CIS Controls(Center for Internet Security Critical Security Controls)는 SANS Institute가 2008년 첫 발행한 SANS Top 20 Critical Security Controls를 2018년 CIS(Center for Internet Security·뉴욕 East Greenbush 본부)가 인수·2021년 v8 발행·2024년 6월 v8.1 발행한 글로벌 핵심 사이버보안 통제 가이드라인이다. 자발적 표준이지만 글로벌 100,000+ 조직·정부·NGO·교육 채택 + NIST CSF·ISO 27001·HITRUST CSF·HIPAA·PCI DSS·CMMC·SOC 2·CSA STAR·NIST SP 800-53·SP 800-171·NIS2·CRA·DORA·MS-ISAC 100% 매핑. CIS는 비영리 단체 — MS-ISAC(Multi-State Information Sharing & Analysis Center·미국 주정부·지방정부 공동·약 14,000개 회원) + EI-ISAC(Elections Infrastructure ISAC) + CIS Benchmarks 100+ 무료 + CIS Hardened Images (AWS·Azure·GCP·Oracle) + CIS RAM (Risk Assessment Method) + CIS WorkBench 모두 무료 운영.
핵심은 CIS Controls가 공격자가 가장 자주 사용하는 공격 기법을 가장 효과적으로 방어하는 핵심 통제 우선순위라는 점이다. 18 Critical Security Controls (v8 — 1·2·3·4·5·6·7·8·9·10·11·12·13·14·15·16·17·18) + 153 Safeguards (v8.1 — Logging·Workforce·AI 강화). 3 Implementation Groups (IG):
- IG1 (Essential Cyber Hygiene) — 56 Safeguards·기본·중소
- IG2 (Risk-Informed) — 130 Safeguards·중급·대부분
- IG3 (Highly Sensitive) — 153 Safeguards·고급·정부·국방·의료
v8 → v8.1 (2024-06) 주요 변화:
- Governance 강화 (NIST CSF 2.0 Govern Function 정합)
- AI·ML 통제 추가
- Logging·Audit 강화 (CL 8)
- Workforce 강화 (CL 14)
- Quantum-Safe Cryptography 도입
CIS Benchmarks: 100+ 무료 운영체제·SW·클라우드·네트워크 보안 설정 (Windows·Linux·macOS·AWS·Azure·GCP·Kubernetes·Docker·CIS Top 100). CIS Hardened Images: AWS·Azure·GCP·Oracle Marketplace에서 유료. CIS RAM: ISO 27005·NIST SP 800-30 정합 위험 평가. 한국 CIS: 삼성전자·LG전자·SK하이닉스·NAVER·카카오·Coupang·LG CNS·삼성SDS + 미국·EU 진출 SaaS·이커머스·디지털 헬스·메디테크·자동차·소비재 등 200+ 한국 조직 활용. 본 가이드는 IG 결정·범위 → 18 Controls·153 Safeguards 평가 → Implementation·CIS Benchmarks·Hardened Images → CIS RAM·통합 → 매년 갱신·통합 NIST/ISO/HITRUST 5단계 로드맵으로, 중소·중견 한국 기업이 6~12개월 내 CIS Controls v8.1 도입 + 글로벌 사이버보안 진출하는 실무 경로를 제시한다.
왜 CIS Controls를 도입해야 하는가
글로벌 핵심 사이버보안 통제 우선순위
- 자발적·무료
- 글로벌 100,000+ 조직 (정부·기업·NGO·교육)
- NIST CSF·ISO 27001·HITRUST 100% 매핑
- CIS Benchmarks 100+ 무료
- CIS Hardened Images (AWS·Azure·GCP·Oracle)
CIS Controls는 글로벌 사이버보안 자가 평가·구현 우선순위 표준.
