보안 거버넌스·정책·역할·책임

1. 경보는 울렸는데 누가 접근을 끊을까

이상접속 경보가 울렸는데 운영팀은 차단 권한이 없고, 사업부는 서비스 중단 책임을 두려워하며, 보안팀은 위험을 소유하지 않는다면 아무도 결정을 내리지 못한다. 보안은 기술통제만이 아니라 목표, 위험수용, 역할, 증적과 개선을 조직의 의사결정으로 묶는 문제다.

가상의 한빛 자료처리회사를 생각하자. 직원 25명과 협력사 작업자 4명이 고객의 접수자료를 처리한다. 협력사 계약이 끝났는데 계정은 남았고, 운영자는 계약 종료를 제때 전달받지 못했다. 로그인 화면이 정상이어도 접근을 허용해서는 안 되는 사람이 자료를 읽을 수 있다.

이번 절에서는 같은 회사의 보호 범위, 결정권, 일하는 절차와 확인 자료를 직접 정한다. 모든 인원·시간·역할·사건은 교육용 가정이며 실제 회사의 사고나 법정 기한을 제시하는 것이 아니다.

앞의 위험·통제 설명에서 가져올 것

자산·위험·통제·증적에서 배운 자산·위험·통제·증적은 보호할 대상, 해로운 사건, 이를 줄일 조치와 실제 수행의 근거를 잇는다. 통제가 있다는 문서와 통제가 작동했다는 기록은 다르다. 이제 그 조치를 누가 정하고 승인·실행·확인하는지 조직의 결정으로 연결한다.

2. 보안 거버넌스: 방향과 현장을 연결한다

보안 거버넌스는 조직의 목표와 위험한계에 맞춰 보안 방향과 정책을 정하고, 위험소유자·결정권자·실행자·보증자의 역할을 배분하며, 통제 성과와 잔여위험을 감독·개선하는 체계다. 경영 의사결정과 현장 통제를 잇는 것이 핵심이며 보안부서가 모든 위험을 대신 소유한다는 뜻은 아니다.

여기서 위험소유자는 해당 업무의 손실과 대응을 책임지고 관리하는 사람이다. 결정권자는 정해진 범위에서 위험수용·자원배분·중단 등을 승인하고, 실행자는 실제 설정과 운영을 수행한다. 보증자는 필요한 근거를 확인해 통제에 대한 신뢰를 뒷받침한다. 이 역할 설명은 모든 회사에 같은 직책을 강제하는 법적 조직도가 아니다.

업무를 계속할 편익과 자료가 노출될 피해를 함께 판단해야 하므로 보안팀에게 모든 결정을 떠넘겨서는 안 된다. 반대로 사업책임자가 편리하다는 이유만으로 모든 제한을 무효화할 수도 없다. 의무·계약·안전 한계와 자신에게 위임된 권한을 먼저 확인한다.

3. 정책을 파일이 아니라 실행과 감독으로 잇는다

조직은 보호할 업무와 허용할 위험수준을 정하고 이를 정책·표준·절차로 구체화한다. 자산과 위험의 소유자는 통제 선택과 예외를 승인하고 실행자는 운영한다. 독립적 보증은 설계와 실제 수행 증적을 평가한다. 중대한 예외·사고·성과 편차는 의사결정자에게 올라가 정책·자원·우선순위를 바꾼다.

NIST CSF 2.0의 GOVERN 범주는 역할·권한, 정책, 감독을 보안 위험관리와 연결한다. 이 책에서는 그 관계를 아래 회사의 자체 운영안으로 풀어 쓰며 NIST가 이 회사의 시간이나 책임표를 정했다고 주장하지 않는다.

보안체계의 한 바퀴

아래 SVG의 정책·위험평가·통제·수행 근거·보증·책임자 수정 고리는 업무목적과 보호범위, 지켜야 할 한계를 출발점으로 삼는다. 보증·잔여위험 판단은 자원·정책 수정으로 돌아가며, 중단 대비가 필요한 판단은 업무연속성·복구·훈련으로 이어진다.

화살표는 의사결정과 증거의 전달이다. 업무의 위험을 평가한 결과가 통제 선택에 영향을 주고, 작동 실패가 발견되면 승인자와 정책으로 돌아온다. 위험평가를 별도 표로, 복구계획을 별도 문서로만 보관하고 서로 결과를 전달하지 않으면 이 고리가 끊긴다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

한빛 회사의 결정·실행·근거가 되돌아오는 관계다. 실행자가 자신의 작업을 독립적으로 승인한다는 뜻이 아니며, 실패 자료로 다음 위험과 자원을 다시 판단한다.

