보안 거버넌스·ISMS-P·관리적·물리적 통제

01거버넌스·관리·컴플라이언스의 역할

• 거버넌스와 컴플라이언스거버넌스는 조직이 보안의 방향·책임·권한·의사결정과 감독 구조를 정하는 체계다.

  • 컴플라이언스는 적용되는 법령·계약·표준·내부 규정 등의 요구를 준수하는 활동이다.
  • 기업 내부에도 거버넌스가 있고 법령 준수도 컴플라이언스에 포함된다.
• 의사결정과 실행 책임경영진이 허용할 위험 수준과 자원 배분을 결정하면 보안 조직과 서비스 담당자가 정책·절차·기술 통제로 구현하고 운영 결과를 보고한다.

  • 보안 담당자가 모든 위험을 독자적으로 수용하거나 기술자가 임의로 사업 위험을 승인하는 구조는 책임이 불명확하다.
• 정책·기준·절차정책은 조직이 지킬 방향과 원칙, 표준·기준은 구체적인 준수 조건, 절차는 누가 언제 무엇을 어떻게 하는지를 설명한다.

  • 예를 들어 최소권한 정책→관리자 계정 분리 기준→발급·승인·회수 절차→계정 검토 기록이 연결되어야 문서와 운영이 일치한다.

02관리체계를 운영하는 PDCA 단계

1. Plan — 계획보호 대상·범위·위험을 파악하고 목표·책임·통제와 수행 계획을 정한다.
2. Do — 실행계정 관리, 로그 보관, 백업, 교육 등 통제를 운영하고 수행 기록을 남긴다.
3. Check — 확인내부 점검·지표·훈련·감사로 요구사항과 실제 수행, 통제의 효과를 비교한다.
4. Act — 개선부적합의 원인을 제거하고 정책·절차·다음 계획을 바꾼다. 같은 원인이 반복되는지도 재검증한다.

03관리적·물리적·기술적 보호조치는 함께 작동한다

• 통제의 세 영역관리적 통제에는 보안 정책, 자산·위험 관리, 인사·외부자 관리, 교육, 변경 승인, 사고 대응 절차가 포함된다.

  • 물리적 통제는 보호구역, 출입권한, 방문자 동행, 장비 반출, 전원·환경 관리 등을 다룬다.
  • 기술적 통제는 인증·권한·암호화·방화벽·로그·탐지 등 시스템에서 실행되는 조치이다.
• 하나의 업무에 통제 연결한 사례에 세 종류가 겹친다.

  • 외주 인력이 서버실에서 작업하려면 작업 승인과 비밀유지·회수 절차, 출입 통제와 반출 확인, 시간 제한 계정과 접속 로그가 함께 필요하다.
  • 물리적 보안을 경비 업체 제품명 하나로, 관리적 보안을 보고서 파일 보관 하나로 축소하지 않는다.
• 설계·운영·효과통제의 설계가 적절한지와 실제로 운영되는지, 위험 감소 효과가 있는지는 서로 다른 질문이다.

  • 출입 카드 발급 절차가 있어도 퇴사자 권한이 남거나 공동 계정을 사용하면 기록만으로 주체를 확인하기 어렵다.
  • 표본과 운영 기록으로 절차가 실행되는지 확인한다.

05ISMS와 ISMS-P: 인증 범위와 개인정보 흐름

• ISMS와 ISMS-PISMS는 조직의 정보보호 관리체계에 대한 인증이고 ISMS-P는 정보보호와 개인정보보호 관리체계를 함께 평가하는 국내 인증이다.

  • ISMS-P를 “ISMS에 제품 PIMS를 설치한 것”이나 KISA가 ISO를 단순히 개조한 이름으로 설명하지 않는다.
  • 관리체계를 실제 운영하고 인증 범위에서 요구사항을 충족하는지 평가한다.
• 기준의 구성KISA의 일반 인증기준 안내는 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항을 구분한다.

  • 조직의 신청 유형·특례 등에 따라 확인해야 할 기준이 있으므로 항목 개수만 외우고 모든 조직에 동일하게 적용하지 않는다.
  • 이 페이지는 일반적인 구조를 설명하며 세부 적용은 해당 판본의 공식 기준을 확인한다.
• 인증 범위와 정보 흐름범위는 웹 서버 몇 대만이 아니라 관련 서비스, 조직·인력, 위치, 정보자산과 개인정보 처리 흐름을 함께 식별한다.

