자산·위험·통제·증적

통제가 있다는 말은 작동했다는 증거가 아니다

조직이 접근권한을 정기 검토한다고 규정해도 실제 검토 기록이 없고 퇴직자 권한이 남아 있다면 위험은 줄지 않았다. 그래서 먼저 무엇을 보호하는지, 무엇이 그것을 어떻게 해칠 수 있는지를 묻는다. 이어서 어떤 조치가 그 가능성과 피해를 줄이는지, 그 조치가 실제로 수행됐는지를 한 흐름으로 확인해야 한다.

먼저 되짚기: 목적과 보호가치

시스템 목적은 만들어야 할 가치와 성공상태다. 자산은 이 목적을 이루는 데 가치가 있어 손상·유출·중단으로부터 보호할 대상이고, 위험은 그 가치가 훼손될 불확실성을 다룬다.

증적을 묻기 전에 자산·위험·통제의 경계를 고정한다

자산은 조직과 이해관계자에게 가치 있는 대상이고, 위험은 불확실한 사건이 목적에 미칠 가능성과 영향으로 판단한다. 통제는 위험을 예방·탐지·대응·복구하기 위한 사람·절차·기술의 조치다. 그런데 통제가 있다는 주장과 실제로 작동했다는 증적은 구분해야 한다.

다시 연결하기: 통제에서 증적으로

자산·위험·통제는 무엇을 왜 보호하고 어떤 조치로 위험을 줄일지 정한다. 통제 증적은 그 조치가 정한 범위와 기간에 실제로 수행되어 효과를 냈다는 주장을 검증하는 기록과 관찰결과다.

자산·위험·통제·증적

자산은 조직과 이해관계자에게 가치가 있어 보호할 대상이다. 위험(risk)은 불확실한 사건이 목적에 미칠 가능성과 영향의 조합으로 판단한다. 통제는 위험을 예방·탐지·대응·복구하도록 설계한 사람·절차·기술의 조치다. 통제 증적은 통제가 정한 시점과 범위에서 실제 수행되고 결과를 냈음을 보여 주는 기록과 관찰결과다.

위험에서 검증까지 잇기

예를 들어 고객정보라는 자산에 과도한 권한이 남는 위험이 있다면, 최소권한 부여와 정기 재검토를 통제로 정할 수 있다. 이때 설계 증적은 정책·역할·절차이고, 운영 증적은 승인기록과 검토결과, 예외처리, 표본 시험이다. 통제를 적용하기 전의 위험을 고유위험, 적용한 뒤에도 남는 위험을 잔여위험이라고 부른다. 잔여위험은 다시 평가해 수용, 추가감소, 이전, 회피 가운데 하나로 결정한다.

문서와 도구 목록으로 끝내지 않는다

위협 이름만 나열하고 자산과 업무영향에 연결하지 않으면 우선순위를 정할 수 없다. 통제 설치 화면은 통제가 있다는 것만 보여 줄 뿐, 계속 작동했다는 운영 증적은 아니다. 그래서 증적을 많이 모으기보다 위험과 통제 목적에 맞는 범위·시점·완전성을 확인하는 일이 중요하다. 예외와 실패가 의사결정자에게 실제로 전달되는지도 함께 본다.

보호대상에서 잔여위험 판단까지

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

고객정보에 퇴직자 권한이 남는 위험을 통제한다. 정책·역할·연동 설정과 전체 퇴직자·회수시각·예외·재처리 기록을 함께 대조한다. 자동 처리율 98%와 24시간 준수율 99%는 다른 축이며 30시간 건의 6시간 초과·접근영향은 남은 위험으로 평가한다.

그림은 고객정보에 퇴직자 권한이 남는 위험을 출발점으로, 통제 목적과 설계를 거쳐 두 갈래의 증적이 통제 효과 판단으로 모이는 흐름이다. 설계·구현 증적은 정책·역할·연동 설정이고, 운영·결과 증적은 전체 퇴직자의 회수시각과 실패·예외·후속조치 기록이다. 효과를 판단할 때 자동 처리율 98%와 24시간 기한 준수율 99%는 다른 축으로 읽고, 기한을 넘긴 건의 영향은 잔여위험 대응으로 넘긴다.

즉 증적은 파일을 많이 모으는 일이 아니라, 위험에서 통제를 거쳐 결론에 이르는 주장을 뒷받침하는 자료다. 통제 정책이 있다는 설계 증적과, 실제 기간 동안 수행됐다는 운영 증적이 모두 있어야 한다.

위험·통제·증적을 같은 것으로 보지 않는다

도구 설치 화면은 통제가 있다는 사실을 일부 보여 줄 뿐, 올바른 대상에 계속 작동했다는 결론까지 입증하지는 못한다. 반대로 사고가 없었다는 사실만으로 통제가 효과적이었다고 단정할 수도 없다. 노출이 적었거나 우연이었을 수도 있기 때문이다.

