준수 관리를 통해 조직이 적용되는 법률, 규정, 내부 정책을 따르고, 이를 충족하고 있다는 증거를 문서화할 수 있습니다.
준수 관리란?
조직이 관련 법률, 규정 및 내부 정책을 준수하는지 확인합니다.
핵심 사항
- 준수 관리는 책임, 보호 조치, 증거를 함께 연결해 조직이 외부 요구 사항과 내부 규칙을 잘 따르도록 유지합니다.
- 탄탄한 프로그램은 명확한 정책, 반복 가능한 워크플로, 매핑된 표준, 잘 정의된 컨트롤 책임, 정리된 증거에 의존합니다.
- 준수 위험을 관리한다는 것은 발생할 가능성이 큰 격차를 찾아 영향도에 따라 우선순위를 정하고, 가장 중요한 부분부터 수정하며, 시간이 지나도 컨트롤이 효과적인지 추적하는 것을 뜻합니다.
- 지속적인 모니터링, 실용적인 지표, 체계적인 개선 주기는 팀이 진행 상황을 보고하고, 평가를 수행하고, 감사 대응 준비 상태를 유지하는 데 도움이 됩니다.
준수 관리란?
주요 목표
1. 위험 감소. 준수 관리는 컨트롤이 제대로 작동하는지 계속 확인하고, 새로운 위험을 만들 수 있는 변화를 찾아내며 위험을 줄이는 데 도움이 됩니다. 이는 많은 조직에서 주기적 검토에서 더 빈번한 모니터링으로 이동하는 이유 중 하나입니다.
실제로 위험을 줄이는 모습은 다음과 같습니다:
- 감사 시간뿐만 아니라 시간 경과에 따른 요구 사항 및 컨트롤 상태를 추적합니다.
- 또한 격차를 일찍 발견한 뒤 정정 작업을 문서화합니다.
2. 법적 준수. 준수 관리는 조직이 의무를 이해하고 규칙이 바뀔 때도 계속 따라갈 수 있도록 도와줍니다. 준수 관리 시스템용 ISO 지침과 같은 표준은 준수 의무를 다루는 시스템을 구축, 유지, 평가, 개선하는 데 중점을 둡니다.
일반적인 결과는 다음과 같습니다.
- 요구 사항을 반영한 정책과 절차.
- 감사, 증명 또는 내부 검토를 지원하는 증거.
3. 신뢰 구축. 신뢰는 일관성과 투명성에서 옵니다. 고객, 파트너, 규제 기관은 데이터가 정책에 따라 처리되고 컨트롤이 마련되어 있는지 알고 싶어 하는 경우가 많습니다. 신뢰를 보안, 개인 정보 보호, 준수, 투명성의 관점에서 구축하는 것이 중요하여, 이는 준수 관리가 지원하려는 목표와도 맞닿아 있습니다.
보여줄 수 있어야 하는 신뢰 신호는 다음과 같습니다:
- 명확한 책임과 감독.
- 질문이 생겼을 때 생성할 수 있는 문서.
중요한 이유
비즈니스 위험
준수 업무가 비공식적이거나 산발적이면 팀이 요구 사항을 놓치거나, 일을 중복하거나, 금방 쓸모없어지는 일회성 점검에 의존할 수 있습니다. 연간 감사 같은 특정 시점 평가도 빠르게 오래된 것이 되어, 다음 검토 전까지 공백이 생길 수 있습니다.
다음과 같은 경우 문제가 생길 수 있습니다.
- 팀 간에 충돌하는 정책이나 일관되지 않은 컨트롤입니다.
- 감사나 조사 중 대응을 늦추는 수동 보고와 증거 수집.
법률 및 규정 노출
규정은 데이터의 관리, 저장, 전송 방식을 정하는 경우가 많아, 많은 조직에서 준수를 리더십 차원의 주제로 만듭니다. 체계적인 준수 접근 방식은 팀이 요구 사항을 따라가고 의무를 어떻게 충족하는지 보여 주는 데 도움이 됩니다.
다음을 사용하여 노출을 줄일 수 있습니다.
- 의무 및 매핑된 컨트롤의 명확한 인벤토리.
- 정기적인 모니터링과 문제 발견 시 문서화된 후속 조치.
신뢰 하락
기본적인 질문에 빠르게 답할 수 있으면 신뢰를 더 쉽게 유지할 수 있습니다.
- 어떤 규칙이 적용되나요?
- 어떤 컨트롤이 마련되어 있나요?
- 어떤 증거가 작동 중임을 보여주나요?
준수 관리는 조사나 법적 조치가 발생해 데이터와 기록 제출이 요구될 때도 이러한 대응 준비를 지원합니다.
준수 관리의 핵심 구성 요소
강력한 준수 관리 프로그램은 명확한 기대 사항, 반복 가능한 작업 방식, 일상적인 보호 조치, 그리고 모든 것을 정상적으로 유지하는 사람과 도구로 구성됩니다.
정책
정책은 조직이 무엇을 해야 하는지, 그리고 어떤 모습이어야 준수 상태인지 명확히 정합니다. 정책은 의무를 사람들이 따를 수 있는 명확한 기대 사항으로 바꿉니다.
일반적인 정책 영역에는 다음이 포함됩니다.
- 데이터 처리 및 액세스 규칙.
- 감사를 위한 기록, 보존, 증거 기대 사항.
- 문제가 생겼을 때의 보고 및 상향 보고 경로입니다.
프로세스
프로세스는 팀이 요구 사항을 일관되게 충족하기 위해 따르는 단계별 절차입니다. 검토 주기, 승인, 테스트, 문제 후속 조치가 여기에 포함됩니다.
