클라우드/인프라
From M-21-31 to M-26-14: What US government agencies need to know now: 도입 전 확인할 운영 조건
Elastic Blog가 2026-06-11에 공개한 "From M-21-31 to M-26-14: What US government agencies need to know now" 항목을 기준으로, 이 변화가 왜 지금 확인할 만한지와 실제 운영에서 확인할 지점을 정리합니다. [원문 요약] 미국 관리예산처(OMB)가 발표한 M-26-14 지침은 기존 M-21-31을 폐지하고 연방 기관의 사이버 보안 로깅 체계를 위험 기반 및 성과 중심으로 전환했습니다. 주요 변경 사항으로 로그 보존 의무 기간 단축(최소 6개월 검색 가능, 1년 회수 가능), 분산형(연합형) 데이터 모델 허용, 사물인터넷(IoT) 및 운영 기술(OT) 장비로의 모니터링 확대가 도입되었습니다. 또한, 기존 4단계 등급제를 5단계 성숙도 모델로 개편하고 로깅 참조 아키텍처(LRA) 발표 이후 최대 320일 이내에 수준별 목표를 달성하도록 일정을 단축했습니다.
핵심 판단
- "From M-21-31 to M-26-14: What US government agencies need to know now"는 발표 제목보다 실제 운영 판단으로 이어지는지가 더 중요한 항목입니다.
- 독자에게 필요한 정보는 발표의 존재보다 현재 시스템, 팀 정책, 장애 대응 절차 중 무엇이 흔들리는지입니다.
- 도입 판단의 출발점은 적용 범위와 책임 경계가 어디까지 바뀌는지에 있습니다.
더 확인할 점
- 발표의 적용 대상 제품, 버전, 계정을 현재 운영 목록과 대조한다.
- 바로 바꿀 항목과 관찰만 할 항목을 분리한다.
- 변경 적용 전에 테스트 경로, 실패 알림, 롤백 방법을 한 문장씩 기록한다.