증적

회사가 보안을 어떻게 하고 있는지 묻는 자리에서 오랫동안 오간 것은 규정집이었습니다. 퇴사자 계정은 마지막 근무일에 잠근다, 운영 데이터베이스 접근은 두 사람의 승인을 받는다 같은 문장이 적힌 문서를 보내면 그것으로 답이 됐습니다.

문제는 그 문서가 회사가 무엇을 하기로 했는지만 말한다는 데 있었습니다. 실제로 그렇게 했는지는 알 수 없습니다. 페이지덱에서 수아가 기업 고객과 계약을 앞두고 고객 보안팀의 질문지를 받았을 때 규원은 "저희는 퇴사자 계정을 바로 잠급니다" 라고 답했고, 상대는 "지난 1년간 퇴사한 분들의 계정이 언제 잠겼는지 목록으로 주실 수 있나요" 라고 되물었습니다. 하기로 한 것과 한 것 사이의 간격을 메울 방법이 회사에 없었습니다.

증적은 그 간격을 메우려고 요구하기 시작한 기록입니다. 말이나 다짐이 아니라 그 일이 벌어졌을 때 시스템에 남은 흔적을 그대로 꺼내 보이게 합니다. 준비가 늦어지는 회사는 대개 규칙이 없어서가 아니라 규칙대로 한 흔적이 남지 않아서 늦어집니다. 규칙을 세우는 데 한 주, 지켰다는 것을 모아 보이는 데 여섯 달이 드는 구조입니다.

증적 하나가 심사에서 인정받으려면 다섯 가지가 함께 붙어 있어야 합니다.

1. 무엇에 대한 기록인지 — 어느 통제 항목에 붙는 증적인지를 지정합니다. 통제 항목은 위험 하나를 줄이려고 정해 둔 개별 관리 조치이고, 증적은 언제나 그중 하나를 겨냥합니다. 어디에도 붙지 않는 기록은 심사에서 읽히지 않습니다.
2. 언제의 기록인지 — 시점을 찍은 것인지 기간을 덮는 것인지가 다릅니다. 방화벽 설정 화면은 뽑은 그 순간만 말해 주고, 지난 열두 달 동안 분기마다 접근 권한을 검토했다는 것은 네 번의 기록이 각각 그 분기 안에 찍혀 있어야 말이 됩니다.
3. 누가 했는지 — 처리한 사람과 승인한 사람이 남아야 합니다. 두 사람의 승인을 받기로 한 통제라면 승인자 두 명의 이름이 각각 다른 계정으로 찍혀 있어야 하고, 한 사람이 요청하고 같은 사람이 승인한 기록은 그 통제를 지키지 않았다는 증적이 됩니다.
4. 어디서 나왔는지 — 어느 시스템에서 누가 언제 뽑았는지를 함께 답니다. 같은 조건으로 다시 뽑으면 같은 결과가 나와야 심사원이 그 자리에서 확인할 수 있습니다.
5. 손대지 않았다는 것 — 뽑은 사람이 값을 고칠 수 없는 형태여야 합니다. 목록을 표 파일로 옮겨 정리하는 순간 원본이 아니라 옮겨 적은 것이 되고, 심사에서는 한 단계 약한 자료로 취급됩니다.

같은 사실을 담고도 형태에 따라 힘이 다릅니다. 사람이 손으로 옮겨 적은 표보다 시스템이 자동으로 남긴 기록이 강하고, 언제 뽑아도 같은 값이 나오는 조회가 그때그때 찍어 둔 화면 그림보다 강합니다. 화면 그림은 어느 화면의 어느 조건인지를 찍은 사람이 설명해야 하고, 말을 빼려고 만든 자리에 말이 다시 들어옵니다.

증적은 따로 앉아 쓰는 문서가 아니라 일하는 과정에서 남는 것입니다. 그래서 만드는 사람은 보안 담당자 한 명이 아니라 그 일을 실제로 하는 사람들입니다. 퇴사자 계정 회수 증적은 사람을 관리하는 쪽에서, 운영 데이터베이스 접근 승인 증적은 개발 쪽에서 남습니다. 보안 담당자가 하는 일은 그 기록이 남도록 도구를 맞춰 두고 심사 때 모아 오는 것이지 대신 써 주는 것이 아닙니다.