준수 프로세스의 예는 다음과 같습니다:
- 요구 사항이 비즈니스 워크플로에 반영되었는지 확인하기 위한 정기 검토.
- 연간 점검에만 그치지 않고 컨트롤 상태를 지속적으로 모니터링.
- 격차가 발견되었을 때의 정정 작업 워크플로.
표준
표준과 프레임워크는 기준으로 삼아 비교하는 참조 집합처럼 작동합니다. 이는 규정, 업계 표준, 내부 요구 사항에서 나올 수 있습니다.
표준을 구성하는 실용적인 방법은 이를 그룹화하고 추적할 수 있는 요구 사항 템플릿으로 보는 것입니다. 예를 들어, 평가란 특정 규정, 표준, 정책에서 나온 컨트롤을 묶은 것입니다.
컨트롤
컨트롤은 요구 사항이 충족되고 있음을 보여 주는 구체적인 점검과 실행 방식입니다. 또한 시스템 구성, 조직 프로세스, 지정된 책임과도 연결됩니다.
유용한 컨트롤 범주는 다음과 같습니다.
- 클라우드 공급자가 처리하는 서비스 공급자 관리 컨트롤
- 팀에서 처리하는 조직 관리 컨트롤
- 책임이 분할되는 공유 컨트롤
역할 및 책임
준수 관리는 책임 주체가 분명할 때 가장 잘 작동합니다. 성공적인 프로그램에 필요한 두 가지 역할 그룹은 리더십 감독과 일상적인 준수 책임입니다.
이사회 및 리더십 감독
리더십은 기대 사항을 정하고, 정책 문구를 채택하고, 권한을 부여하고, 기능에 필요한 자원을 확보하고, 준수 활동과 발견 사항에 대한 정기 보고를 받는 책임이 있습니다.
감독에 보통 포함되는 항목은 다음과 같습니다.
- 명확한 준수 기대치와 정책 승인.
- 조치를 취할 권한이 있는 명명된 소유자(준수 관리자 또는 위원회).
- 감사, 문제, 정정 작업에 대한 정기 보고.
준수 관리자
이 역할은 정책과 절차, 교육, 준수 검토, 새로운 문제 추적, 불만 대응, 결과 보고, 정정 작업 이행을 책임집니다.
확장 가능한 간단한 책임 분담은 다음과 같습니다.
- 컨트롤 책임자는 특정 컨트롤을 유지하고 증거를 제공합니다.
- 준수 팀은 구조를 정하고, 평가를 실행하고, 격차를 추적하고, 감사를 지원합니다.
- 리더십은 진행 상황을 검토하고, 장애 요소를 제거하고, 우선순위를 승인합니다.
도구 및 시스템
스프레드시트는 작은 규모에서는 사용할 수 있지만, 대부분의 조직은 요구 사항, 컨트롤, 증거, 소유권을 한곳에서 관리하는 도구를 사용합니다. 특히 여러 클라우드와 비즈니스 단위에 걸쳐 관리할 때 더 그렇습니다.
준수 관리 소프트웨어에서 찾을 내용
중복을 줄이고 작업을 최신 상태로 유지하는 데 도움이 되는 실용적인 기능은 다음과 같습니다.
- 요구 사항과 컨트롤을 재사용할 수 있는 체크리스트인 평가.
- 하나의 컨트롤을 여러 표준에 연결해 반복 작업을 줄이는 컨트롤 매핑.
- 시간에 따라 컨트롤 상태를 확인할 수 있는 모니터링.
- 아티팩트, 메모 및 상태를 저장할 단일 위치가 있는증거 관리.
- 할당, 마감일, 진행 상황 추적을 위한 워크플로 및 작업 관리.
- 위험 기반 보기를 제공하여 개선 작업에 집중하는 데 도움이 되는 점수 매기기.
계획 수립
조직에서 준수 관리를 구축할 때는 다음 질문에 대한 답을 찾아보세요.
- 우리의 의무에 맞는 문서화된 정책이 있나요?
- 핵심 프로세스가 문서화되어 있나요?
- 팀이 같은 작업을 반복하지 않도록 컨트롤이 표준에 매핑되어 있나요?
- 감사나 조사가 생겼을 때 증거를 빠르게 제출할 수 있나요?
- 책임과 보고 역할이 명확한가요?
준수 위험을 이해하고 관리하는 방법
준수 위험이란?
준수 위험은 조직이 법, 규정, 표준, 내부 정책을 충족하지 못할 가능성이며, 결과적으로 그 결과에 직면할 가능성이 있습니다. 준수 위험 관리는 이런 위험을 일찍 찾아내고, 우선순위를 정하고, 적절한 컨트롤이 갖춰져 있고 제대로 작동하는지 추적하는 일입니다.
계획해야 하는 준수 위험 유형
특히 요구 사항이 변경되거나 데이터가 환경 간에 이동하는 경우 다양한 위험이 빠르게 누적될 수 있습니다. 일반적인 위험 범주는 다음과 같습니다:
- 법적: 요구 사항을 충족하지 못했을 때 법적 조치나 집행 대상이 될 수 있습니다.
- 재무적: 벌금, 과태료, 그리고 대응에 필요한 후속 작업에서 비용이 발생합니다.
- 평판적: 문제가 드러나면 고객 신뢰가 떨어지고 부정적인 평판이 생길 수 있습니다.
- 데이터 침해: 필요한 보안 관행이 없거나 일관되지 않으면 중요한 데이터가 노출될 가능성이 더 높아집니다.
준수 위험 평가 방법
탄탄한 평가 프로세스는 구조화되어 있고, 반복 가능하며, 실제 업무와 가까운 사람들을 통해 업데이트됩니다. 접근 방법은 다음과 같습니다.
