무슨 일이 있었나
2026년 10월 22일, NIST는 SP 800-221 Rev. 1, '기업 내 ICT 위험 프로그램 관리 및 거버넌스'의 초안 공개(IPD)를 발표했으며, 2026년 12월 7일까지 공개 의견을 받습니다. 이 개정판은 기업 정보 통신 기술 위험 관리(ICTRM)를 확장하여 사이버 보안, 개인 정보 보호, 공급망, 운영 기술, 사물인터넷 및 '초지능'을 포괄하고 통합합니다. 이는 OMB Circular A-123 (2026)을 반영하도록 ERM 섹션을 업데이트하고, NIST IR 8286r1 및 CSF 2.0 Govern 기능과의 정렬을 강화하며, NIST SP 1308에 따른 위험 레지스터를 사용하여 위험 정보 기반 인력 결정을 추가합니다.
왜 중요한가
이것은 '초지능'을 기업 ICT 위험 거버넌스에 공식적으로 통합한 이 기간 내 첫 번째 NIST 간행물로, 2026년 9월 29일 행정 명령의 방향 전환을 반영합니다. 이는 조직이 AI/SI 위험을 재무, 임무 및 평판 측면에서 기존 기업 위험과 함께 정규화하고 집계할 수 있는 메커니즘을 제공하며, 경쟁하는 위험 유형 간에 자원을 배분하는 경영진과 CSF 2.0 정렬에 직접 사용할 수 있습니다.
필요한 조치
CISO 및 위험 관리자는 2026년 12월 7일 마감 전에 검토하고 의견을 제출해야 하며, 개정된 ICTRM 접근 방식이 AI/초지능 위험을 기존 ERM 및 CSF 2.0 거버넌스에 어떻게 통합하는지 평가해야 합니다.