정보보호 거버넌스
더 많은 작업
- Information security governance; 정보보호 거버넌스(정보보안 거버넌스)
- 이사회와 최고경영진이 정보보호를 사업 목표에 맞춰 지시하고 감독하는 체계로, 권한과 책임의 배분, 전략적 연계, 법규 준수를 포함한다
- ISO/IEC 27014 : 정보보호 관련 의사결정 권한과 책임의 할당, 비지니스와 전략적연계, 관련 법과 규정의 준수를 위한 프로세스 및 실행체계 국제표준
| 프로세스 | 목적 |
|---|---|
| 평가
(Evaluate) |
|
| 지시
(Direct) |
|
| 모니터링
(Monitoring) |
|
| 의사소통
(Communicate) |
|
| 감사
(Assure) |
|
| 원리 | 설명 |
|---|---|
| 책임
(Responsibility) |
|
| 전략
(Strategy) |
|
| 획득
(Acquisition) |
|
| 성과
(Performance) |
|
| 준거
(Conformance) |
|
| 행동
(Human Behavior) |
|
정보보호 거버넌스는 이사회와 최고경영진이 정보보호의 방향을 정하고(지시), 성과와 위험을 감독하는(모니터링) 체계이다. 정보보호 관리(management)는 그 방향 아래에서 정책을 집행하고 통제를 운영하는 일이다. ISO/IEC 27014:2020은 거버넌스 주체가 조직의 정보보안 관련 프로세스를 평가(evaluate)·지시(direct)·모니터링(monitor)·의사소통(communicate)하는 체계로 정보보호 거버넌스를 설명한다. COBIT도 같은 방식으로 거버넌스(평가·지시·모니터링)와 관리(계획·구축·운영·모니터링)를 나눈다. NIST 사이버보안 프레임워크 2.0은 거버넌스(Govern) 기능을 새로 추가해 조직 상황, 위험 관리 전략, 역할과 책임, 정책, 감독, 공급망 위험 관리를 다른 다섯 기능의 바탕으로 두었다.
| 구분 | 거버넌스 | 관리 |
|---|---|---|
| 주체 | 이사회, 최고경영진 | CISO와 보안 조직, 각 부서 관리자 |
| 질문 | 올바른 일을 하고 있는가 | 일을 올바르게 하고 있는가 |
| 산출물 | 보안 전략, 위험 성향(risk appetite), 정책 승인, 예산·자원 배분, 책임 부여 | 표준·절차, 통제 구현, 운영 지표, 사고 대응 |
| 관점 | 사업 목표, 법적 책임, 이해관계자 신뢰 | 기술·운영 효율, 통제 효과 |
CISSP 시험은 이 구분을 자주 묻는다. 보안 책임의 최종 귀속처는 최고경영진이며, 경영진의 지원과 승인 없이 정책과 프로그램이 성공할 수 없다는 것이 출제 범위 1.3 전체의 전제이다.
CISSP 출제 범위 1.3은 "보안 기능을 사업 전략·목표·사명·목적에 맞추는 것"을 첫 항목으로 둔다. 보안은 그 자체가 목적이 아니라 조직이 사명을 달성하도록 돕는 기능이라는 뜻이다. 보안 조직이 사업과 따로 움직이면 통제가 과하거나 엉뚱한 곳에 집중되고, 경영진은 보안을 비용으로만 본다.
| 용어 | 의미 | 보안이 맞출 것 |
|---|---|---|
| 사명(mission) | 조직이 존재하는 이유 | 사명 수행에 핵심인 자산과 프로세스를 우선 보호한다. |
| 전략(strategy) | 사명을 이루기 위한 장기 방향 | 신규 사업, 클라우드 전환, 인수 같은 전략에 맞춰 보안 역량을 미리 준비한다. |
| 목표(goals) | 전략이 지향하는 상위 성과 | 고객 신뢰, 규제 준수, 서비스 연속성 같은 목표에 보안 목표를 연결한다. |
| 목적(objectives) | 측정 가능한 구체 목표 | 보안 목표를 측정 가능한 지표로 만들고 보안 지표로 보고한다. |
정렬을 실행하는 방법은 다음과 같다.
- 사업 영향 기준으로 우선순위 정하기: 업무 영향 분석과 위험 평가로 사업에 가장 중요한 자산부터 보호한다.
- 위험 성향과 허용 수준 합의: 경영진이 받아들일 수 있는 위험의 크기를 정하고 보안 투자를 그 기준으로 판단한다.
- 사업 언어로 보고: 취약점 개수보다 매출·서비스·법적 책임에 미치는 영향으로 설명한다.
- 보안 기능의 위치: CISO가 최고경영진과 이사회에 직접 보고할 수 있는 구조를 둔다. IT 부서 아래에만 두면 이해 상충이 생길 수 있다.
보안 계획은 시간 범위와 구체성에 따라 세 층으로 세운다.
| 계획 | 기간·성격 | 내용 예 | 승인·책임 |
|---|---|---|---|
| 전략 계획(strategic plan) | 장기, 비교적 안정적 | 보안 사명과 비전, 위험 관리 방향, 중장기 보안 로드맵, 조직 구조 | 최고경영진·이사회 |
| 전술 계획(tactical plan) | 중기, 전략을 실행 과제로 나눔 | 연간 사업 계획, 프로젝트 계획(예: 다중 인증 전사 도입), 예산, 교육 계획 | CISO, 부서장 |
| 운영 계획(operational plan) | 단기, 구체적이고 자주 갱신 | 일정과 담당자가 정해진 작업 절차, 패치 일정, 점검 계획 | 실무 관리자 |
전략 계획은 위험 평가 결과와 사업 변화에 따라 정기적으로 검토·갱신한다. 하위 계획은 항상 상위 계획을 근거로 해야 하며, 운영 계획에서 생긴 문제는 전술·전략 계획 검토에 다시 반영한다.
