여권은 하나, 도장은 여러 개 — 리포트 하나로 여러 규제를
EU NIS2, DORA, ISO 27001, 한국 ISMS-P, 일본 APPI, 싱가포르 CII. 요구하는 서류 이름은 다 다른데 밑바탕은 겹칩니다. 규제별로 무엇을 요구하고 리스크 평가 리포트가 그중 어디를 채우는지 표로 정리했습니다.
전체 글
RMF
내 금고에 넣고, 내 열쇠로 잠근다
"데이터가 국경을 넘지 않습니다"라는 말은 애국심 이야기가 아닙니다. 점검 결과가 누구 저장소에 남고 누가 열쇠를 쥐느냐의 문제입니다. BYOK와 적정성 결정을 은행 대여금고에 빗대 풉니다.
열쇠를 주지 않아도 도면은 볼 수 있다
점검하려면 뭔가를 설치해야 한다고 생각하기 쉽습니다. 에이전트리스는 그 반대로 갑니다. 집 안을 뒤지는 대신 도면을 봅니다. 읽기 전용 권한 하나로 무엇까지 알 수 있는지 정리했습니다.
고칠 게 3천 개인데 뭐부터 하나
응급실은 먼저 온 순서로 부르지 않습니다. 위험한 순서로 부릅니다. 취약점 목록이 수천 줄일 때 EPSS가 하는 일이 그 분류입니다. RMF·NIS2 시리즈 3편.
리스크 평가라는 말이 어렵게 들리는 이유
건강검진표에는 '건강합니다'가 아니라 수치와 등급이 적혀 있습니다. 리스크 평가도 똑같습니다. NIST SP 800-30과 ISO 27005가 위험을 어떻게 숫자로 바꾸는지 풀어봅니다. RMF·NIS2 시리즈 2편.
EU에 물건 팔려면 왜 보안 '서류'를 내야 하나
식당 문에 붙은 위생등급표처럼, EU는 보안도 말이 아니라 서류로 봅니다. NIS2가 무엇이고 왜 계약 자리에서 '증빙'이라는 말이 나오는지 풀어봅니다. RMF·NIS2 시리즈 1편.