감사

규칙을 적어 두는 일과 그 규칙대로 사는 일은 다릅니다. 보안 정책 문서를 갖추는 데는 하루면 충분하지만, 그 문서에 적힌 대로 반년을 살았는지는 문서만 봐서는 알 수 없습니다. 그런데 회사 밖에서 그 회사의 보안을 확인하는 방법은 오랫동안 문서를 받아 읽는 것뿐이었습니다.

그래서 기업 고객과의 계약 자리는 늘 같은 모양으로 막혔습니다. 수아가 "저희 보안 관리 잘 하고 있습니다" 라고 말하면 고객사 담당자가 "그걸 저희가 어떻게 확인하죠" 하고 되물었습니다. 페이지덱이 내밀 수 있는 것은 자기가 자기를 칭찬하는 문서뿐이었고, 받는 쪽에는 그것을 검증할 방법이 없었습니다.

감사는 이 자리를 메우려고 생긴 절차입니다. 무엇을 하겠다고 적어 둔 문서 대신, 실제로 그렇게 했다는 기록을 자격을 갖춘 제삼자가 표본으로 뽑아 확인합니다. 확인의 근거를 말에서 기록으로 옮긴 것이 전부인데, 그 덕분에 회사 밖의 사람이 회사 안의 운영을 판단할 수 있게 됐습니다.

감사는 어디까지 볼지 선을 긋는 데서 시작해 지적 사항 목록으로 끝납니다. 다섯 단계입니다.

1. 범위를 정합니다. 회사가 가진 모든 시스템을 한꺼번에 보지 않고, 어느 서비스와 어느 서버까지를 볼지 먼저 긋습니다. 페이지덱은 문서 편집 서비스와 이를 받치는 운영 서버까지만 넣고 실험용 서버는 뺍니다.
2. 기준표의 통제 항목을 우리 운영에 맞춰 놓습니다. 통제 항목은 위험 하나를 줄이려고 정해 둔 개별 관리 조치로, 퇴사자 계정을 마지막 근무일에 잠근다처럼 한 문장으로 적힙니다. 기준표 하나에 이런 항목이 백 개 안팎 있고, 항목마다 우리는 이렇게 한다를 적어 냅니다.
3. 증적을 모읍니다. 증적은 그 항목을 실제로 지켰다는 것을 보여 주는 기록입니다. 계정을 잠갔다는 문장이 아니라 잠근 날짜와 처리한 사람이 남아 있는 화면이 증적입니다.
4. 심사원이 표본을 뽑아 대조합니다. 한 해 동안 퇴사자가 열두 명이면 열두 건을 다 보지 않고 네다섯 건을 무작위로 골라 계정 회수 기록을 확인합니다. 표본에서 한 건이라도 어긋나면 그 항목 전체가 지켜지지 않은 것으로 봅니다.
5. 지적 사항을 정리하고 조치합니다. 결과는 합격증 한 장이 아니라 항목별로 무엇이 미흡했는지 적힌 목록으로 나옵니다. 가벼운 건은 기한을 받아 고치고, 무거운 건은 고칠 때까지 증명서가 나오지 않습니다.

다섯 중 시간을 가장 많이 먹는 자리는 3번입니다. 준비가 늦어지는 회사는 대개 규칙이 없어서가 아니라 규칙대로 한 흔적이 남지 않아서 늦어집니다. 사람이 손으로 옮겨 적은 표보다 시스템이 자동으로 남긴 이력이 강합니다.

감사에는 성격이 다른 세 자리가 붙습니다. 판정을 맡는 외부 심사원, 준비 전체를 끌고 가는 사내 총괄, 항목마다 증적을 내는 실무 담당자입니다. 심사원은 판단만 하고 고쳐 주지 않습니다. 어떻게 고치라고 일러 주면 자기가 심사할 대상을 자기가 설계한 셈이 되기 때문입니다. 페이지덱에서는 규원이 어느 증명서를 받을지 정하고, 태오가 접근 권한과 배포 기록 쪽 증적을 맡고, 수아가 결과를 고객사에 전달합니다. 45명 규모에서 총괄 자리는 대개 겸직입니다.

