통제, 감사 및 인증

체계를 선택하는 것은 쉬운 부분입니다. 어려운 작업은 통제를 구현한 다음 심사를 통해 통제가 작동한다는 사실을 입증하고, 필요한 경우 인증을 받는 것입니다.

이 단원에서는 실제 적용 과정을 다룹니다. 통제가 실제로 어떤 모습인지, 심사원이 기대하는 증적의 유형, 심사 과정의 진행 방식, 그리고 인증서가 의미하는 것과 의미하지 않는 것을 설명합니다.

통제는 위험을 줄이는 방식에 따라 세 가지 전통적 범주로 나뉩니다:

• 예방 통제 — 사건이 발생하지 않도록 막습니다(MFA, 방화벽, 최소 권한).
• 탐지 통제 — 진행 중이거나 이미 발생한 사건을 드러냅니다(로그 기록, SIEM 경고, 파일 무결성 모니터링).
• 시정 통제 — 사건 이후 복구하고 피해를 제한합니다(백업, 패치 적용, 사건 대응).

강력한 프로그램은 세 가지를 모두 계층적으로 적용합니다. 예방에만 의존하면 예방이 실패했을 때 상황을 파악할 수 없습니다.

통제는 그 성격에 따라서도 분류됩니다:

• 관리적 — 정책, 절차, 교육, 접근 권한 검토
• 기술적 — 암호화, 접근 통제, 로그 기록 등 기술에 구현된 통제
• 물리적 — 잠금장치, 출입증 판독기, 보안 시설

심사원은 세 영역이 모두 포함되어 있는지 확인합니다. 아무도 따르지 않는 정책으로 인해 약화되는 완벽한 기술적 통제는 실제 통제가 아닙니다.

심사원은 두 가지 측면에서 통제를 평가합니다:

• 설계 효과성 — 통제가 의도대로 작동할 경우 위험에 대응할 수 있는가?
• 운영 효과성 — 일정 기간 동안 실제로 일관되게 작동하는가?

통제는 문서상으로 잘 설계되었더라도 실제 운영에서는 실패할 수 있습니다(예: 아무도 실제로 수행하지 않는 로그 검토). 증적은 두 가지 효과성을 모두 입증해야 합니다.

심사는 증거를 기반으로 진행됩니다. 각 통제가 작동하고 있음을 보여 주어야 합니다. 대표적인 증적은 다음과 같습니다:

• 분기별 재인증이 이루어졌음을 보여 주는 접근 권한 검토 기록
• 경고가 조사되었음을 입증하는 로그와 티켓
• 암호화 또는 MFA가 강제 적용되었음을 보여 주는 구성 내보내기 자료
• 교육 이수 기록

심사원은 표본을 추출합니다. 통제를 하나 선택하고, 일정 기간의 증거를 요청한 다음 처음부터 끝까지 추적합니다.

심사에는 두 가지 단계가 있습니다:

• 내부 심사 — 외부 심사 전에 조직이 직접(또는 고용한 내부 심사원이) 자체 ISMS를 검토하여 차이를 찾는 활동입니다. ISO 27001에서 요구합니다.
• 외부/인증 심사 — 공인된 독립 기관이 인증서 발급을 위해 조직을 평가하는 활동입니다.

내부 심사는 모의 실행입니다. 인증 기관이 발견하기 전에 자체 부적합을 먼저 찾는 편이 훨씬 저렴합니다.

ISO 27001 인증 심사는 두 단계로 진행됩니다:

• 1단계 — 문서 검토입니다. 심사원은 ISMS 문서, 범위, 정책, 위험 평가 및 적용성 선언서가 존재하고 서로 일관되는지 확인합니다.
• 2단계 — 이행 심사입니다. 심사원은 면담, 증적 표본 조사 및 관찰을 통해 통제가 실제로 작동하는지 검증합니다.

두 단계를 모두 통과하면 인증서를 받으며, 인증서는 일반적으로 지속적인 사후 심사를 조건으로 3년간 유효합니다.

심사에서는 심각도에 따라 등급이 매겨지는 발견 사항이 나옵니다:

• 중대 부적합 — 통제가 없거나 근본적으로 실패한 상태이며, 해결될 때까지 인증이 중단됩니다.
• 경미한 부적합 — 전체 체계를 약화시키지는 않는 누락 또는 일탈이며, 시정 조치 계획이 필요합니다.
• 관찰 사항 / 개선 기회 — 자문 성격의 지적이며 실패로 간주되지 않습니다.

조직은 시정 조치 계획으로 대응합니다. 여기에는 근본 원인, 수정 조치 및 재발 방지가 포함됩니다.

인증은 영구적이지 않습니다. ISO 27001 인증서는 주기에 따라 관리됩니다:

• 사후 심사 — 일반적으로 매년 실시하며, ISMS가 계속 운영되는지 확인하는 비교적 간단한 점검입니다.
• 재인증 심사 — 일반적으로 3년마다 실시하는 전체 재평가입니다.

이 주기는 ISMS가 계속 작동하도록 합니다. 심사 사이에 통제를 방치하면 다음 사후 심사에서 인증서를 잃을 위험이 있습니다.

성숙한 팀은 지속적인 규정 준수를 추진하여 감사 직전의 혼란스러운 대응을 피합니다. 증거를 자동으로 수집하고 통제를 항상 감사에 대비된 상태로 유지합니다.

• 접근 권한 검토와 구성 스냅샷 같은 증거 수집을 일정에 따라 자동화합니다.
• S3 버킷이 공개로 전환되는 경우처럼 통제 상태의 이탈을 실시간으로 모니터링합니다.
• 규정 준수를 연례 프로젝트가 아니라 지속적인 상태로 취급합니다.

이 지점에서 SOAR와 규정 준수 자동화 도구가 효과를 발휘하여 특정 시점의 감사를 지속적인 보증 활동으로 전환합니다.

때로는 필수 통제를 명시된 방식으로 실제 구현할 수 없는 경우가 있습니다. 예를 들어 레거시 시스템이 MFA를 지원하지 못할 수 있습니다. 프레임워크에서는 동일한 위험 목표를 충족하는 대안인 보완 통제를 허용합니다.

• 원래 통제를 구현할 수 없는 이유를 문서화합니다.
• 대안을 설명합니다. 예를 들어 엄격한 네트워크 격리와 레거시 시스템에 대한 강화된 모니터링을 함께 적용할 수 있습니다.
• 위험을 동등한 수준으로 줄인다는 점을 입증합니다.

감사자는 근거와 동등한 위험 감소가 명확한 증거로 입증될 때 보완 통제를 인정합니다. 단순히 그렇게 주장하는 것만으로는 충분하지 않습니다.

감사자의 관점에서 통제의 효과를 판단해 보십시오.

통제, 감사 및 인증:

• 통제는 기능에 따라 예방적, 탐지적 또는 교정적이며, 성격에 따라 관리적, 기술적 또는 물리적입니다. 이 모든 통제를 계층화하십시오.
• 감사자는 설계 효과성과 운영 효과성을 모두 평가하며, 운영 효과성을 입증하려면 일정 기간에 걸친 증거가 필요합니다.
• 내부 감사는 외부 인증 감사 전에 부족한 부분을 찾아냅니다. 외부 인증 감사는 1단계(문서)와 2단계(구현)로 진행됩니다.
• 지적 사항은 중대 및 경미 부적합부터 관찰 사항까지 다양합니다. 시정 조치 계획으로 대응하십시오.
• 인증서를 유지하려면 사후 심사와 갱신 심사가 필요합니다. 항상 감사에 대비된 상태를 유지하려면 지속적인 규정 준수를 추진하십시오.