CIS v8.1 vs v8.0 (2024-06)
| 항목 | v8.0 (2021) | v8.1 (2024-06) |
|---|---|---|
| Controls | 18 | 18 |
| Safeguards | 153 | 153 (재구성·강화) |
| Governance | 부분 | 강화 (NIST CSF 2.0 Govern 정합) |
| AI·ML | 부재 | 추가 |
| Logging | CL 8 | 강화 (Threat Hunting) |
| Workforce | CL 14 | 강화 (Cybersecurity Skills) |
| Quantum | 부재 | 도입 (Post-Quantum Crypto) |
18 Critical Security Controls
Group A: Basic (1~6):
- Inventory and Control of Enterprise Assets
- Inventory and Control of Software Assets
- Data Protection
- Secure Configuration of Enterprise Assets and Software
- Account Management
- Access Control Management
Group B: Foundational (7~14): 7. Continuous Vulnerability Management 8. Audit Log Management 9. Email and Web Browser Protections 10. Malware Defenses 11. Data Recovery 12. Network Infrastructure Management 13. Network Monitoring and Defense 14. Security Awareness and Skills Training
Group C: Organizational (15~18): 15. Service Provider Management 16. Application Software Security 17. Incident Response Management 18. Penetration Testing
153 Safeguards
각 Control 하위 Safeguard:
| Control | Safeguards 수 |
|---|---|
| 1 (Asset) | 5 |
| 2 (SW Asset) | 7 |
| 3 (Data Protection) | 14 |
| 4 (Secure Config) | 12 |
| 5 (Account) | 6 |
| 6 (Access Control) | 8 |
| 7 (Vulnerability) | 7 |
| 8 (Audit Log) | 12 |
| 9 (Email·Web) | 7 |
| 10 (Malware) | 7 |
| 11 (Data Recovery) | 5 |
| 12 (Network Infra) | 8 |
| 13 (Network Monitor) | 11 |
| 14 (Awareness·Skills) | 9 |
| 15 (Service Provider) | 7 |
| 16 (App SW) | 14 |
| 17 (Incident) | 9 |
| 18 (Pen Test) | 5 |
3 Implementation Groups (IG)
IG1 — Essential Cyber Hygiene (56 Safeguards):
- 중소·기본
- 일반 위협·평균 자원
- 12~24개월 구축
IG2 — Risk-Informed (130 Safeguards):
- 중급
- 대부분 조직
- 24~36개월
IG3 — Highly Sensitive (153 Safeguards):
- 고급·정부·국방·의료
- 모든 Safeguards
- 36~60개월
CIS Benchmarks — 100+ Free Guides
OS:
- Windows 10·11·Server 2016·2019·2022·2025
- Linux (RHEL·Ubuntu·SUSE·Debian·Amazon Linux·Rocky·Alma)
- macOS
Cloud:
- AWS·Azure·GCP·Oracle Cloud·Alibaba
- AWS Foundations·AWS EKS·Azure Foundations·GCP Foundations
Network:
- Cisco IOS·Juniper·Palo Alto·Check Point
Container·DevOps:
- Docker·Kubernetes·Red Hat OpenShift·Istio
Database:
- Oracle·MS SQL Server·MongoDB·PostgreSQL·MySQL·MariaDB·Cassandra
Application·SW:
- Apache·NGINX·IIS·Tomcat·MS Office·Adobe·Mozilla·Google Chrome
Mobile:
- iOS·Android·Apple iOS·iPadOS
CIS Hardened Images
AWS·Azure·GCP·Oracle Marketplace 유료:
- Pre-configured CIS Benchmark 정합
- 즉시 사용
- 시간당·인스턴스당 비용
CIS RAM (Risk Assessment Method)
ISO 27005·NIST SP 800-30 정합 무료 도구:
- CIS RAM v2.1 (2024)
- DoCRA (Duty of Care Risk Analysis) 정합
- Excel·Online
CIS WorkBench
CIS 회원 무료 Platform:
- 18 Controls·153 Safeguards 체크리스트
- Implementation Tracking
- Benchmark 자동 평가
CIS vs NIST CSF vs ISO 27001 vs HITRUST 비교
| 항목 | CIS v8.1 | NIST CSF 2.0 | ISO 27001 | HITRUST CSF |
|---|---|---|---|---|
| 발효 | 2008·2024 | 2014·2024 | 2005·2022 | 2009·2024 |
| 형식 | Controls | Framework | ISO 인증 | Framework + 인증 |
| 통제 수 | 18·153 | 6·22·106 | 부속서 A 93 | 156·219·2,000+ |
| 한국 인지도 | 빠르게 증가 | 중상 | 매우 높음 | 빠르게 증가 |
대부분의 한국 정보보안: CIS Controls + NIST CSF + ISO 27001 통합.