1. 구조화된 위험 평가 프로세스를 사용합니다. 즉흥적인 판단에 의존하지 말고, 준수 위험을 측정하고 우선순위를 정하는 명확한 방법을 만듭니다.
2. 올바른 이해 관계자와 협력합니다. 위험 소유자를 정하고, 심각도 수준을 이해하는 해당 분야 전문가와 협업합니다. 관련 리더와 연결하고 외부 위험 원천도 고려합니다.
3. 영향과 발생 가능성을 예측합니다. 위험 영향과 가능성을 계산해 본질적 위험을 결정합니다.
4. 컨트롤 환경을 고려합니다. 기존 컨트롤이 어떤 영향을 주는지 고려해 잔여 위험을 결정하고 순위를 매깁니다.
5. 결과를 바탕으로 다음 단계를 정합니다. 리더십의 의견을 반영해 평가를 업데이트하면, 더 높은 위험 영역에 계속 집중하고 정책, 절차, 컨트롤 개선의 우선순위를 정할 수 있습니다.
6. 한 번만 하지 말고, 일정에 맞춰 반복하세요. 정기적인 평가와 감사는 격차를 찾고 요구 사항 준수 여부를 확인하는 데 도움이 됩니다.
시간이 지나면서 준수 위험을 측정하고 추적하는 방법
보이지 않는 것은 관리할 수 없습니다. 측정은 복잡할 필요가 없습니다. 추세를 파악하고 작업에 집중하는 데 도움이 되는 작은 신호 집합부터 시작하세요.
프로그램의 투명성을 지켜 주는 지표
실행과 연결되고 위험이 줄어드는지 보여 주는 지표를 선택하세요. 예를 들면 다음과 같습니다.
- 심각도별 이슈. 중요한 격차가 가장 먼저 보이게 합니다.
- 수정까지 걸리는 시간. 즉, 격차가 얼마나 빨리 해소되는지.
- 감사 결과와 정책 예외는 어떤 문제가 계속 반복되는지, 그리고 그 이유가 무엇인지 보여 줍니다.
- 교육 완료 여부. 사람들이 지침을 받았는지 보여 주는 기본 지표입니다.
- 보고 및 인사이트에 사용되는 일관된 지표인 위험 프로필을 설명하는 KPI(핵심 성과 지표)입니다.
점수와 진행 상황 보기
일부 준수 도구는 개선 작업 완료와 연결된 위험 기반 점수로 진행 상황을 추적하고, 다음에 무엇에 주의를 기울여야 하는지 보여 줍니다.
- 위험 기반 준수 점수는 개선 작업 완료 상태를 추적하고 다음에 수행할 작업에 집중하도록 유도해 진행 상황을 측정할 수 있습니다.
- 점수는 작업을 어떻게 분류하느냐에 따라 상대적인 영향도를 반영할 수 있습니다. 예를 들어 예방, 탐지, 시정 작업이 있습니다.
검토에 사용할 간단한 위험 확인 질문
- 지금 가장 높은 위험이 무엇이고, 누가 그 위험을 책임지는지 현재 보기로 확인할 수 있나요?
- 영향과 가능성을 기준으로 위험을 순위 매기고, 컨트롤 성과에 따라 업데이트하고 있나요?
심각도, 수정까지 걸리는 시간, 예외 같은 소수의 지표를 추적하고, 그 결과에 따라 조치하고 있나요?
보안 준수 관리
보안 준수 관리는 보안 작업과 준수 의무가 만나는 지점에 있습니다. 실무에서는 책임지는 규칙을 충족하는 방식으로 데이터와 시스템을 보호하고, 그다음 기준선, 모니터링, 기록으로 이를 증명하는 것을 뜻합니다.
보안과 규정 준수가 만나는 지점
대부분의 규정 및 표준에는 보안 기대치가 포함됩니다. 일반적인 요구 사항에는 보통 다음이 포함됩니다.
- 데이터 처리: 중요한 데이터의 수집과 처리 방식에 대한 명확한 규칙입니다.
- 보안 저장 및 액세스: 무단 노출을 줄이기 위한 암호화와 제어된 액세스입니다.
- 보고 및 감사: 정기 점검, 감사 지원, 필요한 경우 침해 알림.
주요 프레임워크 및 규정
한 번에 여러 프레임워크에 컨트롤을 매핑해야 할 수 있습니다.
세 가지 일반적인 표준은 다음과 같습니다.
- GDPR(일반 데이터 보호 규정): 개인 정보 보호와 개인 데이터 보호에 초점을 맞춘 EU 법적 프레임워크입니다. 준수는 GDPR 준수를 따르고 개인 정보에 대한 더 강한 통제를 지원하는 것입니다.
- HIPAA(Health Insurance Portability and Accountability Act): 미국의 의료 법률과 규정이며, PHI(민감 건강 정보)의 사용, 공개, 보호에 대한 요구 사항을 정합니다. 전자 PHI에 대한 보안 규칙 보호 조치도 포함됩니다.
- PCI DSS(지불 카드 업계 보안 표준): 신용 카드 데이터의 강력한 제어를 통해 사기 행위를 줄이기 위해 설계된 카드 소유자 데이터를 저장, 처리 또는 전송하는 조직을 위한 글로벌 정보 보안 표준입니다.
보안 준수 모범 사례
1. 보안 기준부터 시작합니다. 팀이 조직에서 좋은 구성으로 간주하는 사항을 알 수 있도록 주요 시스템에 대해 정의된 기준을 사용합니다. 지정한 값에서 벗어난 설정을 모니터링하고 격차를 수정합니다.
