정보 보호 기준선 포함 여부.
- 낮은 영향 수준 보안 기준선 포함 여부.
- 중간 영향 수준 보안 기준선 포함 여부.
- 높은 영향 수준 보안 기준선 포함 여부.
기준선에 포함된 항목은 해당 열에 x로 표시된다.
철회된 통제나 통제 강화 항목은 W(Withdrawn)로 표시하고, 다른 통제로 통합되거나 이동한 경우에는 관련 설명을 제공한다.
다음은 공식 기준선 배정표에 나타나는 일부 통제의 예시이다.
| 통제 | 명칭 | Low | Moderate | High |
|---|---|---|---|---|
| AC-2 | Account Management | O | O | O |
| AC-2(1) | Automated System Account Management | - | O | O |
| AC-5 | Separation of Duties | - | O | O |
| AC-6 | Least Privilege | - | O | O |
| AC-7 | Unsuccessful Logon Attempts | O | O | O |
| IA-2 | Identification and Authentication (Organizational Users) | O | O | O |
| IA-2(1) | Multi-Factor Authentication to Privileged Accounts | O | O | O |
| IA-2(2) | Multi-Factor Authentication to Non-Privileged Accounts | O | O | O |
표의 O는 해당 보안 기준선에 포함된다는 의미이다.
실제 통제 선정 시에는 개별 통제뿐 아니라 통제 강화 항목과 조직 정의 매개변수, 맞춤 조정 결과를 함께 확인해야 한다.
또한 기준선에 포함되었다는 사실이 해당 통제의 구현 상태나 효과를 입증하는 것은 아니다.
SP 800-53B는 NIST SP 800-37의 위험 관리 프레임워크(RMF)와 함께 활용된다.
실무적인 통제 선정 및 적용 과정은 다음과 같이 정리할 수 있다.
- 시스템 분류: FIPS 199에 따라 기밀성·무결성·가용성의 영향 수준을 평가한다.
- 보안 기준선 선정: 시스템의 최종 영향 수준에 따라 낮음·중간·높음 기준선 중 하나를 선정한다.
- 개인정보 보호 요구사항 분석: 개인정보 처리 여부와 개인정보 보호 위험을 평가한다.
- 개인정보 보호 기준선 검토: 필요한 개인정보 보호 통제를 선정한다.
- 맞춤 조정: 공통 통제, 적용 범위, 보완 통제, 추가 통제 및 매개변수를 결정한다.
- 통제 구현: 최종 선정된 통제를 시스템과 조직에 적용한다.
- 통제 평가: NIST SP 800-53A에 따라 통제의 구현 상태와 효과를 평가한다.
- 위험 관리: 평가 결과를 바탕으로 위험 대응과 운영 인가 여부를 결정한다.
- 지속적 모니터링: 시스템 및 위협 환경의 변화에 따라 통제의 효과와 적절성을 재검토한다.
이 과정에서 SP 800-53B는 주로 통제 선정과 맞춤 조정에 사용된다.
통제의 상세한 요구사항은 SP 800-53을, 통제 평가 절차는 SP 800-53A를 참고한다.
NIST SP 800-53B는 본문 3개 장과 3개 부록으로 구성된다.[1]
| 구분 | 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 목적, 적용 범위, 대상 독자 및 관련 문서 |
| 제2장 | The Fundamentals | 통제 기준선의 개념, 선정 방법, 기본 가정, 맞춤 조정, 역량 |
| 제3장 | The Control Baselines | 20개 통제 계열의 보안 및 개인정보 보호 기준선 배정표 |
| 부록 A | Glossary | 주요 용어 정의 |
| 부록 B | Acronyms | 약어 목록 |
| 부록 C | Overlays | 오버레이의 개념, 개발 및 활용 지침 |
제3장은 문서의 핵심 자료로, 각 통제 계열에 대해 낮음·중간·높음 보안 기준선과 개인정보 보호 기준선의 배정 여부를 표로 제시한다.
부록 C는 산업별·기술별·운영 환경별로 통제 기준선을 재사용할 수 있도록 오버레이를 개발하는 방법을 설명한다.
NIST는 SP 800-53B의 기준선 정보를 PDF 외에도 구조화된 데이터 형태로 제공한다.
주요 제공 방식은 다음과 같다.
- 스프레드시트: 통제별 기준선 배정 정보를 표 형태로 제공.
- JSON: 프로그램에서 처리할 수 있는 구조화된 데이터 제공.
- OSCAL: 통제와 기준선을 기계 판독형으로 표현.
- CPRT: 웹에서 통제와 기준선을 검색하고 내려받을 수 있는 도구.
OSCAL(Open Security Controls Assessment Language)은 보안 통제, 기준선, 평가 및 관련 정보를 구조화하여 표현하기 위한 NIST의 표준화된 데이터 모델이다.
OSCAL을 활용하면 기준선 선정과 맞춤 조정 결과를 자동화 도구나 보안 관리 시스템에 연계할 수 있다.
NIST의 Cybersecurity and Privacy Reference Tool(CPRT)에서는 최신 통제 및 기준선 데이터를 검색하거나 구조화된 형식으로 내려받을 수 있다.[8]
다만 구조화된 데이터만으로 모든 구현 요구사항을 파악할 수 있는 것은 아니므로, 세부적인 범위 설정과 맞춤 조정 지침은 공식 간행물의 본문도 함께 확인해야 한다.