한국 CIS Controls 성숙도 진단 — 5단계
| 단계 | 명칭 | 핵심 특징 | IG |
|---|---|---|---|
| Level 1 | CIS 인식 없음 | 18 Controls 부재 | None |
| Level 2 | 기본 보안 | 일부 Safeguard | IG1 부분 |
| Level 3 | CIS 도입 | 18 Controls 매핑 | IG1 |
| Level 4 | CIS IG2 | 130 Safeguards | IG2 |
| Level 5 | CIS IG3 + 통합 | 153 Safeguards + NIST/ISO/HITRUST | IG3 |
대부분의 한국 중소는 Level 1~2. 5단계 로드맵은 Level 4 IG2 1차 + Level 5 IG3 통합 도전.
Stage 1: IG·범위 결정 (1~2개월)
1.1 IG 결정
IG1 — Essential Cyber Hygiene:
- 중소·기본
- 56 Safeguards
IG2 — Risk-Informed:
- 중급
- 130 Safeguards
IG3 — Highly Sensitive:
- 고급·정부·국방·의료
- 153 Safeguards
1.2 갭 분석
한국 갭 분석 빈출 부적합 Top 15:
- CL 1 Asset Inventory — Lansweeper·CMDB 부재
- CL 2 SW Inventory — Allowlist·SBOM 부재
- CL 3 Data Protection — Classification·Encryption·DLP 부재
- CL 4 Secure Config — CIS Benchmarks·STIG 부재
- CL 5 Account — IAM·MFA·Password 부재
- CL 6 Access Control — PAM·Just-in-Time 부재
- CL 7 Vulnerability — Tenable·Qualys·Rapid7 부재
- CL 8 Audit Log — SIEM·Splunk·Datadog 부재
- CL 9 Email·Web — Proofpoint·Mimecast 부재
- CL 10 Malware — CrowdStrike·SentinelOne 부재
- CL 11 Data Recovery — 3-2-1·Backup·DR 부재
- CL 12 Network Infra — Segmentation·Firewall 부재
- CL 13 Network Monitor — IDS/IPS·NDR·SOC 부재
- CL 14 Awareness — KnowBe4·Phishing 부재
- CL 17 Incident — IR Plan·24/7 SOC 부재
1.3 Stage 1 산출물
- IG 결정 (IG1·IG2·IG3)
- 18 Controls·153 Safeguards 갭 분석
Stage 2: Group A (Basic) — CL 16 (23개월)
2.1 CL 1 — Asset Inventory
- Lansweeper·ServiceNow·Tanium·Tenable·Qualys·Rapid7·BigFix
- HW·SW·Cloud·Mobile
2.2 CL 2 — SW Inventory + Allowlist
- SBOM (Snyk·Mend·JFrog·Sonatype)
- Application Allowlist (Windows AppLocker·WDAC·Microsoft Defender)
2.3 CL 3 — Data Protection
- Data Classification
- Encryption (Rest·Transit·In Use)
- DLP (Symantec·Forcepoint·Microsoft Purview)
- ISO 27701 정합
2.4 CL 4 — Secure Configuration
- CIS Benchmarks
- DISA STIG
- GPO·CIS Hardened Images (AWS·Azure·GCP)
- Configuration Management (Ansible·Chef·Puppet·Terraform)
2.5 CL 5 — Account Management
- 계정 인벤토리
- 분기 권한 검토
- 퇴직자 즉시 비활성화
2.6 CL 6 — Access Control
- IAM (Okta·Azure AD·Auth0)
- MFA (FIDO2·PIV·YubiKey)
- PAM (CyberArk·BeyondTrust)
- Just-in-Time (Just-Enough-Access)
2.7 Stage 2 산출물
- Asset·SW·CMDB
- Data Classification·Encryption·DLP
- CIS Benchmarks 적용
- IAM·MFA·PAM
Stage 3: Group B (Foundational) — CL 714 (24개월)
3.1 CL 7 — Continuous Vulnerability Management
- 분기 Vulnerability Scan
- 연 1회 Pen Test
- Tenable·Qualys·Rapid7·Nessus
3.2 CL 8 — Audit Log Management
v8.1 강화:
- SIEM (Splunk·Datadog·Sumo Logic·LogRhythm·Microsoft Sentinel)
- 로그 보관 12개월~6년
- Threat Hunting
- UEBA
3.3 CL 9 — Email and Web Browser Protections
- DMARC·DKIM·SPF
- Anti-Phishing (Proofpoint·Mimecast·Microsoft Defender)
- DNS Filter (Cisco Umbrella·Cloudflare Gateway)
- Browser Isolation
3.4 CL 10 — Malware Defenses