이 절은 체계 전체의 방향과 책임을 맡는다. 다음 절은 위험·통제 효과의 판단을, 그다음 절은 업무중단과 복구훈련을 구체화한다. 세 절을 합쳐도 실제 조직의 인증이나 모든 보안기술 구현을 완료한 것은 아니다.

4. 정책·내부 기준·절차·기록을 구별한다

‘접근을 안전하게 관리한다’는 방향만으로는 계약 종료일에 무엇을 할지 알 수 없다. 정책은 지킬 방향과 원칙을, 내부 기준은 확인 가능한 조건을, 절차는 실행 순서를, 기록은 실제 수행 사실을 맡도록 작성한다. 여기서 내부 기준은 회사가 정한 규칙이며 국가표준이나 법률과 같은 뜻이 아니다.

종료 예정은 미리 전달해 준비하고, 종료 효력시각을 실제 측정의 시작으로 삼는다. 통보가 늦었다고 측정 시작을 늦추면 업무상 무권한 노출 시간이 사라져 보인다. 원칙과 측정 기준이 같은 목적을 가리켜야 한다.

5. 책임표에 결정권과 대행자를 넣는다

한빛 회사의 자료처리 업무책임자가 해당 위험을 소유하고 대표가 중대한 잔여위험과 자원배분을 승인하도록 정한다. 보안책임자는 기준·위험 분석·감독을 맡고 운영자는 권한을 실제로 회수한다. 이름만 다르게 적고 같은 사람이 자신의 실행을 독립적으로 승인했다고 주장하지 않는다.

작은 조직에서 직무를 완전히 분리하기 어렵다면 동일인이 맡는 범위를 드러내고 다른 책임자의 사후 대조 등 보완조치를 정한다. 그 보완을 독립성이 완전히 확보된 것처럼 표시하지 않는다. 필요한 역량과 시간이 없는 명목상 검토자를 추가해도 보증은 생기지 않는다.

6. 예외를 허용한다면 언제 끝나는지도 정한다

협력사 작업자가 계약 종료 뒤 오류 내역을 확인해야 한다는 요청이 왔다. 기존 관리자 권한을 계속 남기는 안은 목적보다 넓으므로 기각한다. 업무책임자가 필요성을 확인하고 지정 승인자가 읽기 전용의 특정 오류자료에만 14:00~16:00 접근하도록 조건부 허용하는 교육용 안을 택한다.

신청에는 사람·자원·행동·사유·승인자·시작과 종료·접근기록·회수 확인자를 남긴다. 16:00이 되면 더 쓰겠다는 말만으로 연장하지 않고 차단·회수 여부를 확인한다. 추가 필요는 새로운 위험 판단과 승인을 받아야 하며, 만료 실패는 정상 연장이 아니라 통제 실패다.

필요 자료를 제한해 제공할 수 없다면 그대로 광범위 접근을 허용하지 않는다. 담당자가 필요한 결과만 추출해 전달하는 대안을 검토한다. 법적 금지나 계약 위반을 회사 내부 예외 승인으로 없앨 수 있다는 뜻은 아니다.

7. 설치율 대신 실제 누락과 시간을 읽는다

지난 교육용 관찰기간의 종료 대상은 12명이고 11명은 60분 안에 회수했다. 나머지 한 명은 종료 효력 09:00, 담당 통보 09:50, 실제 회수 10:20이었다. 시간은 같은 날 같은 시간 기준이며 기록이 정확하다고 가정한다.

이 한 명의 노출 지속시간은 09:00부터 10:20까지 80분이므로 내부 기준을 20분 넘겼다. 통보부터 회수까지의 30분은 운영 처리시간을 설명하지만 전체 기준 충족 여부를 대신하지 않는다. 기준 내 회수 비율은 11/12×100≈91.67%다.

이를 ‘100% 계정관리 도구 도입’이라는 보고로 덮으면 잘못된 결론이 된다. 다음 조치는 인사·계약 통보의 지연 원인, 사전 통보·자동 회수·실패 경보, 누락된 자원 여부를 확인하는 것이다. 12명 기록은 이 범위의 관찰이며 모든 접근경로의 완전한 검증은 아니다.

8. 책임표가 있어도 작동하지 않는 경우

결정권과 위험수용 한도가 없으면 역할 이름만 늘어난다. 지표가 통제 설치율만 보여 주면 실제 피해와 운영실패를 숨긴다. 예외에 만료일·보완통제·승인자가 없으면 임시 우회가 영구권한이 된다. 거버넌스는 결정기록, 증적, 에스컬레이션과 재검토 주기로 작동 여부를 확인한다.

