NIS2 대비 체크리스트: 기업을 위한 실무 단계

무엇인가

NIS2 대비란 지침이 귀사에 적용되는지, 어떻게 적용되는지 이해하고, 지침이 기대하는 거버넌스, 기술, 조직적 조치를 구축하고 문서화하는 것을 의미합니다. 제21조는 사이버 보안 리스크 관리 조치의 영역을 열거합니다. 리스크 분석과 보안 정책, 인시던트 처리, 비즈니스 연속성과 위기 관리, 공급망 보안, 취약점 처리를 포함한 안전한 조달과 개발, 조치의 효과성 평가, 기본적인 사이버 위생과 교육, 암호화, 인적 자원 보안과 접근 제어, 다중 인증 또는 지속 인증 등입니다. 제20조는 이러한 조치를 승인하고 감독할 책임을 경영진에게 부여합니다. 제23조는 관할 당국 또는 CSIRT에 대한 단계별 인시던트 보고를 규정합니다. 중대한 인시던트를 인지한 후 24시간 이내의 조기 경보, 72시간 이내의 인시던트 통지, 인시던트 통지 후 1개월 이내의 최종 보고서입니다. 국내법이 세부 사항을 추가할 수 있으며, 클라우드, 데이터 센터, 관리형 서비스, DNS 제공업체 등 특정 디지털 제공업체에 대해서는 집행위원회 시행 규정 (EU) 2024/2690이 기술 요구 사항을 더 자세히 규정합니다.

누구를 위한 것인가?

이 체크리스트는 다음을 위한 것입니다.

• NIS2 적용 부문에 속하며 자사의 위치를 평가하고 있는 중견 및 대기업
• NIS2 관련 보안 설문을 받고 있는 적용 대상 기관의 공급업체
• 법률 및 기술 자문가와 무엇을 논의해야 하는지 체계적으로 파악해야 하는 경영진
• 갭 분석과 로드맵을 준비하는 IT 및 보안 책임자

무엇을 명확히 하는 데 도움이 되는지

체크리스트를 따라가면 다음이 명확해집니다.

• 조직이 적용 대상일 가능성이 높은지, 어느 국가 당국이 관할하는지
• 현재의 통제와 문서가 기대되는 조치에 비해 어디서 부족한지
• 경영진 중 누가 책임을 지며 어떤 교육이 필요한지
• 어떤 갭을 먼저 다루어야 하고 어떤 갭에 별도의 전문가 의견이 필요한지

포함된 내용

• 적용 범위: 부문, 규모, 사업을 운영하는 회원국을 확인하고 결론과 근거를 기록
• 등록: 국내법상 당국에 등록해야 하는지, 기한은 언제인지 확인
• 거버넌스: 책임 임원을 지정하고, 경영진이 보안 조치를 승인하고 검토하는 방식을 합의하며, 경영진 교육을 계획
• 리스크 평가: 핵심 서비스, 이를 지원하는 시스템, 그에 대한 주요 리스크를 문서화
• 정책: 정보 보안 정책, 접근 제어 규칙, 암호화 지침을 유지
• 인시던트 처리: 귀사에 중대한 인시던트가 무엇인지, 누가 결정하는지, 24시간·72시간·1개월 보고를 어떻게 준비할지 정의
• 연속성: 핵심 서비스의 백업과 복구를 테스트하고 위기 커뮤니케이션을 문서화
• 공급망: 주요 ICT 공급업체를 목록화하고, 그들의 보안 약속을 검토하며, 계약에 보안 조항을 포함
• 안전한 개발과 취약점 처리: 취약점을 어떻게 보고, 분류, 수정하는지 정의
• 위생과 교육: 정기적인 인식 교육을 실시하고, 일정에 따라 패치하며, MFA를 적용
• 효과성: 조치가 작동함을 보여 주기 위한 정기 검토나 테스트를 계획

포함되지 않은 것

• 법률 자문 또는 적용 대상 여부에 대한 판단
• 인증, 컴플라이언스 승인 또는 공식 감사 의견
• 귀사를 대신한 당국 보고 또는 등록 제출
• 체크리스트를 완료하면 국내법을 충족한다는 주장

선택해야 할 때

NIS2를 처음 평가할 때, 사업을 운영하는 국가에서 국내법 전환이 공표되거나 갱신될 때, 또는 고객이 NIS2에 맞춘 보안의 증거를 요청할 때 이 체크리스트를 사용하십시오. 적용 범위와 국내 요구 사항에 대해서는 법률 자문과 함께 활용하십시오. 이미 ISO 27001 기반 프로그램을 운영하고 있다면 새 문서를 만들기 전에 기존 통제를 체크리스트에 매핑하십시오. 이 글은 일반 정보이며 법률 자문이 아닙니다.

우리의 접근 방식

적용 범위와 거버넌스부터 시작하십시오. 경영진의 주인의식이 없는 기술 작업은 정체되기 쉽습니다. 다음으로 추측이 아닌 증거를 사용해 조치 대비 갭 분석을 수행하십시오. 설정, 로그, 테스트 결과, 계약, 교육 기록 등입니다. 갭을 리스크와 작업량에 따라 순위를 매기고, 담당자와 일정이 있는 로드맵을 만드십시오. 당사의 Security Baseline Review는 문서화된 출발점을 제공할 수 있습니다. 합의된 자산에 대한 서면 견해, 심각도별 관찰 사항, 그리고 확정된 범위에 포함된 경우 합의된 기준에 대한 대비 상태 갭 관찰 사항입니다. 이는 내부 의사결정과 이해관계자 논의를 지원하며, 인증 기관과 법률 자문가에게 제시할 수 있는 문서화된 대비 현황을 제공합니다. 인시던트 처리를 위해 모의 훈련으로 보고 일정을 연습해 24시간 조기 경보가 이론이 아닌 현실이 되도록 하십시오. 국가 지침이 발전함에 따라 로드맵을 다시 검토하십시오.

Security Baseline Review

자주 묻는 질문

관련 기사