- EDR (CrowdStrike·SentinelOne·Microsoft Defender·Sophos)
- Anti-Malware
- Application Control
3.5 CL 11 — Data Recovery
- 3-2-1 Rule (3 copies·2 media·1 offsite)
- Backup (Veeam·Commvault·Rubrik·Cohesity)
- 분기 모의훈련
3.6 CL 12 — Network Infrastructure Management
- Zero Trust Network
- Microsegmentation (Illumio·Akamai Guardicore)
- Firewall·NGFW (Palo Alto·Fortinet·Cisco·Check Point)
- VPN·SD-WAN
3.7 CL 13 — Network Monitoring and Defense
- IDS/IPS (Snort·Suricata·Palo Alto)
- NDR (Network Detection Response) (Darktrace·Vectra·ExtraHop)
- 24/7 SOC + MSSP
- SIEM 통합
3.8 CL 14 — Awareness and Skills Training
v8.1 강화:
- KnowBe4·Cofense·Proofpoint·Hoxhunt·Microsoft Defender for Office Attack Simulation Training
- 분기 Phishing 모의훈련
- 역할별 차등
- Cybersecurity Skills
3.9 Stage 3 산출물
- Vulnerability Management
- SIEM + 24/7 SOC
- Email·Web·Malware Defenses
- 3-2-1 Backup
- Network Segmentation·NDR
- Awareness·Phishing 모의훈련
Stage 4: Group C (Organizational) — CL 1518 (12개월)
4.1 CL 15 — Service Provider Management
- Vendor 평가 (CAIQ·SOC 2·ISO 27001)
- 매년 재평가
- 핵심 Vendor 감사
4.2 CL 16 — Application Software Security
- Secure SDLC
- SAST·DAST·SCA·IAST
- Code Review·OWASP Top 10
- DevSecOps + CI/CD
4.3 CL 17 — Incident Response Management
- IR Plan + Runbook
- 24/7 SOC + MSSP
- Tabletop Exercise 분기 1회
- 외부 협력 (FBI·CISA·KISA)
4.4 CL 18 — Penetration Testing
- 연 1회 외부 Pen Test
- 분기 Red Team
- Black·White·Grey Box
4.5 Stage 4 산출물
- Vendor Management
- Application Security + DevSecOps
- IR Plan + SOC
- Penetration Testing
Stage 5: CIS RAM·통합·갱신 (지속)
5.1 CIS RAM (Risk Assessment Method)
ISO 27005·NIST SP 800-30 정합:
- DoCRA (Duty of Care)
- Excel·Online 무료
- 매년 갱신
5.2 매년 갱신
- 18 Controls·153 Safeguards 갱신
- CIS Benchmarks·Hardened Images 갱신
- v9·v10 추적
5.3 통합 글로벌
- NIST CSF 2.0 (6 Functions·22 Categories·106 Subcategories)
- ISO 27001·27017·27018·27701
- HITRUST CSF v11 (e1·i1·r2)
- HIPAA·SOC 2·PCI DSS·CMMC·FedRAMP·GDPR·CCPA
- EU CRA·NIS2·DORA·EU AI Act·MiCA·EUCC·EUCS
- NIST AI RMF·NIST Privacy Framework
5.4 Stage 5 산출물
- CIS RAM 위험 평가
- 매년 갱신
- 통합 글로벌 거버넌스
비용 — IG·규모별 (3년 누계)
중소 IG2 (직원 50200명, 매출 €30M€200M)
| 항목 | 1년차 (만원) | 2년차 | 3년차 |
|---|---|---|---|
| 컨설팅 (CIS Controls 전문) | 4,500 | 1,500 | 1,500 |
| Asset·SW Inventory (Lansweeper·Tanium·CMDB) | 4,500 | 2,000 | 2,000 |
| CIS Benchmarks + Hardened Images | 3,500 | 4,000 | 4,500 |
| IAM·MFA·PAM (Okta·CyberArk·BeyondTrust) | 5,000 | 2,000 | 2,000 |
| SIEM·EDR·NDR (CrowdStrike·Datadog·Splunk·Vectra) | 9,000 | 11,000 | 13,000 |
| 3-2-1 Backup·DR (Veeam·Rubrik) | 4,500 | 2,500 | 2,500 |
| Phishing·Awareness (KnowBe4·Cofense) | 1,500 | 2,000 | 2,500 |
| Pen Test + Red Team | 2,500 | 3,000 | 3,500 |
| 보안·CISO·인력(2명) | 14,400 | 15,000 | 15,800 |
| 합계 | 49,400 | 43,000 | 47,300 |
| 3년 누계 | 약 13.9억 원 |
IG3 + 대기업
3년 누계 약 30~80억 원.