2. 강력한 액세스 및 암호화 컨트롤을 적용합니다. 중요한 데이터의 무단 노출을 줄이기 위해 제어된 액세스 및 암호화 적용
3. 정기적인 평가 및 감사를 실행합니다. 정기적으로 감사와 평가를 수행해 갭을 찾고, 컨트롤이 여전히 요구 사항에 맞는지 확인하세요.
4. 사용자에게 데이터 처리에 대해 교육합니다. 보안 규정 준수는 일상적인 결정에 달려 있으므로, 교육과 명확한 지침이 중요합니다.
5. 검토에 필요한 문서를 미리 준비해 두세요. 감사 및 규정 준수 검토를 지원하는 레코드를 유지 관리하므로 요청 시 신속하게 응답할 수 있습니다.
6. 모니터링 및 워크플로를 사용하여 최신 상태를 유지합니다. 특정 시점 검토에만 의존하지 말고, 지속적인 모니터링, 추적, 정정 작업을 지원하는 도구와 프로세스를 사용합니다.
준수 관리 프로그램 구현
실용적인 준수 관리 프로그램은 반복 가능한 주기를 중심으로 구성됩니다. 많은 팀은 업무를 정리하고 검토와 감사에서 진행 상황을 더 쉽게 보여 주기 위해 5단계 흐름을 사용합니다.
1. 평가. 사용자에게 적용되는 항목과 이미 적용된 항목을 식별하는 구조적 평가부터 시작합니다. 좋은 평가 프로세스에는 명확한 방법, 적절한 이해 관계자의 의견, 영향과 가능성을 예측하는 방법이 포함됩니다.
이 단계에서는 다음을 확인하세요.
- 즉흥적인 판단 대신 체계적인 내부 위험 평가 프로세스를 사용합니다.
- 위험 소유자를 정의하고, 심각도 수준을 이해하는 해당 분야 전문가와 협업합니다.
- 영향 및 가능성을 예측하여 내재된 위험을 파악합니다.
2. 격차 분석. 다음으로, 요구 사항을 현재의 컨트롤 및 문서와 비교해 차이를 찾으세요. 감사 준비 작업에서는 “우선순위가 지정된 권장 사항”을 사용하여 “컨트롤 격차 분석”으로 설명되는 경우가 많습니다.”
격차 분석에서 만들 수 있는 항목은 다음과 같습니다.
- 특정 컨트롤이나 요구 사항과 연결된 격차 목록입니다.
- 이러한 격차를 해결하기 위한 우선순위가 지정된 권장 사항입니다.
3. 수정. 격차를 실행 계획으로 바꿉니다. 수정 작업은 보통 실행 계획과 추적으로 관리하여, 상태 보고를 통해 팀이 무엇이 진행 중인지, 무엇이 멈춰 있는지 볼 수 있습니다.
다음을 수행하여 수정을 관리 가능한 상태로 유지합니다.
- 발견 사항에 대한 수정 실행 계획 만들기.
- 실행 계획 상태를 추적하고 보고.
- 소유자와 마감일이 명확해지도록 워크플로와 작업 할당 사용.
4. 모니터링. 수정 사항이 적용되면 모니터링하여 컨트롤이 일관성을 유지하는지 확인합니다. 모니터링은 보통 두 가지에 집중합니다. 제어가 제대로 작동하는지, 그리고 설정이 기준에서 벗어나 “드리프트”하는지입니다.
실제로는 다음을 하게 됩니다.
- 완화 조치의 효과를 모니터링하고 문제가 나타나면 조치합니다.
- 연간 검토 때만이 아니라 시간에 따라 제어 상태와 보안 태세를 모니터링합니다.
- 기준 모니터링을 사용해 지정한 값에서 벗어난 구성 드리프트를 찾아냅니다.
SIEM(보안 정보 및 이벤트 관리) 솔루션과 같은 포괄적인 사이버 보안 플랫폼이 있으면 조직의 모니터링 및 위협 방지를 지원할 수 있습니다.
5. 지속적인 개선. 모니터링과 감사에서 확인한 내용을 바탕으로 새로 고치고 개선할 때 준수 프로그램은 계속 유용합니다. 여기에는 리더십의 의견을 반영해 사이버 보안 위험 평가를 업데이트하고, 개선 사항의 우선순위를 정하고, 요구 사항이 바뀌면 프로그램을 조정하는 작업이 포함됩니다.
노이즈를 추가하지 않고 계속 개선하는 방법은 다음과 같습니다.
- 리더십과 함께 위험 평가를 업데이트해 고위험 영역을 식별하고 정책, 절차, 컨트롤의 개선 우선순위를 정합니다.
- 규제 업데이트에 대한 인사이트를 반영해 프로그램을 조정합니다.
- 공통 컨트롤 매핑 및 재사용 가능한 평가를 사용하여 요구 사항이 확장되어도 중복을 줄입니다.
위험 및 심각도에 따라 작업 우선순위 지정
우선순위를 정하는 간단한 방법은 먼저 가장 위험이 크고 심각도가 높은 항목에 집중하는 것입니다. 목표는 노출을 가장 많이 줄이는 곳에 노력을 집중하는 것입니다.
영향 및 가능성으로 시작
- 영향과 가능성을 계산해 고유 위험을 정한 다음, 컨트롤 환경을 고려해 잔여 위험, 즉 남아 있는 위험의 순위를 매깁니다.
- 낮은 위험 영역보다 높은 위험 영역에 완화 자원을 우선 배정합니다.
몇 가지 신호를 사용하여 작업 순위 지정 및 추적
가장 시급한 것과 개선 중인지 보여 주는 측정 항목을 선택하세요. 예를 들면 다음과 같습니다.