시점은 두 번으로 나뉩니다. 먼저 회사가 스스로 돌려 보는 내부 감사를 외부 심사 두세 달 전에 넣습니다. 미리 한 번 돌리면 증적이 비어 있는 항목이 드러나고, 같은 항목이 외부 심사에서 나오면 나중에 고쳐도 보고서에 지적으로 남기 때문입니다.

한 번으로 끝나지도 않습니다. 국제 표준인 ISO 27001은 해마다 유지 심사를 받고 몇 년에 한 번은 처음부터 다시 받습니다. 미국에서 쓰이는 SOC 2에는 통제가 여섯 달에서 열두 달 동안 지켜졌는지를 보는 유형이 있어서 그 기간 내내 기록이 끊기지 않아야 하고, 국내 제도인 ISMS-P도 받은 다음 해부터 사후 심사를 받습니다.

"이번 감사 범위는 문서 편집 서비스랑 그걸 받치는 운영 서버까지입니다. 실험용 서버는 뺐어요."

어디까지 확인받을지 선을 그었다는 말이고, 그 선 밖의 시스템은 증명서에 들어가지 않는다는 뜻입니다.

"퇴사자 계정 회수는 항목은 있는데 증적이 없어요. 내부 감사에서 미리 털고 갑시다."

규칙은 지켰는데 지켰다는 기록이 남지 않았으니, 외부 심사에 올리기 전에 기록부터 만들자는 제안입니다.

"작년 지적 사항 세 건은 조치 완료 보고서 붙여서 냈습니다."

지난 심사에서 미흡하다고 적힌 항목을 고쳤고 그 사실을 이번 심사에 증명했다는 보고입니다.

페이지덱이 감사를 처음 겪은 것은 직원 수백 명짜리 고객사가 계약서와 함께 보안 증명서를 요구하면서였습니다. 규원이 어느 기준을 받을지 정하고 준비를 시작했는데, 막상 항목표를 펼쳐 보니 안 하고 있던 일은 거의 없었습니다. 문제는 그 모두가 태오의 기억 속에만 있었다는 점입니다.

그래서 준비의 대부분은 새 규칙을 만드는 일이 아니라 이미 하던 일이 기록으로 남게 고치는 일이었습니다. 태오는 권한을 손으로 바꾸던 자리를 요청과 승인이 이력으로 남는 방식으로 옮겼고, 반기마다 권한 목록을 뽑아 확인한 결과를 문서로 남겼습니다. 심사원이 표본으로 뽑은 다섯 건 가운데 네 건은 그 이력에서 바로 나왔고, 한 건은 이력이 없던 시기에 걸려 지적으로 남았습니다.

가장 흔한 오해는 감사를 한 번 통과하면 끝난다고 보는 것입니다. 결과가 증명서 한 장으로 손에 들어오니 자격증처럼 느껴집니다. 실제로는 대부분의 기준이 해마다 다시 확인하고, 관찰 기간을 두는 유형은 심사 뒤의 기록까지 다음 심사의 재료로 씁니다. 그대로 두면 일 년 뒤에 같은 일이 되풀이됩니다. 심사가 끝난 다음 날부터 권한 점검 기록이 끊기고, 다음 심사 두 달 전에 회사 전체가 다시 매달립니다.

두 번째는 감사를 보안 담당자 한 사람의 일로 보는 것입니다. 총괄하는 자리가 따로 있으니 그 사람이 다 해 주는 것처럼 보입니다. 하지만 증적은 일이 실제로 벌어지는 자리에서만 나옵니다. 배포 승인 이력은 개발이, 협력사 계약서는 경영과 세일즈가 들고 있습니다. 총괄이 혼자 뛰면 심사 2주 전에 열 명에게 같은 메일을 돌리게 되고, 급히 만든 기록은 날짜가 어긋나 표본 대조에서 걸립니다.