ROI 시나리오
- 한국 매출 €200M (US/EU 60%)
- CIS Controls IG2 + NIST CSF + ISO 27001 통합 → 글로벌 진출
- 매출 +€50M (3년)
- 마진율 12% → 영업이익 +€6M
- 사이버 사고·벌금 회피
CIS Controls vs NIST CSF vs ISO 27001 vs HITRUST 비교 (재정리)
| 항목 | CIS v8.1 | NIST CSF 2.0 | ISO 27001:2022 | HITRUST CSF v11 |
|---|---|---|---|---|
| 발효 | 2008·2024 | 2014·2024 | 2005·2022 | 2009·2024 |
| 형식 | Controls (가이드) | Framework | ISO 인증 | Framework + 인증 |
| 무료 | O | O | X (USD 200) | X (라이선스) |
| 한국 인지도 | 빠르게 증가 | 중상 | 매우 높음 | 빠르게 증가 |
한국 사이버보안 표준 조합:
- 자가 평가·무료: CIS Controls + NIST CSF + NIST Privacy Framework + NIST AI RMF
- 인증: + ISO 27001 + ISO 27701 + SOC 2 + HITRUST CSF
- 미국 정부·DoD: + CMMC + FedRAMP
- EU: + EUCC + NIS2 + CRA + DORA + EU AI Act
- 의료: + HIPAA + HITRUST + ISO 13485
- 금융: + PCI DSS + DORA + MiCA
한국 CIS Controls 성공 사례 (가상)
사례 A: 제조 (매출 €500M)
- 도입 동기: NIS2 + IG2 + ISO 27001
- 구축 기간: 12개월
- 비용: 1차 18억, 3년 누계 30억
- 추가: NIST CSF + CIS Benchmarks·Hardened Images
- 성과: 글로벌 사이버보안 거버넌스
사례 B: B2B SaaS (ARR €30M)
- 도입 동기: CIS IG2 + SOC 2 + ISO 27001 + GDPR
- 구축 기간: 10개월
- 비용: 1차 14억
- 추가: NIST CSF + HITRUST i1
- 성과: 미국·EU 엔터프라이즈 확대
사례 C: 정부·공공 (직원 500명)
- 도입 동기: CIS IG3 + CMMC·FedRAMP
- 구축 기간: 16개월
- 비용: 1차 25억
- 추가: NIST SP 800-53·NIST CSF
- 성과: 미국 정부 입찰 확대
자가 진단 체크리스트 (15문)
각 문항 0~2점, 합계 30점 만점.
