강화된 CIRMP 규정, 조항별 상세 해설

강화된 CIRMP 규정은 2026년 6월 10일부터 시행되었으며, 방송, 도메인 이름 시스템, 전력, 에너지 시장 운영자, 화물 인프라, 화물 서비스, 가스, 액체 연료 및 수도 등 9개 자산 군에 대한 원칙 중심의 시대를 종식시켰습니다. 이제 사이버 보안 의무가 구체적으로 명시되었습니다. 중앙 집중식 로그 기록 기능이 포함된 피싱 방지 다단계 인증. 핵심 시스템의 네트워크 분리. 주변 시스템이 모두 재구축되는 동안 최소 3개월 동안 계속 가동되는 핵심 시스템. 

유예 기간을 고려하면 첫 번째 확정 시한은 2027년 6월과 2028년 6월로 정해지는데, 아키텍처 변경에 드는 비용을 산정해 보기 전까지는 그 시기가 멀게 느껴질 수 있습니다.  

RSA 솔루션 개요를 다운로드하여 각 요구 사항이 명시된 RSA 기능과 어떻게 대응되는지 확인하십시오. 이를 통해 귀사의 프로그램이 어떤 부분은 이미 충족하고 어떤 부분은 충족하지 못하는지 파악할 수 있습니다. 

제8B조, 인증 정보 유출 위험

RSA는 호주의 중요 인프라를 지원할 수 있습니다 조직 피싱 요건을 충족한다- 내구성이 뛰어난 FIDO2 인증은 OT 환경에서는 온프레미스에서 로컬로 실행되고, IT 환경에서는 클라우드에서 호스팅되며, Windows 점프 박스를 포함하여, Linux 그리고 유닉스 시스템, 그리고 SAML 또는 OIDC 사용 사례. 플러스 중앙 로깅을 처리하는 200개 이상의 인증 및 관리 로그 메시지, 모니터링 및 검토 의무. 

제8C조, 횡방향 이동 위험

방법을 확인해 보세요 RSA 인증 관리자 조직이 다음을 할 수 있도록 합니다. 중요 시스템이 분리된 상태에서 독립적으로 인증을 수행하고, 인증이 어떻게 90일 네트워크의 나머지 부분으로부터의 격리 방식과, 엔드포인트, 그룹 및 역할에 매핑된 에이전트가 중요 자산을 다루는 시스템 전반에 걸쳐 최소 권한 원칙을 어떻게 구현하는지. 

제9A조, 인명 위험

중요 구성 요소에 대한 무단 또는 감독 없는 접근에 대한 접근 제어, 그리고 특정 엔드포인트, 그룹 및 역할에 매핑된 특권 접근. 

대부분의 신원 관리 구축은 네트워크 연결을 전제로 합니다. 클라우드 신원 관리 제공업체를 통해 제공되는 피싱 방지 다단계 인증(MFA)은 제3자 종속 요소이며, 제8C조는 다른 컴퓨터가 복구 또는 복원 상태에 있는 동안에도 핵심 시스템이 최소 3개월 동안 가동 상태를 유지해야 한다고 규정하고 있습니다. 

격리된 OT 환경을 클라우드 인증 서비스에서 차단해 버리면, 접근 제어가 가장 중요한 바로 그 순간에 운영자들이 시스템에 접속할 수 없게 됩니다. 이 규정은 이에 대한 해결책을 제시하지 않습니다. 이 규정은 격리된 상태에서도 자산을 운영하고 필수 서비스를 제공할 수 있는 권한을 법적으로 보장합니다. 

RSA는 온프레미스, 에어갭 및 세미-에어갭 환경에서 격리 이벤트와 재구축 과정을 통해 인증을 수행합니다. 이것이 바로 서류상으로는 8B 요건을 충족하는 통제 수단과, 실제로 8C 요건을 견뎌내는 통제 수단 사이의 차이점입니다. 

개정된 CIRMP 규정은 2026년 6월 9일에 등록되었으며, 다음 날부터 시행되었습니다. 유예 기간은 시행일로부터 시작됩니다. 

12개월의 기한은 2027년 6월에 만료됩니다. 여기에는 외국인 소유권, 지배권 및 영향력을 비롯한 추가적인 중대한 위험과, 패치가 적용되지 않은 시스템, 구형 기술 및 신기술을 포괄하는 핵심 사이버 위험, 그리고 접근 관리 위험이 포함됩니다. 

24개월의 기한은 2028년 6월에 만료됩니다. 이 기간에는 피싱 방지 다단계 인증(MFA) 및 네트워크 분리 조치를 비롯해 공급망, 물리적 보안, 인사 신원 조회 등 나머지 사이버 및 정보 보안 위험 요소들이 포함됩니다. 

또한 이 규칙은 ‘Essential Eight’, AESCSF, ISO 27001, NIST CSF 2.0 또는 C2M2를 포함하여 책임 주체에 대해 더 높은 성숙도 수준을 요구하고 있습니다.