- 중요한 격차가 가장 먼저 보이게 하는 심각도별 이슈.
- 격차가 얼마나 빨리 해결되는지 확인하도록 수정까지 걸리는 시간.
- 결과 및 정책 예외를 감사하여 반복 문제를 파악합니다.
- 교육 완료는 지침이 사람들에게 도달했음을 나타내는 기본 지표입니다.
사용할 수 있다면 위험 기반 점수 사용
일부 준수 도구는 개선 작업 완료와 연결된 위험 기반 점수로 진행 상황을 추적하고, 다음에 무엇에 주의를 기울여야 하는지 보여 줍니다. 일부 준수 시스템에서는 작업(예: 예방, 조사 또는 수정)을 분류할 수 있으며, 이 분류는 진행률 점수 매기기 방법에 영향을 줄 수 있습니다.
자동화와 지속적인 규정 준수
자동화와 지속적인 준수는 환경이 바뀌어도 요구 사항, 컨트롤, 증거를 최신 상태로 유지하는 데 도움이 됩니다. 준수는 주기적인 이벤트로 다루는 대신, 관리하고 검증하기 쉬운 작은 검사와 업데이트가 꾸준히 이어지는 흐름으로 다룹니다.
주요 요인
자동화가 더 실용적이고, 이제는 더 필요해진 데에는 몇 가지 변화가 있습니다.
- 다중 클라우드 및 SaaS 증가: 데이터 및 워크로드가 더 많은 서비스 및 공급업체 간에 이동하므로 컨트롤을 적용하고 추적해야 하는 위치 수가 증가합니다.
- 빠르게 바뀌는 규정: 요구 사항은 계속 바뀌며, 작년에 적절했던 내용이 올해는 최신이 아닐 수 있습니다. 특히 개인 정보 보호와 보안 기대치에서 그렇습니다.
- 분산된 책임: 컨트롤 담당자가 서로 다른 팀(클라우드 보안, IT, 엔지니어링, 법무, HR)에 있는 경우가 많으므로 조율과 일관된 증거 수집이 더 중요합니다.
찾아야 할 기능
자동화와 지속적 준수를 살펴볼 때는, 책임은 유지하면서 수작업은 줄여 주는 기능에 집중합니다.
재사용 가능한 컨트롤 집합을 사용하는 표준화된 평가부터 시작합니다. 이렇게 하면 팀 간 일관성을 유지할 수 있고, 시간에 따른 결과 비교도 쉬워집니다.
- 표준화된 평가: 매 주기마다 같은 평가 구조를 사용해 진행 상황과 회귀를 쉽게 확인하세요.
- 재사용 가능한 컨트롤 집합: 새 요구 사항이 나올 때마다 체크리스트를 다시 쓰지 말고, 핵심 컨트롤 집합을 재사용하세요.
일반적인 컨트롤 매핑
공통 컨트롤 매핑은 하나의 컨트롤을 여러 요구 사항에 연결하여 프레임워크 간 중복을 줄입니다.
실제 사례는 다음과 같습니다.
- 하나의 액세스 제어 방식은 예를 들어 “중요한 데이터에 대한 제한된 액세스” 같은 방식으로 여러 표준의 일부 요구 사항을 충족할 수 있습니다.
- 여러 위치에서 동일한 증명을 다시 만드는 대신 다른 프레임워크에 대해 보고할 때 해당 컨트롤에 대해 수집된 증거를 다시 사용할 수 있습니다.
- 컨트롤(또는 해당 문서)에 대한 업데이트는 컨트롤에 종속된 모든 프레임워크로 전달됩니다.
지속적인 모니터링
지속적 모니터링은 컨트롤 상태와 준수 태세에 집중합니다. 컨트롤이 마련되어 있는지, 기대한 대로 계속 작동하는지, 그리고 후속 조치가 필요한 변경 사항이 있는지 확인합니다.
다음은 팀에서 추적하는 일반적인 모니터링 신호입니다.
- 컨트롤 상태: 통과, 실패, 아직 평가 전 같은 항목이 포함될 수 있습니다.
- 변경 표시: 구성 변경, 정책 업데이트, 새 시스템은 새로 실행해야 하는 검사를 만들 수 있습니다.
- 예외 패턴: 반복되는 예외는 다시 설계하거나 더 강한 책임 소재가 필요한 통제를 보여 줄 수 있습니다.
중앙 집중식 증거 관리
증거를 계획하지 않으면 받은 편지함, 공유 드라이브 및 티켓 스레드에 분산되는 경향이 있습니다. 중앙 집중식 증거 관리는 아티팩트들을 한 곳에 보관하고 올바른 컨트롤, 소유자 및 검토 주기에 연결합니다.
여기서 워크플로와 작업 할당이 중요한 이유는, 고쳐야 하는 일을 추적 가능한 작업으로 바꿔 주기 때문입니다.
- 워크플로: 검토, 승인, 최종 확인을 위한 일관된 경로입니다.
- 작업 할당: 컨트롤이나 평가와 연결된 명확한 담당자, 기한, 진행 추적입니다.
- 증거 준비 상태: “어떤 증거가 있나요?”라는 질문에 빠르게 답하는 방법입니다. 그리고 “최신 상태인가요?”
위험 기반 점수 매기기 또는 완성도 모델
위험 기반 점수와 완성도 모델은 무엇부터 고쳐야 할지 팀이 정하는 데 도움이 됩니다. 목표는 모든 작은 공백을 한 번에 다 추적하는 것이 아니며, 가장 많이 노출되는 문제에 대한 수정에 초점을 맞추는 것입니다.