에스컬레이션은 현재 담당자가 결정할 수 없거나 정한 한계를 넘은 사안을 정해진 상위 결정권자에게 올리는 것이다. 연락이 되지 않으면 무조건 허용하는 것이 아니라 사전에 정한 제한 상태와 대행 절차를 따른다. 서비스 중단의 영향도 함께 기록해 보호와 업무목적 중 하나를 지워 버리지 않는다.

근거와 적용 범위

조직의 역할·정책·감독 관계는 NIST CSF 2.0 공식 최종판의 NIST CSF 2.0(NIST CSWP 29, 2024-02-26), Appendix A의 GV.RR·GV.PO·GV.OV, 인쇄 17쪽을 확인했다. CSF는 결과 중심의 틀이며 이 회사의 60분·두 시간 예외·역할표를 규정하지 않는다. 한빛 사례·계산·문제는 자체 교육 자료이고 국내 법적 의무·인증 기준·실제 운영 실적을 새로 판정한 것이 아니다.

자체 10점형 문제

보안 거버넌스의 목적을 설명하고 정책·내부 기준·절차·운영 증적을 권한회수 사례로 구별하시오.

자체 문제이며 실제 기출·공식 채점표가 아니다. 정의를 쓴 뒤 네 층의 역할과 실제 작동 확인까지 설명해야 한다.

먼저 써 보기: 같은 권한회수 사건에 정책·내부 기준·절차·기록을 한 문장씩 붙인다. 네 이름만 쓰지 말고 누가 무엇을 확인하는지도 적는다.

10점 자체 연습의 풀이와 완성 답안

답안 목차

1. 방향과 책임의 연결
2. 문서와 수행의 구별
3. 감독과 개선

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

각 층의 산출물과 수행 사실을 구분한다. 차이를 확인한 뒤 책임자가 결정·개선하며, 문서가 있다는 사실로 실제 수행을 대신하지 않는다.

10점형 완성 답안

1. 방향과 책임의 연결 보안 거버넌스는 업무목표와 위험한계를 정책·결정권·실행·보증에 연결한다. 업무책임자가 위험을 관리하고 승인자와 운영자·검토자의 역할을 나누며 보안팀에 모든 위험을 떠넘기지 않는다.

2. 문서와 수행의 구별 정책은 필요한 기간만 접근한다는 원칙, 내부 기준은 종료 효력부터 60분 이내 회수라는 회사의 조건, 절차는 통보·회수·확인 순서다. 운영 증적은 대상별 효력시각·회수시각·실패와 재처리 기록이며 정책 파일로 대체할 수 없다.

3. 감독과 개선 통보가 늦은 80분 회수를 통보 후 30분으로 보고해 기준 충족으로 바꾸지 않는다. 실패와 예외를 결정권자에게 올리고 통보·회수 통제를 개선한다. 가상 내부 기준을 법정 기한이나 인증 완료로 확대하지 않는다.

자체 25점형 문제

한빛 회사의 계약 종료 후 잔존 접근을 통제할 거버넌스안을 설계하시오. 종료 후 60분 이내 회수, 오류자료 확인을 위한 14:00~16:00 예외 요청, 12명 중 11명 기준 충족과 한 명의 09:00 종료·09:50 통보·10:20 회수 조건을 사용하여 역할·예외·성과·개선을 제시하시오.

요구를 책임 배분, 실행, 예외, 측정과 개선으로 나누고 본문의 가정을 유지한다.

답안을 닫고 설계하기: 종료 효력과 통보 시각을 표시하고, 실행·확인·예외 승인 주체를 구분한다. 60분과 14:00~16:00은 이 회사의 자체 조건이지 공식 채점 규칙이 아니다.

25점 자체 연습의 설계 이유와 완성 답안

답안 목차

1. 보호 범위와 결정권
2. 실행과 확인
3. 제한된 예외
4. 성과 판정
5. 개선과 한계

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

왼쪽은 종료 목록에 따른 회수·별도 대조·책임자 개선이고 오른쪽은 필요성·범위 승인 후 제한 접근과 16:00 만료 확인이다. 실행자가 자신의 조치를 독립적으로 승인하지 않는다.

가로 원본의 왼쪽은 첫 회수·별도 확인 경계, 오른쪽은 다음 예외 승인·만료 경계에 해당합니다.