위험 대응은 등급보다 선택의 근거가 중요하다

먼저 법적·계약상 반드시 수행해야 하는 통제와 안전 한계를 따로 떼어 둔다. 그다음 위험의 가능성과 영향, 통제비용, 실행 가능성을 비교하고, 통제가 다른 위험을 만드는 부작용과 조직의 위험수용 기준도 함께 본다. 그 결과로 위험을 줄이는 통제를 고르거나, 계약·보험으로 일부를 이전하거나, 위험한 활동을 피한다. 또는 권한 있는 결정권자가 이유를 기록하고 잔여위험을 수용한다.

증적은 통제 목적에 맞춰 고른다. 설계가 적절한지는 정책·역할·설정과 검토기록으로 확인한다. 정한 기간에 실제로 작동했는지는 전체 로그나 대표 표본, 예외·실패와 후속조치로 확인한다. 위험이 크고 자동 통제가 핵심일수록 표본 범위와 독립성, 변조 방지, 재수행 시험을 강화한다.

퇴직자 권한회수 통제를 검증해 보기

자산은 고객정보, 위험 사건은 퇴직자가 남은 계정으로 조회하는 것이다. 통제 목적은 “퇴직 효력 시점부터 정한 시간 안에 모든 관련 접근권한을 제거”로 둔다. 그리고 인사시스템 통보, 계정 잠금, 애플리케이션별 권한회수, 실패 경보를 통제로 설계한다. 이 예에서 계정 잠금과 권한회수는 접근을 미리 막는 예방 통제이고, 회수되지 않은 권한의 대조와 실패 경보는 문제를 찾아내는 탐지 통제다. 발견한 실패를 재처리해 권한을 실제로 제거하는 조치는 잘못된 상태를 고치는 보정 통제다. 앞에서 나눈 예방·탐지·대응·복구로 보면, 이 보정 통제는 탐지한 실패에 대응해 남은 권한을 정한 상태로 바로잡는 대응·복구 역할에 해당한다. 이처럼 하나의 절차도 단계마다 맡는 역할에 따라 여러 통제를 이어 줄 수 있다.

정책 문서와 연동 설정은 설계·구현 증적이다. 지난 분기 퇴직자 전체 목록과 계정 잠금 시각의 대조, 회수 실패 경보와 재처리 기록은 운영 증적이다. 100명 중 98명의 권한이 목표시간 안에 자동 회수되고 2명은 수동 처리됐다면 “자동화가 있다”로 끝내지 않는다. 누락 원인과 실제 접근 여부, 보완조치, 남은 지연위험을 평가한다. 일부 시스템이 인사 연동 밖에 있다면 자산 범위가 불완전한 것이므로 통제를 넓히거나 별도로 검토해야 한다.

자동·수동은 처리방식이고 기한 내·초과는 시간 결과이므로, 둘은 다른 축이다. 그래서 앞의 100명 중 수동 2명이 언제 끝났는지 모르면 전체 기한준수율은 아직 확정할 수 없다. 교육용 목표를 퇴직 효력시각부터 24시간 이내에 고객 DB·업무앱·원격접속의 모든 관련 권한을 회수하는 것으로 정하고, 사람별 완료시각은 세 시스템 중 가장 늦은 시각으로 잡는다.

표의 추가 기록에 따르면 자동처리율은 98/100=98%, 기한준수율은 99/100=99%다. 30시간이 걸린 건은 기한을 6시간 넘겼으므로, 그 사이의 실제 접근기록과 세션·토큰 무효화 범위를 따로 조사한다. 연동 밖 시스템을 분모에서 빼면 안 되며, 완료시각을 모르는 건은 미확인으로 남긴다.

자체 10점 문제

자산·위험·통제·통제 증적의 관계를 설명하고 통제 효과성과 잔여위험 평가방안을 제시하시오.

요구어는 설명과 제시다. 자산 가치 → 위험 → 통제 목적 → 설계·운영 증적 → 효과성 판단 → 잔여위험의 논증 사슬을 중심으로 답한다.

10점 풀이 방향과 모범답안 보기

답안 목차

1. 자산·위험·통제·통제 증적·잔여위험의 정의
2. 업무목적과 자산가치 기반 위험 식별·평가
3. 예방·탐지·대응·복구 통제의 설계와 책임
4. 설계·구현·운영·결과 증적의 연결
5. 통제 효과와 잔여위험 대응 결정
6. 범위·기간·완전성·예외·독립성 통제

답안에 넣을 핵심 도식

설계·운영 증적 그림을 업무목적·자산 → 가치 훼손 위험 → 가능성·영향 → 통제 목적 → 사람·절차·기술 통제의 순서로 읽는다. 설계 증적과 운영·결과 증적을 함께 평가해 효과성을 판단하고, 그 판단을 바탕으로 잔여위험 대응과 재검토를 정한다.

각 화살표에 “왜 이 통제가 이 위험을 줄이며, 어떤 증적이 그 주장을 뒷받침하는가”라는 질문을 붙여 보면 제품이나 문서를 나열하는 답안을 피할 수 있다.

모범답안

자산은 조직과 이해관계자에게 가치가 있어 보호할 대상이며, 위험은 불확실한 사건이 목적에 미칠 가능성과 영향의 조합이다. 통제는 위험을 예방·탐지·대응·복구하기 위한 사람·절차·기술의 조치다. 통제 증적은 통제가 정한 범위와 기간에 설계되고 실제 수행되어 결과를 냈음을 뒷받침하는 기록과 관찰결과다.