출제 범위 1.3은 조직 프로세스의 예로 인수(acquisition), 매각(divestiture), 거버넌스 위원회를 든다. 조직의 경계가 바뀌는 순간은 보안 위험이 크게 늘어나는 순간이다.
| 상황 | 주요 위험 | 보안 고려사항 |
|---|---|---|
| 인수·합병 | 피인수 조직의 알려지지 않은 취약점과 침해 이력, 서로 다른 정책·기술, 네트워크 연결 후 측면 이동, 규제 위반 책임 승계 | 인수 전 보안 실사(due diligence: 보안 평가, 사고 이력, 인증, 계약·규제 의무 확인), 네트워크 통합 전 격리와 평가, 계정·권한 통합, 정책 일원화 계획, 인수 계약에 보안 진술·보증 반영 |
| 매각·분할 | 넘겨줄 데이터와 남길 데이터가 섞임, 퇴사·이동 인력의 잔존 접근 권한, 지식재산 유출 | 데이터 분리와 이전 범위 확정, 접근 권한 회수, 공유 시스템 분리, 넘기지 않는 데이터의 반환·파기, 전환 기간 서비스 계약(TSA)에 보안 요구 명시 |
| 아웃소싱·클라우드 도입 | 통제 책임의 경계 불명확 | 계약과 SLA에 보안 요구, 감사권, 사고 통지 의무를 넣는다. |
| 거버넌스 위원회 | 위원회가 형식적이면 의사결정이 늦고 책임이 흐려짐 | 권한과 의사결정 범위를 문서로 정하고, 정기 회의와 회의록, 후속 조치 추적을 운영한다. |
| 위원회 | 구성 | 역할 |
|---|---|---|
| 이사회 또는 이사회 산하 위원회(감사위원회, 위험관리위원회) | 이사 | 보안 위험을 전사 위험의 하나로 감독하고, 경영진의 보안 보고를 받는다. |
| 정보보호 거버넌스 위원회(보안 운영위원회, security steering committee) | 최고경영진, CISO, 현업 부서장, 법무, 인사, 재무, IT, 개인정보 보호책임자 | 보안 전략과 정책 승인, 우선순위와 예산 조정, 위험 수용 결정, 부서 간 이해 조정 |
| 실무 협의체 | CISO와 각 부서 보안 담당자 | 정책 집행, 과제 진행 점검, 현장 이슈 공유 |
한국에서는 정보보호위원회나 정보보호 및 개인정보보호 위원회를 두어 같은 역할을 하는 조직이 많다.
| 역할 | 책임 |
|---|---|
| 이사회(board of directors) | 보안을 포함한 전사 위험을 감독한다. 보안 전략과 위험 성향을 승인하고 경영진에게 보고를 요구한다. 적정 주의 의무의 최상위 주체이다. |
| 최고경영자(CEO)와 최고경영진(senior management) | 보안에 대한 최종 책임을 진다. 정책을 승인하고 자원을 배분하며, 위험 수용을 결정한다. 책임(accountability)은 위임할 수 없다. |
| 정보보호 최고책임자(CISO) | 보안 프로그램을 설계·운영하고 경영진에게 위험을 보고한다. 정책·표준 수립, 보안 조직 운영, 사고 대응 총괄을 맡는다. |
| 데이터 소유자(data owner) | 보통 해당 정보를 쓰는 업무 부서의 관리자이다. 정보의 분류 등급을 정하고, 접근 권한 부여를 승인하며, 정보 보호에 대한 책임을 진다. |
| 데이터 관리자(data custodian) | 보통 IT·운영 부서이다. 소유자가 정한 기준에 따라 백업, 접근통제 설정, 패치처럼 일상적인 보호 업무를 수행한다. |
| 사용자(user) | 정책과 허용 가능한 사용 기준을 지키고, 보안 사고와 이상 징후를 보고한다. 보안 인식 교육의 대상이다. |
| 감사인(auditor) | 통제가 정책과 기준대로 설계·운영되는지 독립적으로 검증하고 결과를 경영진과 이사회(감사위원회)에 보고한다. 감사 대상 업무에서 독립되어 있어야 한다. |
데이터 소유자, 관리자, 처리자 같은 데이터 관련 역할은 데이터 관리 역할 문서에서 자세히 다룬다. 개인정보 처리에 대해서는 개인정보 보호책임자가 별도 책임을 진다.
- 보안의 최종 책임은 최고경영진에게 있다. 업무(responsibility)는 위임할 수 있지만 책임(accountability)은 위임할 수 없다.
- 보안 프로그램이 실패하는 가장 흔한 원인은 경영진 지원 부족이다. "가장 먼저 할 일"로는 경영진의 승인과 지원 확보를 고른다.
- 보안은 사업 목표를 돕기 위해 존재한다. 사업을 막는 통제보다 위험 성향에 맞는 통제를 고르는 선택지가 정답에 가깝다.
- 데이터의 분류 등급을 정하는 사람은 데이터 소유자이다. 관리자(custodian)나 CISO가 아니다.
- 인수·합병에서는 네트워크를 연결하기 전에 피인수 조직의 보안 상태를 평가한다. 매각에서는 접근 권한 회수와 데이터 분리가 핵심이다.
- 감사인은 독립성이 생명이다. 자기가 설계하거나 운영한 통제를 스스로 감사하면 안 된다.