종료 효력 09:00부터 실제 회수 10:20까지는 80분이다. 통보 09:50 이후 30분은 운영 처리시간이며 전체 회수 기준의 시작을 바꾸지 않는다.

25점형 완성 답안

1. 보호 범위와 결정권 대상은 자료처리 업무와 해당 자료에 대한 직원·협력사의 접근이다. 업무책임자가 위험을 소유하고 대표 또는 위임된 결정권자가 중대한 잔여위험과 예외를 승인한다. 보안책임자는 기준과 감독을 맡고 각 역할의 대행자를 정한다.

2. 실행과 확인 인사·계약 담당자는 종료 효력과 대상 목록을 전달하고 운영자는 계정·자원별 권한을 회수한다. 해당 실행을 하지 않은 검토자는 목록과 시각·실패기록을 대조한다. 통보 지연도 전체 위험관리의 실패로 다루며 누락 자원이 없는지 확인한다.

3. 제한된 예외 기존 관리자 권한 유지는 기각하고 필요성이 확인된 오류자료만 읽기 전용으로 14:00~16:00 허용한다. 승인자·범위·기록·회수 확인자를 명시하고 만료 뒤 접근은 중지한다. 자료를 제한할 수 없으면 담당자의 결과 추출 대안을 검토한다.

4. 성과 판정 기준 내 회수는 11/12로 약 91.67%다. 한 명의 효력부터 회수까지는 80분으로 60분 기준을 20분 초과했고, 통보 후 30분만으로 성공 처리하지 않는다. 설치율과 실제 운영 결과를 분리한다.

5. 개선과 한계 책임자는 사전 종료 통보와 실패 경보·회수 대조를 개선하고 재검토 일정과 담당자를 정한다. 예외 만료 실패와 남은 접근은 별도 조치 대상으로 보고한다. 이 설계와 관찰은 교육 조건에 한정되며 실제 법적 적합성·인증·전사 무사고를 증명하지 않는다.

9. 자기 답안을 고친다

조건 변경 연습

종료 12명 중 두 명이 같은 공용 계정을 썼다면 사람 수만으로 접근 회수 완료를 판정할 수 있을까? 계정·자원과 사용자의 연결을 다시 대조해야 하며 개인별 책임추적 한계도 남는다.

14:00 예외의 승인자가 부재하면 운영자가 임의 허용할까? 지정 대행자와 제한 상태를 따르고, 위임이 확인되지 않으면 승인 완료로 표시하지 않는다.

11명의 시각 기록 중 하나가 없다면 그대로 91.67%라고 쓸까? 그 한 명은 기준 충족이 미확인이므로 확정된 성공 수와 미확인 수를 분리해 다시 보고한다.

한 번에 되찾기

보안 거버넌스는 목표·위험한계를 정책과 역할·통제·보증·개선으로 연결한다. 위험소유와 결정권, 운영 증적, 예외 만료와 재검토가 있어야 실제 체계가 된다. 다음 절에서는 어떤 위험에 어떤 통제를 먼저 적용하고, 그 효과를 어떻게 판단할지 계산과 증거로 이어간다.

책을 덮고 회상하기: 09:00 종료·09:50 통보·10:20 회수의 각 시각이 누구의 판단에 필요한지 말한다. 이어 16:00 만료 실패가 새 승인이 아니라 통제 실패인 이유를 설명하고 성과와 예외로 확인한다.

조건을 바꾸어 연습하기: 사람·자원·결정권의 분모를 먼저 정한다.

다음은 한빛 회사의 자체 내부 기준을 적용하는 문제다. 실제 계정에 조치를 취한 기록이 아니라 필요한 판단과 증적을 설계하는 연습이다.