이렇게 하면 다음을 통해 수정의 우선순위를 정할 수 있습니다.
- 영향을 기준으로 작업 순위 정하기: 위험이 가장 높은 격차를 대기열의 맨 위에 둡니다.
- 시간에 따른 추적 개선: 수정 작업을 완료할 때 점수 또는 완성도 수준이 보기 전후에 명확하게 표시됩니다.
- 일관성 있는 의사 결정 지원: 팀에서 동일한 점수 매기기 또는 완성도 모델을 사용하는 경우 우선순위가 덜 주관적이고 설명하기 쉬워집니다.
평가, 모니터링, 증거 수집을 자동화하기 시작하면, 다음 단계는 무엇을 추적하고 어떻게 진행 상황을 보고할지 정하는 일입니다. 그래야 리더가 위험 추세를 보고, 수정 우선순위를 정하고, 시간이 지나며 결과를 보여 줄 수 있습니다.
준수 관리 측정 및 보고
측정과 보고는 일상적인 준수 작업을 진행 상황, 격차, 우선순위가 한눈에 보이는 모습으로 바꿔 줍니다. 그래서 팀은 중요한 일에 집중하고 자신 있게 상태를 전달할 수 있습니다.
프로그램 KPI
프로그램 KPI를 사용해 컨트롤이 얼마나 잘 빌드되고, 채택되고, 검증되는지, 그리고 문제가 어디에서 반복되는지 추적합니다.
검사 및 진행률 제어
- 설계된 컨트롤의 백분율 또는 정의된 컨트롤이 있는 요구 사항 수.
- 구현된 컨트롤의 백분율 또는 현재 위치 및 작동 중인 컨트롤 수.
- 테스트된 컨트롤 백분율 또는 테스트를 통해 검증된 컨트롤이 얼마나 되는지 나타냅니다.
문제 추적기
- 심각도별 문제는 가장 큰 영향을 주는 격차가 맨 위로 올라오는 것을 보여 줍니다.
- 수정 시간은 발견된 격차가 얼마나 빨리 해결되는지 보여 줍니다.
- 결과 감사는 반복되는 문제 영역을 강조합니다.
- 정책 예외는 팀이 표준 요구 사항에서 밖에서 일하고 있는 부분을 보여 줍니다.
사람 및 프로세스 신호
- 교육 이수는 필요한 안내가 올바른 대상에게 전달되었는지 확인해 줍니다.
KPI를 계속 사용할 수 있는 빠른 방법
- 작은 KPI 집합을 일관되게 추적하고 정기적으로 검토하여 스냅샷만이 아니라 추세가 보이도록 합니다.
- 팀이 에스컬레이션 시기를 알 수 있도록 KPI를 기본 임계값(예: “너무 많은” 심각도 문제로 계산)과 페어링합니다.
결과 지표
결과 지표는 작업을 결과와 연결합니다. 이런 질문에 답하는 데 도움이 됩니다. “준수 프로그램이 노출을 줄이고 준비 상태를 높이고 있나요?”
위험 및 준비 상태 결과
- 위험 노출 감소, 시간이 지나며 심각도가 높은 문제와 반복되는 결과가 줄어드는 것을 보여 줍니다.
- 기한 내 증명, 조직이 공식 보고 기한을 맞출 수 있음을 보여 줍니다.
효율성 결과
- 감사에 소요된 시간 절감은 증거가 잘 정리되어 있고 쉽게 찾을 수 있을 때를 설명합니다.
추세 결과
- 위험 및 완성도 점수의 추세선은 전체적인 태세가 시간에 따라 개선되는지 보여 줍니다.
리더십 가시성
- 리더십 대시보드는 진행 상황을 요약하고, 가장 큰 격차를 강조하며, 해결 작업이 어디에 집중되어 있는지 보여 줍니다.
흔한 과제와 이를 피하는 방법
잘 실행되는 프로그램도 요구 사항이 늘고, 시스템이 환경에 분산되고, 소유권이 흐리게 표시되면 중단될 수 있습니다. 대개 해결책은 중복 작업을 줄이고, 증거 관리 습관을 더 엄격하게 만들고, 새 도구에 대한 명확한 보호책을 세우는 것입니다.
프레임워크가 너무 많아지고 중복 작업이 늘어남
문제: Teams에서 같은 요구 사항을 여러 곳에서 추적하고, 서로 다른 규정에 맞게 비슷한 컨트롤을 다시 작성하며, 겹치는 체크리스트를 맞춰 보느라 시간을 씁니다.
방지 방법: 규정 전반에서 공통 컨트롤 매핑을 사용하세요.
실용적인 방법은 하나의 컨트롤을 여러 프레임워크에 매핑해, 새 표준을 추가할 때마다 같은 작업을 반복하지 않는 것입니다.
- 공유 컨트롤 라이브러리를 구축합니다. 여러 요구 사항(액세스 제어, 로깅, 암호화, 보존, 인시던트 대응)에 표시되는 핵심 컨트롤 집합을 유지합니다.
- 한 번 매핑하고, 자주 재사용하세요. 각 컨트롤을 해당 컨트롤이 필요한 모든 규정/표준에 연결한 다음, 검토와 감사 때 그 매핑을 참조하세요.
- 모든 체크리스트가 아니라 컨트롤을 업데이트하세요. 컨트롤이 바뀌면 여러 사본을 각각 수정하지 말고, 한 번의 업데이트가 매핑된 요구 사항에 모두 반영되게 하세요.
빠른 확인: 두 Teams가 같은 컨트롤을 서로 다른 표현으로 따로 관리한다면, 중복 비용을 치르고 있는 것입니다.
