규정 준수 · NIS2
NIS2: Kayzen이 제21조 조치에 기여하는 방식
directive (UE) 2022/2555 제21조는 10가지 위험 관리 조치를 열거합니다. 각 조치에 대해 Kayzen과 같은 도구가 제공할 수 있는 것과 귀사 조직의 몫을 정리했습니다.
일반 정보이며 법률 자문으로서의 효력은 없습니다. 귀사의 상황과 의무는 전문가의 확인이 필요합니다. Kayzen은 일부 조치에 기여할 뿐, 어떤 조직도 규정에 부합하게 만들어 주지 않습니다.
Kayzen Security는 개발 중이며, 아직 판매 중인 모듈은 없습니다. 여기에 설명된 기여는 K-Comply의 기술 매핑과 2026년 10월 31일 기준 각 모듈의 실제 상태를 바탕으로 합니다.
제21조 제2항의 10가지 조치
유럽연합 관보(Journal officiel de l'Union européenne)에 게재된 원문을 바탕으로 Kayzen이 작성한 요약입니다. 법적 효력은 원문에만 있습니다.
| 참조 | 조치(재구성) | Kayzen의 가능한 기여 | 조직이 맡아야 할 부분 |
|---|---|---|---|
| 21.2.a | 위험 분석 및 정보시스템 보안 정책 |
| 문서화된 위험 분석과 경영진이 승인한 보안 정책, 정기적 검토. |
| 21.2.b | 사고 관리 |
| 사고 관리 절차, 비상 대기 역할, 제23조 기한 내 중대 사고 신고. |
| 21.2.c | 업무 연속성, 백업, 재해 복구 및 위기 관리 | 조직적 조치: 소프트웨어 기여 없음 | 테스트된 연속성·복구 계획, 검증된 오프라인 백업, 위기 대응 조직. Kayzen은 귀사의 데이터를 백업하지 않습니다. |
| 21.2.d | 공급망 보안 | 공급업체와 서비스 업체 평가, 계약상 보안 조항, 그들의 관행 모니터링. | |
| 21.2.e | 취약점 관리를 포함한 시스템 획득, 개발 및 유지보수의 보안 | 구매 시 보안 요구 사항, 내부 애플리케이션의 안전한 개발, 조정된 취약점 공개 정책. | |
| 21.2.f | 위험 관리 조치의 효과성 평가 |
| 경영진이 추적하는 지표, 내부 또는 외부 감사, 개선 계획. |
| 21.2.g | 기본 사이버 위생 및 사이버보안 교육 |
| 경영진 교육과 직원 대상 정기 인식 제고. Kayzen은 교육을 제공하지 않습니다. |
| 21.2.h | 암호 기술 및 암호화에 관한 정책과 절차 |
| 암호화 정책: 알고리즘, 키 관리, 통신 및 백업 암호화. |
| 21.2.i | 인적 자원 보안, 접근 통제 및 자산 관리 |
| 입사, 퇴사, 직무 변경 절차, 권한의 정기 검토, 이용 규정. |
| 21.2.j | 다중 인증, 보안 통신 및 비상 통신 |
| 기타 애플리케이션에 대한 2단계 인증, 보안 통신 도구, 비상 통신 수단. |
약속보다 증거
K-Comply 모듈은 귀사의 PC 환경에서 측정한 지표(연결된 에이전트, 대기 중인 패치, 디스크 암호화, 콘솔 관리자의 2단계 인증…)를 산출하고 관련 조치에 연결합니다. 배포되지 않은 모듈의 증거는 항상 ‘충족’이 아닌 ‘측정되지 않음’으로 표시됩니다.
한계
- 거버넌스, 교육, 업무 연속성, 공급업체 관리는 전적으로 귀사 조직의 몫입니다.
- 당국에 대한 사고 신고는 해당 기관의 의무입니다. Kayzen은 사고 문서화를 도울 수는 있지만 대신 신고하지는 않습니다.
- 프랑스의 국내 전환 법률이 이러한 조치를 구체화할 수 있으며, 매핑은 이를 대체하지 않습니다.