NIST SP 800-53B는 보안 및 개인정보 보호 통제의 선정 기준을 제공하는 문서로, 관련 NIST 간행물과 함께 활용된다.
| 문서 | 주요 내용 | SP 800-53B와의 관계 |
|---|---|---|
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 목록 | 기준선에 포함할 통제의 원천 제공 |
| NIST SP 800-53A | 보안 및 개인정보 보호 통제 평가 | 선정된 통제의 구현 상태와 효과 평가 |
| NIST SP 800-37 | 위험 관리 프레임워크 | 통제 기준선의 선정과 맞춤 조정이 이루어지는 위험 관리 절차 제공 |
| NIST SP 800-30 | 위험 평가 | 추가 통제의 필요성과 맞춤 조정 판단에 필요한 위험 평가 방법 제공 |
| NIST SP 800-39 | 조직 차원의 정보보안 위험 관리 | 통제 선정에 영향을 미치는 위험 관리 전략과 위험 허용 수준 제시 |
| NIST SP 800-82 | 운영기술 보안 | 특수 운영 환경에 적용할 통제 조정과 오버레이 활용에 참고 |
SP 800-53은 적용 가능한 통제의 전체 목록을 제공한다.
SP 800-53B는 그 목록에서 미국 연방정부의 보안 영향 수준과 개인정보 보호 요구사항을 고려하여 선정한 기준선을 제공한다.
따라서 SP 800-53B는 SP 800-53을 대체하는 문서가 아니라 통제 선정에 필요한 보조 지침이다.
SP 800-53A는 보안 및 개인정보 보호 통제의 효과를 평가하기 위한 방법과 절차를 제공한다.
SP 800-53B가 어떤 통제를 선정할 것인지에 초점을 맞춘다면, SP 800-53A는 선정된 통제가 실제로 요구사항을 충족하는지 검증하는 데 초점을 맞춘다.
- SP 800-53: 어떤 통제가 존재하는가.
- SP 800-53B: 어떤 통제를 선정할 것인가.
- SP 800-53A: 선정된 통제를 어떻게 평가할 것인가.
SP 800-37의 위험 관리 프레임워크(RMF)는 준비·분류·선정·구현·평가·인가·모니터링의 일곱 단계로 구성된다.
SP 800-53B는 주로 선정(Select) 단계에서 활용된다.
시스템의 보안 영향 수준에 맞는 기준선을 선정하고, 위험 평가와 조직의 요구사항에 따라 통제를 맞춤 조정하는 데 사용된다.
다만 통제 선정은 이후의 구현·평가·모니터링 결과에 따라 다시 검토될 수 있다.[9]
NIST SP 800-53B는 미국 연방정부의 정보시스템과 조직을 위한 보안 및 개인정보 보호 통제 기준선을 제공한다.
미국 연방정부의 법령과 정책을 배경으로 작성되었지만 민간기업과 다른 기관에서도 참고자료로 활용할 수 있다.
다만 다음과 같은 사항을 고려해야 한다.
- 연방정부 중심의 기준선: 문서의 기본 기준선은 미국 연방정부의 보호 요구사항을 바탕으로 구성되었다.
- 맞춤 조정의 필요성: 기준선을 그대로 적용하는 것만으로 모든 시스템의 보안 및 개인정보 보호 요구사항이 충족되는 것은 아니다.
- 특수 환경의 추가 요구사항: 산업제어시스템, 국가안보시스템, 중요 기반시설 등에는 별도의 지침이나 추가 통제가 필요할 수 있다.
- 법적 요구사항의 우선 적용: 기준선의 맞춤 조정이 관련 법령이나 규제의 의무를 면제하는 것은 아니다.
- 개인정보 보호 기준선의 한계: 개인정보 보호 기준선만으로 모든 개인정보 보호 의무를 충족했다고 판단할 수 없다.
- 통제 선정과 구현의 구분: 기준선에 통제가 포함되어 있다는 사실만으로 해당 통제가 실제로 구현되거나 효과적으로 작동한다는 의미는 아니다.
- 평가와 모니터링의 필요성: 선정된 통제는 구현 후 평가하고, 운영 환경의 변화에 따라 지속적으로 검토해야 한다.
- 최신 데이터 확인: 통제 목록과 기준선의 버전이 변경될 수 있으므로 실제 적용 시 NIST의 최신 자료를 확인해야 한다.
특히 NIST SP 800-53B는 보안 통제의 적용 여부를 기계적으로 결정하는 체크리스트가 아니라, 조직의 위험과 보호 요구사항에 맞는 통제를 선정하기 위한 기준을 제공한다.
- ↑ 1.00 1.01 1.02 1.03 1.04 1.05 1.06 1.07 1.08 1.09 1.10 Joint Task Force, Control Baselines for Information Systems and Organizations, NIST Special Publication 800-53B, National Institute of Standards and Technology, 2020-10, 2020-12-10 정오 반영.
- ↑ SP 800-53B, Control Baselines for Information Systems and Organizations, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ 3.0 3.1 Control Baselines for Information Systems and Organizations: NIST Publishes SP 800-53B, NIST Computer Security Resource Center, 2020-10-29.
- ↑ NIST Releases Revision to SP 800-53 Security and Privacy Controls, NIST Computer Security Resource Center, 2025-08-27.
- ↑ National Institute of Standards and Technology, Standards for Security Categorization of Federal Information and Information Systems, Federal Information Processing Standards Publication 199, 2004-02.
- ↑ National Institute of Standards and Technology, Minimum Security Requirements for Federal Information and Information Systems, Federal Information Processing Standards Publication 200, 2006-03.
- ↑ Security and Privacy Controls and Control Baselines, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ Cybersecurity and Privacy Reference Tool Catalog, NIST Computer Security Resource Center, 확인: 2026-10-22.
- ↑ Joint Task Force, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy, NIST SP 800-37 Revision 2, National Institute of Standards and Technology, 2018-12-20.