1. GV-C. A·B·C 세 사람의 종료 효력은 모두 09:00이다. 각 사람에게 회수가 필요한 자원은 업무 앱·VPN·자료 저장소 세 개이며 예외는 없다. A의 앱·VPN은 09:30·09:45에 차단됐지만 저장소 기록은 없다. B는 순서대로 09:10·10:05·09:55, C는 10:00·10:00·09:59에 차단됐다. 같은 날 같은 시간기준이고 기록은 정확하다고 둔다. 이번 사람별 지표는 모든 해당 자원이 효력시각부터 60분 이내 회수됐다는 근거가 있어야 충족이다. 사람별 충족·위반·미확인과 확정 충족 비율을 구하라. 자원별 9건의 지표와 사람별 3명의 지표가 같은 값인가?
2. GV-X. 승인된 예외는 특정 오류자료 X의 읽기만 14:00 이상·16:00 미만에 허용하고 다른 자료·수정은 허용하지 않는다. 15:55에 이용자가 더 쓰겠다고 요청했지만 새 승인은 없다. 15:30의 X 읽기, 15:30의 X 수정, 15:30의 다른 자료 Y 읽기, 16:00의 X 읽기를 각각 판정하라. 실제 차단이 16:07이었다면 만료 이후 얼마 동안 접근이 남았는가? 이를 승인된 두 시간 예외에 자동으로 포함해도 되는가?
3. GV-R. 운영자 O가 회수를 실행했다. O가 자기 기록에 “독립 확인 완료”라고 서명했다. 별도 검토자 V는 이번 회수를 실행하지 않았지만 앱 로그만 보았고 VPN·저장소와 종료 대상 목록은 대조하지 않았다. 위임받지 않은 O는 승인자 부재를 이유로 자료 Y의 관리자 접근까지 예외 승인하려 한다. 세 주장 중 실제로 확인되는 것은 무엇이고, 각각 어떤 역할·범위의 부족을 보완해야 하는가? 이름이 다른 검토자가 있다는 사실만으로 모든 자원의 회수와 예외 승인 권한까지 입증되는가?

자원별 회수·예외 만료·실행과 검토의 역할 풀이

1. GV-C — 일부 회수와 사람별 완료를 구별한다. A는 앱 30분·VPN 45분의 회수 근거가 있지만 저장소가 미확인이다. 저장소가 실제로 미회수였다고 단정하거나 기록이 없으니 통과했다고 채우지 않는다. B는 앱 10분·VPN 65분·저장소 55분으로 VPN이 60분 기준을 5분 초과했으므로 위반이다. C는 60분·60분·59분으로 모두 “60분 이내”를 충족한다.

사람별 확정 충족은 C 한 명이므로 1/3≈33.33%, 위반 1명, 미확인 1명이다. 미확인 A를 분모에서 빼고 1/2로 보고하면 정한 대상 3명을 바꾸게 된다. 자원별로는 기준 충족 7건, 초과 1건, 미확인 1건이므로 확정 충족은 7/9≈77.78%다. 두 비율은 집계 단위가 달라 서로 바꾸어 쓰지 않는다. 어느 보고에도 대상·분모·시각의 시작점과 누락 자료를 남기고, A의 저장소 근거 확보와 B의 지연 원인을 각각 후속 조치로 연결한다.

2. GV-X — 시간과 자원·행동 조건을 모두 적용한다. 15:30의 X 읽기만 주어진 예외 범위 안이다. 같은 시각의 X 수정은 행동 범위 밖이고, Y 읽기는 자원 범위 밖이다. 16:00의 X 읽기는 끝 시각을 제외한다는 문제의 조건에 따라 허용하지 않는다. 15:55의 요청은 새 승인이 아니므로 만료를 바꾸지 않는다.

16:07 차단이라면 만료 후 접근이 남은 시간은 7분이다. 이는 통제 실패이며 승인된 예외 기간의 정상 연장이 아니다. 만료 시각의 차단 여부, 남은 접근과 실제 사용 여부를 구분해 기록하고 지정 책임자에게 보고한다. 추가 필요는 범위·위험·위임 권한·새 만료를 다시 검토해 승인 여부를 정한다. 실제 사용 기록이 없다는 사실도 접근이 제때 회수됐다는 증거는 아니다.

3. GV-R — 실행 독립성, 확인 범위, 승인 권한은 서로 다른 조건이다. O는 실행자이므로 자신의 서명을 이번 작업의 독립 확인으로 표현할 수 없다. V가 이번 회수를 실행하지 않았다는 역할 구별은 확인되지만, 앱만 본 것은 종료 목록과 세 자원 전체를 대조한 완료 근거가 아니다. V는 대상·자원별 기록과 누락·실패를 대조하고, 확인한 범위와 아직 미확인인 범위를 구분해야 한다.

O에게 예외 승인 권한이 위임되지 않았다면 승인자 부재만으로 Y 관리자 접근을 승인하지 않는다. 정한 대행자와 제한 상태를 따르고, 필요성·자료·행동·기간·위험을 위임된 결정권자에게 올린다. 작은 조직의 겸직은 실제 겸직과 보완 확인을 드러내야 하며 이름이나 서명만 늘려 독립성·완전성·권한을 한꺼번에 충족했다고 보고하지 않는다. 이 판단은 문제에 명시한 역할과 내부 기준의 적용이고 조직별 법적 의무나 승인 체계를 대신 정한 것이 아니다.