IG·범위
- IG 결정 (IG1·IG2·IG3) + 갭 분석
Group A (Basic)
- CL 1 Asset + CL 2 SW Inventory + SBOM
- CL 3 Data Protection (Classification·Encryption·DLP)
- CL 4 Secure Config (CIS Benchmarks·STIG)
- CL 5·6 Account·Access (IAM·MFA·PAM)
Group B (Foundational)
- CL 7 Vulnerability + Pen Test
- CL 8 Audit Log + SIEM + Threat Hunting
- CL 9 Email·Web (DMARC·DKIM·SPF·Anti-Phishing)
- CL 10 Malware (EDR·CrowdStrike·SentinelOne)
- CL 11 Backup·DR (3-2-1)
- CL 12·13 Network (Segmentation·NDR·SOC)
- CL 14 Awareness + Phishing 모의훈련
Group C (Organizational)
- CL 15·16 Service Provider + App Security (DevSecOps)
- CL 17·18 IR + Pen Test + Red Team
통합
- NIST CSF + ISO 27001 + HITRUST 통합
점수 해석:
- 0
10: Level 12 — 6~9개월 구축 - 11
20: Level 23 — 9~12개월 후 IG1·IG2 - 21
26: Level 34 — IG2 정착 - 27~30: Level 5 — IG3 + 통합
마치며 — CIS Controls는 글로벌 핵심 사이버보안 우선순위
CIS Controls는 글로벌 핵심 사이버보안 통제의 단일 우선순위 가이드다. 자발적·무료. NIST CSF·ISO 27001·HITRUST·HIPAA·PCI DSS·CMMC 100% 매핑. 한국 모든 산업 자가 평가·구현 시작점.
본 5단계 로드맵을 통해 6~12개월 내 CIS Controls IG2 + 글로벌 사이버보안 진출이 현실적 목표다. 핵심 5가지:
- IG 결정 (IG1 56·IG2 130·IG3 153)
- 18 Critical Security Controls + 153 Safeguards
- CIS Benchmarks + Hardened Images + WorkBench + RAM — 무료 활용
- Group A (Basic) → B (Foundational) → C (Organizational)
- NIST CSF + ISO 27001 + HITRUST + HIPAA + SOC 2 + PCI DSS + CMMC + FedRAMP + GDPR + EU CRA·NIS2·DORA + NIST AI RMF + NIST Privacy Framework 통합
CIS Controls v8.1 + NIST CSF 2.0 + NIST AI RMF + NIST Privacy Framework + ISO 27001·27017·27018·27701 + SOC 2 Type II + HITRUST CSF v11 + HIPAA + PCI DSS + CMMC + FedRAMP + CSA STAR + EUCC + GDPR + CCPA·CPRA + EU CRA + NIS2 + DORA + EU AI Act + MiCA + ISO 42001 + ISO 22301 + IEC 62443 + ISO 21434 + TISAX + DO-178C 다중 컴플라이언스는 한국 모든 산업의 글로벌 사이버보안 진출 최강 통합 포트폴리오다.
통합 — 사이버보안·정보보안·미국·EU 시리즈
CIS Controls는 글로벌 핵심 사이버보안 통제 가이드다.
미국 사이버보안·NIST 3종:
- NIST CSF 2.0 사이버보안 프레임워크
- NIST AI RMF
- NIST Privacy Framework
- HITRUST CSF v11 통합 보안 프레임워크
- CMMC 2.0 미국 DoD 사이버보안
- FedRAMP 미국 정부 클라우드
- HIPAA 미국 의료정보
정보보안·클라우드:
- ISO 27001 정보보안경영시스템
- ISO 27701 개인정보보호 확장
- SOC 2 Type II 인증
- PCI DSS 4.0 결제카드 보안
- CSA STAR 클라우드 보안
- CCPA/CPRA 캘리포니아 개인정보
EU 사이버보안·디지털:
- NIS2 Directive EU 사이버보안
- EU CRA 사이버레질리언스
- DORA EU 디지털 운영 회복력
- EU AI Act
- GDPR EU 개인정보
- EU 사이버보안 인증 EUCC
- EU MiCA 암호자산 시장 규제
산업·OT·자동차:
AI·디지털:
리스크·연속성:
CIS Controls v8.1 + NIST CSF 2.0 + NIST AI RMF + NIST Privacy Framework + ISO 27001·27017·27018·27701 + SOC 2 Type II + HITRUST CSF v11 + HIPAA + PCI DSS + CMMC + FedRAMP + CSA STAR + EUCC + GDPR + CCPA·CPRA + EU CRA + NIS2 + DORA + EU AI Act + MiCA + ISO 42001 + ISO 22301 + ISO 31000 + IEC 62443 + ISO 21434 + TISAX + DO-178C·DO-254 다중 컴플라이언스는 한국 모든 산업의 글로벌 사이버보안 진출 최강 통합 포트폴리오다.