읽는 쪽은 넷입니다.

1. 내부 감사 — 회사가 스스로 미리 돌려 보는 자리입니다. 감사는 정해 둔 대로 운영되는지 확인하는 절차이고, 먼저 안쪽에서 돌리는 이유는 증적이 빈 항목을 외부 심사 전에 찾아내기 위해서입니다.
2. 외부 심사원 — 자격을 가진 제삼자가 기준표를 들고 항목마다 증적을 요구합니다. SOC 2처럼 여섯 달에서 열두 달 동안 실제로 지켜졌는지를 보는 심사에서는 그 기간 내내 기록이 고르게 남아 있는지를 봅니다.
3. 고객 보안팀 — 계약 전에 질문지를 보내 확인합니다. 증명서 한 장으로 끝나는 경우도 있지만, 데이터가 많이 오가는 계약이면 항목별 증적을 따로 요구합니다. 반대로 페이지덱이 외부 도구를 새로 붙일 때는 협력사 보안 점검이라는 이름으로 같은 질문을 그쪽에 던집니다.
4. 사고가 났을 때의 규제 기관과 고객 — 평소에는 보지 않다가 사고 직후에 한꺼번에 봅니다. 이때 필요한 것은 사고 당시에 통제가 돌고 있었다는 기록이라서, 사고가 난 뒤에는 만들 수 없습니다.

"그건 정책 문서고요, 증적은 따로 있어야 합니다."

규칙을 적어 둔 문서만으로는 지켰다는 확인이 되지 않는다는 말입니다.

"3분기 접근 권한 검토 증적 좀 뽑아 주세요."

그 분기에 권한을 점검했다는 기록을 심사 자료로 제출하겠다는 뜻입니다.

"화면 캡처 말고 시스템에서 바로 뽑은 목록으로 주세요."

사람 손을 덜 탄 형태로 바꿔야 심사에서 인정된다는 요구입니다.

페이지덱이 ISO 27001을 준비하면서 가장 먼저 한 일은 새 규칙을 만드는 것이 아니라 이미 하고 있는 일이 기록으로 남는지 확인하는 것이었습니다. 퇴사자 계정은 늘 잠그고 있었지만 누가 언제 잠갔는지가 남지 않아서, 사람 관리 도구의 퇴사 처리와 계정 정지가 한 화면에 함께 남도록 순서를 바꿨습니다.

심사 직전에 몰아서 만들면 된다고 생각하기 쉽습니다. 다른 제출 자료가 대개 그렇게 만들어지고, 규칙은 이미 지키고 있으니 기록만 정리하면 될 것처럼 보이기 때문입니다. 하지만 기간을 덮는 증적은 소급이 되지 않습니다. 분기마다 검토했어야 할 항목의 기록이 심사 한 달 전에 네 건 한꺼번에 찍혀 있으면, 그것은 검토했다는 증적이 아니라 하지 않았다는 증적이 됩니다. 뒤늦게 채운 자료는 그 항목 하나로 끝나지 않고 다른 항목의 기록까지 다시 들여다보게 만듭니다.

증적을 모으는 일을 문서 작업으로 읽는 것도 흔한 오해입니다. 제출물이 파일 형태라서 누군가 앉아서 만드는 일처럼 보입니다. 실제로 해야 하는 일은 쓰는 것이 아니라 남게 만드는 것입니다. 승인 요청을 메신저 대화 대신 승인 이력이 남는 도구로 옮기고, 권한 점검을 달력에만 적어 두지 않고 점검 결과가 저장되는 형태로 바꾸는 쪽입니다. 이 방향으로 손을 대면 심사 때 꺼내는 일이 조회 한 번으로 끝나고, 쓰는 쪽으로 손을 대면 다음 심사에도 같은 분량을 다시 씁니다.