증거 관리가 엉망인 상태
문제: 증거가 채팅, 이메일 스레드, 티켓 댓글, 공유 드라이브에 흩어집니다. 감사 요청이 들어오면 사람들은 아티팩트를 찾아 컨텍스트를 다시 만듭니다.
방지하는 방법: 아티팩트를 중앙 집중화하고 컨트롤 소유자를 할당합니다.
증거 정보 중앙 집중화는 모든 컨트롤에 “좋은 증거”가 어떤 모습인지, 어디에 있는지를 알고 있는 명명된 소유자가 있을 때 가장 효과적입니다.
- 증거를 한곳에. 아티팩트, 메모 및 상태 업데이트를 컨트롤에 연결된 단일 위치에 저장합니다. (많은 도구는 개선 작업 안에서 증거를 첨부하고 상태를 추적하는 기능을 지원합니다.)
- 명확한 소유권. 아티팩트를 최신 상태로 유지하고 증거 요청에 응답하는 컨트롤 소유자를 할당합니다.
- “최소 실행 가능 증거”를 정의합니다. 각 컨트롤에 대해 표시해야 하는 내용을 문서화합니다.
- 컨트롤이란 무엇인지,
- 누가 소유하는지,
- 어떻게 확인하는지,
- 어떤 증거를 수집하는지, 그리고
- 얼마나 자주 새로 고치는지.
- 워크플로와 작업을 사용합니다. 요청, 기한, 검토 단계를 추적해서 증거 수집이 기억에만 의존하지 않도록 하세요.
도움이 되는 간단한 습관 하나: 두 달 뒤에도 증거를 쉽게 찾을 수 없다면, 올바른 위치에 저장된 것이 아닙니다.
다중 클라우드 복잡성
문제: 서로 다른 클라우드 플랫폼은 기본값, 로깅 패턴, 보안 설정이 각각 다릅니다. 서비스가 업데이트되고 팀이 로컬 변경을 하면서 컨트롤은 시간이 지나며 조금씩 달라집니다.
방지 방법: 표준화된 정책-코드와 보안 상태 기준선을 설정하세요.
안정적인 접근 방식은 일관된 규칙에 대한 정책 코드와 모든 곳에서 예상하는 최소 구성 상태에 대한 태세 기준의 두 계층으로 기대치를 표준화하는 것입니다.
- 반복성을 위한 코드로서의 정책. 환경에서 일관되게 적용할 수 있는 양식에서 주요 요구 사항(예: 암호화, ID 요구 사항, 로깅, 보존)을 정의합니다.
- 명확성을 위한 태세 기준. 보안 설정의 기준 집합을 유지 관리하고 시스템이 이 설정에서 벗어나는 시기를 추적합니다.
- 컨트롤 상태의 지속적인 모니터. 정기 검토 때만이 아니라, 시간이 지나면서 컨트롤이 통과 중인지 실패 중인지도 추적하세요.
- 공통 컨트롤 매핑도 여전히 중요합니다. 기본 플랫폼이 다른 경우에도 가능한 경우 공유 컨트롤을 사용합니다.
드리프트 확인: 기준선이 문서화만 되어 있고 모니터링되지 않으면, 금방 부실한 상태가 됩니다.
섀도 IT 및 AI 사용
문제: 사람들은 새로운 앱과 새로운 AI 도구를 거버넌스 프로세스가 검토하는 속도보다 더 빨리 도입합니다. 이렇게 하면 심사되지 않은 위치에서 중요한 데이터가 공유될 가능성이 높아질 수 있습니다.
방지 방법: 승인된 도구, 레이블, 모니터링, 업데이트된 템플릿을 사용하세요.
특히 AI 도구가 확산됨에 따라 사람들이 실제로 작업하는 방식과 일치하는 명확한 보호책을 갖습니다.
- 승인된 도구를 정의합니다. 승인된 앱 및 AI 도구의 짧은 목록과 새 앱 요청 경로를 게시합니다.
- 중요 데이터에 레이블을 지정합니다. 민감도 레이블을 적용해서 무엇에 추가 주의가 필요한지 사람들이 알 수 있게 하고, 컨트롤이 해당 레이블을 바탕으로 동작하도록 하세요.
- 통신 위험을 모니터링합니다. 위험한 공유 패턴에 초점을 맞춘 모니터링을 추가합니다(예: 중요한 콘텐츠를 승인되지 않은 도구로 복사하거나 승인되지 않은 대상으로 전송).
- 변화하는 규정(AI 포함)에 맞게 템플릿을 도입합니다. AI 규칙이 바뀔 때마다 새 요구 사항을 반영한 템플릿과 체크리스트를 사용하고, 다음 연간 검토를 기다리지 말고 정기적으로 업데이트하세요.
추진력을 유지하는 실용적인 분할은 다음과 같습니다.
- 차단 업무상 필요가 없는 위험도가 높은 도구는 차단합니다.
- 허용 위험도가 낮은 도구는 민감하지 않은 작업에만 허용하고, 데이터 누출 위험을 줄이기 위한 보호책을 추가합니다.
- 민감한 데이터가 포함된 작업에는 엔터프라이즈급 옵션에 표준화합니다.
준수 관리의 실제 사례
이러한 시나리오는 준수 관리가 미국 대학에서 일상 업무 속도를 늦추지 않으면서 위험을 줄이고 대비 태세를 높이는 방법을 보여 줍니다.
타사 원격 진료 앱으로 인해 HIPAA 노출 위험 발생
시나리오: 캠퍼스 보건 센터가 HIPAA 준수 여부를 먼저 확인하지 않고 타사 원격 진료 플랫폼을 추가합니다. 그로 인해 학생 건강 기록에 대한 무단 액세스 경로가 생깁니다.