  • 개인정보는 수집→보유·이용→제공→파기와 정보주체 권리 대응까지 연결한다.
  • 어떤 정보가 어디로 전달되는지 모르면 암호화·권한·보유 기간의 적정성을 판단하기 어렵다.

06ISO/IEC 27000 계열과 SoA

• 표준별 역할ISO 27000 Series는 정보보호 관리체계와 관련한 국제 표준군을 가리킨다.

  • 27000은 개요·용어, 27001은 관리체계 요구사항, 27002는 통제 지침, 27005는 위험관리 지침이라는 역할 차이를 가진다.
  • 모든 번호가 독립적인 인증 대상이라는 뜻은 아니다.
• 위험에 따른 통제 선택ISO/IEC 27001의 관리체계는 조직의 맥락·범위와 위험을 고려해 통제를 선택하고 지속적으로 운영·개선하는 구조다.

  • 어떤 보안 제품 하나를 샀다는 사실이나 취약점 스캔 한 번의 결과만으로 관리체계를 설명할 수 없다.
• SoASoA(Statement of Applicability)는 선택한 통제, 적용·제외 근거와 구현 상태를 추적하는 문서다.

  • “해당 없음”이라고 체크만 하는 것이 아니라 왜 그 통제가 불필요하거나 다른 방식으로 충족되는지 위험과 요구사항에 연결한다.
  • 국내 ISMS-P의 운영명세서와 유사한 관리 목적이 있을 수 있으나 서로 다른 제도의 문서를 동일한 양식으로 단정하지 않는다.

07계정 검토로 확인하는 PDCA 적용 예

• 계정 검토 사례예를 들어 분기 계정 검토를 계획했다면 검토 대상과 책임자, 검토 기준을 정하고 실제 사용자 목록과 권한을 검토한다.

  • 휴면 관리자 계정을 발견하면 회수만 하는 데서 끝나지 않고 인사 연동 또는 승인 만료 절차가 왜 실패했는지 확인한다.
  • 다음 분기에 동일 원인으로 반복되지 않는지 재검증한다.
• 운영 증적증적은 수행 과정에서 남긴 승인·조회·검토·조치의 기록이어야 한다.

  • 점검일이 다가와 과거에 수행하지 않은 활동의 서명·날짜를 채우는 것은 운영 근거가 아니다.
  • 문서 버전·작성자·승인자·적용 기간과 실제 시스템 상태를 연결하여 추적성을 유지한다.

09CISO·통제 책임자·감사·컨설턴트의 관계

• CISO와 통제 책임자CISO는 정보보호 전략·정책·위험·예산·대응과 경영진 보고를 총괄하는 역할이다.

  • 모든 방화벽 규칙을 직접 입력하는 사람이라는 뜻은 아니다.
  • 서비스 소유자, 통제 운영자, 위험 수용 승인자와 독립적 점검자의 역할을 명확히 한다.
  • 구체적인 법적 지정·겸직 요건은 조직 조건과 현행 법령을 따로 확인한다.
• 컨설팅과 인증 심사컨설턴트는 현황과 기준의 차이를 분석하고 개선과 증적 준비를 지원할 수 있다.

  • 인증 심사는 정해진 체계 안에서 적합성을 평가하는 별도 역할이다.
  • 컨설팅 프로젝트에 참여했다는 이유만으로 인증심사원 자격이 생기거나 고객의 인증을 보장할 수 있는 것은 아니다.
• 기술과 업무의 연결보안 요구사항을 계정·로그·네트워크·개발 과정에 연결하고 담당자, 업무 영향, 기한과 근거를 조율한다.

  • 통제의 목적과 실제 구현을 함께 설명하는 능력이 관리 업무에도 필요하다.

10면접에서 설명할 수 있는 학습 결과

• 요구사항을 통제로 설명“ISMS를 안다”는 말은 인증 이름을 기억한다는 수준에서 벗어나 범위 설정, 자산·개인정보 흐름 파악, 위험평가, 통제 운영, 증적 확인과 개선의 연결을 설명할 때 구체적이 된다.

  • 실제 인증 프로젝트 경력이 없다면 수업 사례로 만든 통제-증적 대응표와 검토 절차를 학습 산출물로 제시한다.
• 수행 근거의 범위예시 질문은 “관리자 계정의 권한이 적절함을 무엇으로 증명할 것인가”, “정책은 있으나 운영되지 않는다면 무엇을 확인할 것인가”, “클라우드 공급자에게 맡긴 부분의 책임과 증적은 어떻게 구분할 것인가”다.

  • 제품명 나열보다 통제 목적·구현·증거·한계를 이어 답한다.