5.7 위협 인텔리전스
조직은 이제 정보 보안과 관련된 위협 인텔리전스를 수집하고 분석해야 합니다. 이는 성숙한 조직이 이미 비공식적으로 수행하고 있는 것을 공식화합니다.
구현: 위협 피드 구독, 보안 권고 모니터링, 기술 스택에 영향을 미치는 취약점 추적.
5.23 클라우드 서비스의 정보 보안
클라우드 서비스를 안전하게 사용, 획득 및 관리하기 위한 명시적 요구사항. 클라우드 특정 위험 해결.
구현: 클라우드 제공업체 보안 평가, 책임 공유 모델 문서화, 클라우드 구성 검토.
5.30 비즈니스 연속성을 위한 ICT 준비 태세
ICT 시스템이 비즈니스 연속성 요구사항을 지원할 준비가 되어 있는지 확인. 복원력 초점 강화.
구현: 재해 복구 절차 테스트, 백업 복원 확인, 중복성 보장.
8.9 구성 관리
보안 관련 시스템에 대한 문서화된 구성 관리 필요. 구성 편차 방지.
구현: Infrastructure as Code, 구성 베이스라인, 변경 추적.
8.10 정보 삭제
더 이상 필요하지 않을 때 정보를 안전하게 삭제하도록 보장. 데이터 최소화 지원.
구현: 데이터 보존 정책, 안전한 삭제 절차, 검증 프로세스.
8.11 데이터 마스킹
적절한 경우 민감한 데이터 마스킹 필요. 개인정보 보호 및 테스트 요구 지원.
구현: 테스트 데이터 익명화, 로그 편집, 적절한 경우 토큰화.
8.12 데이터 유출 방지
데이터 유출 및 무단 공개 방지 해결.
구현: DLP 도구, 출력 필터링, USB 제한, 이메일 제어.
8.16 모니터링 활동
사용자 및 시스템 활동 모니터링 요구사항 공식화.
구현: SIEM, 로그 집계, 사용자 행동 분석.
8.23 웹 필터링
악의적인 콘텐츠에 대한 액세스를 방지하기 위한 웹 필터링 필요.
구현: DNS 필터링, 프록시 서버, URL 분류.
8.28 보안 코딩
소프트웨어 개발에서 보안 코딩 원칙에 대한 명시적 요구사항.
구현: OWASP 가이드라인, 코드 리뷰, SAST/DAST, 보안 교육.