평가는 업무목적과 자산가치를 정하고 위험 사건과 영향을 분석하는 데서 시작한다. 위험수용 기준과 법적 의무에 따라 통제 목적을 세우고, 통제의 담당자·대상·주기·예외 처리를 설계한다. 정책·역할·설정은 설계·구현 증적이고, 승인·실행 로그와 표본 재검사, 예외 후속조치는 운영·결과 증적이다.

증적의 관련성과 범위·기간의 완전성, 진위, 독립성을 확인해 통제 효과를 판단하고, 남은 위험은 수용·추가감소·이전·회피 가운데 하나로 대응한다. 도구 설치 화면이나 사고가 없었다는 사실만으로 효과를 단정하지 않는다. 누락 자산과 통제 실패, 예외, 보완조치를 의사결정자에게 연결하고 주기적으로 다시 평가한다.

자체 25점 문제

퇴직자 권한회수 위험을 대상으로 통제 목적·예방·탐지·보정 통제와 설계·운영·결과 증적을 연결해 효과성과 잔여위험 평가절차를 설계하시오.

요구어는 설계다. 설정 화면 하나로 끝내지 않고 전체 대상·기간·예외·실패 후속조치까지 증적으로 연결한다.

25점 풀이 방향과 모범답안 보기

25점 답안 목차

1. 업무목적·자산·위험사건
2. 가능성·영향·수용기준
3. 통제 목적과 대상범위
4. 예방·탐지·대응·복구 통제
5. 설계·구현 증적
6. 운영·결과 증적
7. 누락·예외·독립성 검증
8. 잔여위험 대응·재검토

25점 답안 도식

위험에서 결론으로 연결	판단에 필요한 자료
목적·자산 → 위험 → 통제 목적	보호가치와 가능성·영향
사람·절차·기술 통제 → 설계 증적	정책·역할·연동 설정
같은 통제 → 운영·결과 증적	전체 대상·기간·예외·후속조치
두 증적 → 효과성 판단 → 잔여위험 대응	자동 처리와 기한 준수를 구분하고 남은 영향을 판단

대표 증적 관계 그림과 아래 퇴직자 조건을 대조한다.

25점 모범답안

고객정보를 자산으로 두고 퇴직자가 남은 계정으로 조회하는 사건을 위험으로 정의한다. 퇴직 효력시점부터 정한 시간 안에 관련 접근권한을 제거한다는 통제 목적을 세운다. 그리고 인사 통보, 계정 잠금, 애플리케이션별 권한회수, 실패 경보와 재처리를 예방·탐지·보정 역할에 맞게 배치한다.

정책·역할·연동 설정은 설계·구현 증적이다. 전체 퇴직자 목록과 잠금 시각의 대조, 회수 실패 경보와 재처리, 예외 승인과 실제 접근확인은 운영·결과 증적이다. 대상 시스템이 빠졌거나 일부 기간만 표본으로 보면 효과를 과대평가할 수 있으므로 범위·기간·완전성·진위·독립성을 확인한다.

통제 효과는 목표시간 안의 회수율과 예외의 실제 영향, 수동처리 지연을 평가해 판단한다. 남은 위험에는 수용·추가감소·이전·회피 중 하나를 선택하고, 누락 원인과 후속조치 담당자를 기록해 다음 재검토에 연결한다.

대상은 고객 DB·업무앱·원격접속으로 고정하고, 세 시스템 가운데 가장 늦은 회수완료 시각을 퇴직 효력시각과 비교한다. 추가 확인표처럼 수동 처리가 12시간 1명, 30시간 1명이라면 24시간 준수율은 99/100이다. 자동화율 98/100을 준수율 대신 쓰지 않으며, 기한을 넘긴 1명의 접근 가능시간과 영향, 수동 재처리의 원인을 검토한다.

출처와 적용 경계

자산·위험·통제·통제 증적은 안정된 보안·감사 기초개념이다. 퇴직자 100명·98명 사례는 통제 효과성 학습용 자체 예이며 실제 조직의 접근통제 정책이나 감사결론을 뜻하지 않는다.

자기교정과 조건 변경

조건을 바꿔 보자. 퇴직자 수가 100명에서 1천 명으로 늘면 자동화 성능뿐 아니라 누락 탐지와 재처리, 증적의 완전성을 다시 검증한다. 회수 목표시간이 24시간에서 즉시로 강화되면 통보 지연과 시스템별 전파시간을 나누어 보고 통제구조를 다시 설계한다.

일부 시스템이 인사 연동 밖에 있다면 범위 누락으로 표시하고, 그 시스템에는 별도의 회수·대조 통제를 둔다.

한 번에 되찾기

위험은 자산과 목적에 대한 불확실한 영향이고 통제는 이를 바꾸는 조치다. 통제 증적은 설계와 실제 수행을 입증하며, 남은 위험과 예외를 다음 결정으로 연결해야 한다.