SOC 2

다른 회사에 데이터를 맡기는 일이 늘면서 같은 질문이 반복되기 시작했습니다. 이 회사에 우리 고객 정보를 올려도 되는지입니다.

처음에는 각자 물었습니다. 고객사마다 자기 서식으로 문항을 만들어 보냈습니다. 데이터를 어디에 저장하는지, 오갈 때 암호화하는지, 직원 중 누가 고객 데이터를 볼 수 있는지, 사고가 나면 몇 시간 안에 알리는지 같은 문항이 수십 개에서 수백 개까지 옵니다. 답하는 쪽에서는 그 일이 끝이 없습니다. 고객사가 스무 곳이면 스무 번 답합니다. 문항은 비슷한데 서식이 다르니 매번 처음부터 다시 씁니다.

묻는 쪽도 답을 믿을 근거가 없었습니다. 스프레드시트에 적혀 온 답은 그 회사가 스스로 쓴 것입니다. 암호화한다고 적혀 있다고 실제로 암호화하는지 확인할 방법이 없습니다. 확인하려면 직접 가서 시스템을 봐야 하는데, 고객사 스무 곳이 각각 그 일을 할 수는 없습니다.

SOC 2는 그 확인을 한 번만 하고 여러 곳에 보여 주도록 만든 제도입니다. 외부 감사인이 한 번 들어와 확인하고 보고서를 내면, 파는 쪽은 그 보고서 하나를 스무 곳에 보냅니다.

없애려는 것은 같은 질문에 스무 번 답하는 일과 그 답을 검증할 수 없는 상태입니다.

구조는 셋으로 되어 있습니다.

1. 기준 항목입니다. 다섯 갈래로 나뉘어 있고 그중 보안은 필수, 나머지 넷은 고를 수 있습니다. 가용성은 서비스가 약속한 만큼 돌아가는지, 처리 무결성은 데이터가 정확히 처리되는지, 기밀성은 비밀로 다뤄야 할 정보가 지켜지는지, 개인정보는 개인 정보를 어떻게 다루는지입니다. 대부분의 회사가 처음에는 보안만으로 시작합니다.
2. 감사인입니다. 미국 공인회계사가 감사를 수행하고 보고서에 서명합니다. 인증서를 발급하는 제도가 아니라 회계 감사와 같은 형태라는 점이 이 기준의 성격을 보여 줍니다. 결과물은 자격증이 아니라 수십 장짜리 보고서입니다.
3. 보고서 종류입니다. 두 가지가 있고 차이가 큽니다. 타입 1은 특정 시점에 통제가 갖춰져 있는지를 봅니다. 타입 2는 3개월에서 12개월 동안 그 통제가 실제로 지켜졌는지를 봅니다. 고객사가 요구하는 것은 대개 타입 2입니다. 갖춰 두었다는 말보다 지켜 왔다는 기록을 원하기 때문입니다.

실제로 준비하는 일은 거창한 장비 도입이 아닙니다. 지켜야 할 규칙을 문서로 정한 보안 정책을 만들고, 누가 무엇에 접근할 수 있는지 주기적으로 확인하는 접근 권한 점검을 돌리고, 그 기록을 남기는 일입니다. 감사인이 보는 것도 규칙 자체보다 그 규칙이 실제로 돌아간 기록입니다. 분기마다 권한을 점검한다고 적어 두고 지난 네 분기 기록이 없으면 그 항목은 통과하지 못합니다.

비용과 기간도 함께 봅니다. 타입 2는 관찰 기간이 있어 처음 받는 데 여섯 달에서 한 해가 걸리고, 감사 비용만 연 3천만 원 안팎이 듭니다. 준비하는 사람의 시간은 별도입니다. 그래서 언제 시작할지가 판단의 절반입니다.

받는 것만이 답은 아닙니다. 회사 상황에 따라 넷이 있습니다.

1. 아직 받지 않고 답변 묶음을 만들어 두는 방식입니다. 고객사가 보내오는 보안 점검표 문항을 모아 표준 답변을 만들어 둡니다. 고객사가 대여섯 곳이고 대기업이 없으면 이쪽이 훨씬 싸게 끝납니다. 한계는 분명합니다. 규모가 큰 고객사는 보고서가 없으면 검토 자체를 시작하지 않는 경우가 있습니다.
2. 국제 표준인 ISO 27001을 받는 방식입니다. 유럽과 아시아 고객이 많으면 이쪽을 먼저 묻습니다. 미국 고객이 많으면 SOC 2 를 먼저 묻습니다. 어느 쪽 고객이 많은지가 순서를 정합니다.
3. 국내 제도인 ISMS-P를 받는 방식입니다. 국내 공공기관이나 금융권에 팔 계획이 있으면 이쪽이 먼저입니다. 법으로 의무 대상이 되는 경우도 있습니다.
4. 두 개 이상을 같이 받는 방식입니다. 항목이 겹치는 부분이 많아 두 번째는 첫 번째보다 품이 적게 듭니다. 고객이 양쪽에 있으면 결국 둘을 다 받게 되는데, 이때는 처음부터 겹치는 기록을 한 곳에 모아 두는 편이 낫습니다.

"그쪽은 타입 2 아니면 검토를 시작하지 않는다고 합니다."

보고서 종류가 거래의 조건이 된 상황입니다.

"올해는 보안 항목만으로 받고 가용성은 다음에 붙입시다."

기준 항목을 단계적으로 늘리는 판단입니다.

"권한 점검 기록이 지난 두 분기 것만 있어요. 이대로면 그 항목이 안 됩니다."

기록의 연속성이 통과를 정한다는 지적입니다.

페이지덱에서는 규원이 기업 고객 문의가 늘어난 뒤에 이 준비를 시작했습니다. 계기는 한 고객사가 보안 점검표 대신 SOC 2 보고서를 요청한 것이었습니다. 그 한 건이 멈춘 뒤에 계산해 보니 비슷한 규모의 문의가 분기에 셋씩 들어오고 있었습니다.

준비에서 가장 오래 걸린 것은 장비나 도구가 아니라 기록이었습니다. 접근 권한을 실제로는 점검하고 있었지만 그 결과를 남긴 문서가 없었습니다. 그래서 분기마다 점검 결과를 한 문서에 적는 일부터 시작했고, 관찰 기간 여섯 달은 그 기록이 네 번 쌓인 뒤에 열렸습니다.

SOC 2 를 받으면 안전해진다고 생각하는 경우가 많습니다. 외부 감사를 통과했으니 보안이 검증된 것처럼 보입니다. 하지만 이 제도가 확인하는 것은 회사가 스스로 정한 통제를 스스로 지켰는지입니다. 통제를 느슨하게 적어 두고 그대로 지키면 보고서는 나옵니다. 보고서를 받은 뒤에도 사고는 납니다. 이 기준이 주는 것은 안전이 아니라 지켜 왔다는 기록이고, 그 기록의 값어치는 무엇을 지키기로 적었는지에 걸려 있습니다.

인증서를 받는 제도로 오해하는 것도 흔합니다. 다른 인증들처럼 통과하면 마크를 받아 웹사이트에 붙일 수 있을 것 같습니다. 실제로는 감사 보고서가 나오고, 그 보고서는 대개 비밀유지계약을 맺은 상대에게만 보냅니다. 안에 시스템 구성과 통제 내용이 적혀 있어 공개할 문서가 아닙니다. 그래서 웹사이트에는 보유하고 있다는 문장만 적고, 실제 보고서는 요청한 고객사에 따로 보냅니다.