달라진 점: 팀은 플랫폼이 건강 기록에 액세스하기 전에 구조화된 검토를 실행하고, 중앙에서 관리되는 정책과 준수 검사로 다중 클라우드 환경 전반을 점검합니다.
핵심 사항
- 중요한 이유: 공급업체 도구가 보호된 상태 데이터를 다룰 때 준수 위험을 빠르게 발생시킬 수 있습니다.
- 조치 단계:
- 중요한 기록에 연결하기 전에 새 타사 서비스에 대해 필수 준수 검사를 추가합니다.
- 중앙에서 정의한 강제 정책을 적용해서 요구 사항을 충족하기 전에는 액세스가 차단되도록 합니다.
- 살펴볼 사항:
- 서비스 전반의 준수 요구 사항과 상태를 추적하는 한 장소.
- 중요한 시스템 액세스와 연결된 명확한 "통과/실패" 게이트.
잘못된 내부 그룹으로 보낸 학자금 보고서
시나리오: 학자금 지원 담당자가 학생 대출 및 보조금 세부 정보가 들어 있는 보고서를 실수로 받으면 안 되는 내부 부서에 이메일로 보내 조사가 시작됩니다.
달라진 점: 자동화된 정책은 중요한 학자금 지원 데이터가 권한이 없는 받는 사람과 공유되는 시점을 감지하고, 경고를 발생시키거나 액세스를 제한해 추가적인 비준수 공유를 막을 수 있습니다.
핵심 사항
- 중요한 이유: 많은 준수 사고는 단순한 실수입니다. 빠르게 감지하면 영향 범위를 줄이고 후속 조치를 지원할 수 있습니다.
- 조치 단계:
- 중요한 학자금 데이터로 고려되는 데이터와 공유 방법을 정의합니다.
- 받는 사람이 승인된 그룹과 일치하지 않는 경우 메시지에 플래그를 지정하거나 제한하는 정책을 설정합니다.
- 경고를 사용하여 조사 및 정정 작업을 위해 올바른 검토자에게 인시던트를 라우팅합니다.
- 살펴볼 사항:
- 키워드뿐만 아니라 무단 공개 패턴을 감지하는 정책.
- 공유된 내용, 공유 대상 및 다음에 발생한 일에 대한 명확한 감사 내역.
Microsoft Purview 준수 관리자 시작
강력한 준수 관리 프로그램의 작동 방식을 살펴보았습니다. 명확한 정책 설정, 소유권 할당, 위험 평가, 격차 닫기, 제어 모니터링 및 리더가 조치를 취할 수 있는 방식으로 진행 상황 보고가 있습니다. 이러한 부분을 함께 배치하면 증거를 확인하는 시간을 줄이고 작업 수행 방법을 개선하는 데 더 많은 시간을 쓸 수 있습니다.
처음 시작하든, 이미 운영 중인 프로그램을 다듬든, 다음 방법으로 부담을 줄일 수 있습니다.
- 단기적으로 필요한 사항에 맞는 평가 하나를 선택합니다(이미 추적 중인 규정, 표준, 또는 내부 요구 사항).
- 개선 작업 목록을 작업 백로그로 사용하여 구현 및 테스트 작업에 소유자를 할당합니다.
- 가장 영향이 큰 작업에 집중하는 데 도움이 되는 점수와 “주의 필요” 보기를 정기적으로 검토합니다.
- 마감 직전에 감사 보고서로 허둥대지 않도록 진행하면서 증거와 상태 업데이트를 기록합니다.
Microsoft Purview 준수 관리자는 다중 클라우드 환경 전반의 준수를 평가하고 관리하도록 도와주며, 데이터 보호 위험 파악부터 컨트롤 구현, 규정과 인증 최신 상태 유지, 감사자 보고까지 전체 과정을 지원하도록 설계되었습니다.
요구 사항을 체계적으로 정리하고, 격차를 할당된 개선 작업으로 전환하고, 위험 기반 점수로 진행 상황을 추적하고, 감사자에게 보고하는 일을 한곳에서 지원합니다.
자주 묻는 질문
자주 묻는 질문
- 준수 관리는 적용되는 법률, 규정, 내부 정책을 지속적으로 따르고, 요구 사항이 충족되고 있음을 보여 주는 증거를 유지하는 일입니다.
- 준수를 그룹화하는 일반적인 방법: 규제(법률 및 규정), 산업(표준 및 인증), 내부(회사 정책 및 계약 의무).
- 준수 관리 도구는 요구 사항, 컨트롤, 작업, 증거를 체계적으로 정리해 팀이 진행 상황을 추적하고, 작업을 할당하고, 감사를 지원할 수 있게 해 주는 소프트웨어입니다.
- 명확한 정책, 정의된 역할 및 소유자, 문서화된 컨트롤 및 프로세스, 정기적인 평가, 문제 수정 및 감사 및 보고를 지원하는 레코드가 필요합니다.
- CMS(준수 관리 시스템) 템플릿은 의무를 추적하고, 컨트롤을 매핑하고, 책임자를 지정하고, 증거을 저장하고, 여러 표준에 걸쳐 상태를 보고하는 데 재사용할 수 있는 구조입니다.
- 준수 체크리스트는 법률, 규정, 표준, 또는 내부 정책을 충족하는지 확인하는 데 사용하는 필수 작업이나 컨트롤 목록이며, 보통 평가와 감사에서 사용합니다.
- 주요 요소에는 거버넌스와 감독, 정책과 절차, 컨트롤, 모니터링과 테스트, 증거 관리, 수정, 그리고 지속적인 보고와 개선이 포함됩니다.
Microsoft Security 팔로우