Governance, Risk & Compliance

1. Overview

거버넌스, 리스크 및 컴플라이언스(Governance, Risk & Compliance, GRC)는 정보 보안을 방화벽 세팅이나 암호화 코딩과 같은 엔지니어링의 영역을 넘어, "우리 회사는 얼마의 돈을 들여, 어떤 법적 책임을 지키며, 어떤 해킹 위험을 감수할 것인가?"를 결정하는 조직 최고위층의 경영 전략 시스템으로 다룹니다.

방화벽 100대를 사놓고도 정작 직원이 USB로 고객 데이터를 빼돌리면 회사는 파산합니다. 학습자는 기술이 아닌 룰(Rule)로써 조직을 통제하는 거버넌스를 설계하고, 자산의 가치와 해킹 발생 확률을 곱하여 돈으로 환산하는 위험 관리(Risk Management)의 수학을 배웁니다. 나아가 ISMS-P, ISO 27001 등 국내외 보안 인증과 개인정보보호법이라는 컴플라이언스(Compliance) 규제를 이해하여, 엔지니어의 코드가 감옥에 가는 불법이 되지 않도록 비즈니스와 법적 안전장치를 정렬하는 오디터(Auditor)의 시야를 확보합니다.

2. Scope & Boundaries

In-Scope

• 거버넌스 (Governance): 보안 정책(Policy), 표준(Standard), 절차(Procedure)의 위계, 정보보호 최고책임자(CISO)의 역할과 R&R 분리.
• 위험 관리 (Risk Management): 자산 가치 평가, 정량적(ALE, SLE) vs 정성적 평가, 위험 대응 전략(수용, 완화, 전이, 회피).
• 컴플라이언스 (Compliance): ISMS-P, ISO/IEC 27001 체계, 개인정보보호법(GDPR 포함), 규제 준수 프레임워크.
• 보안 감사 (Security Audit): 내부 감사 및 제3자 감사, BCP(비즈니스 연속성 계획) 및 DRP(재해 복구 계획).

Out-of-Scope

• IDS/IPS 장비의 네트워크 패킷 스니핑 기술: 패킷 분석과 침입 탐지 룰 세팅 $\rightarrow$ 10-02. Infrastructure Security 영역으로 위임.
• 데이터베이스 암호화 SQL 쿼리 작성법: 실제 DB 암호화 함수와 코드 적용 $\rightarrow$ 10-03. Application & Data Security 영역으로 위임.

Boundaries

• GRC vs. Software Engineering (09): SE(09)가 "버그 없이 잘 돌아가는 소프트웨어를 어떻게 제시간에 만들 것인가?"라는 생산성에 집중한다면, GRC는 "그 소프트웨어가 수집하는 데이터가 법을 어기고 있지 않은지, 회사에 소송 리스크를 가져오지 않는지"라는 법적 방어력에 집중합니다.

3. Counterexample

• 100% 보안의 맹신 (Zero Risk Fallacy): "우리 회사의 보안 예산을 무한대로 늘려서 해킹 위험을 0%로 만들겠습니다!"라고 경영진에게 보고하는 보안 담당자. 비즈니스 세계에서 리스크가 0이라는 것은 곧 아무런 사업도 하지 않겠다는 뜻입니다. GRC의 본질은 위험을 0으로 만드는 것이 아니라, 경영진이 "우리는 1년에 1억 원 정도의 피해는 감수하겠다"고 정한 위험 수용 범위(Risk Appetite) 이내로 위험을 관리(통제)하는 경제학적 타협입니다.
• 페이퍼 컴플라이언스 (Paper Compliance Fallacy): ISO 27001이나 ISMS 인증 심사 통과만을 목적으로, 실무자들은 전혀 지키지 않는 보안 매뉴얼을 수백 페이지짜리 문서로만 예쁘게 써놓고 "우리는 컴플라이언스를 달성했다"고 자위하는 현상. 서랍 속에 잠든 문서는 해커를 막지 못합니다. 진정한 거버넌스는 그 문서(Policy)가 실제 방화벽 룰과 암호화 코드(Technical Control)로 물리적으로 강제 적용되는 시스템적 톱니바퀴를 의미합니다.

4. Prerequisites

• 보안 기초 (Recommended): 기밀성, 무결성, 가용성(CIA)이 무엇인지 알아야 자산의 중요도를 평가할 수 있습니다. (10-01. SFC)
• 소프트웨어 프로세스 (Recommended): 조직이 어떻게 개발하고 배포하는지 SDLC를 이해해야 보안 감사 프로세스를 파이프라인에 녹일 수 있습니다. (09-01. SDLC)

5. Learning Map

6. Learning Topics

Basic

Core Topic 01: 정보 보안 거버넌스와 문서 체계 (Governance Foundations)

• Why to Learn: "USB 쓰지 마세요"라고 입으로 백 번 말하는 것보다, 전사 규칙을 만들고 매체 제어 프로그램을 깔게 하는 시스템의 힘이 1,000배 강력하기 때문입니다.
• What to Learn:
  • Concepts: 정보 보안 거버넌스의 정의, 하향식(Top-Down) 보안 철학.
  • Skills: 보안 정책(Policy) $\rightarrow$ 표준(Standard) $\rightarrow$ 가이드라인(Guideline) $\rightarrow$ 절차(Procedure)의 4단계 문서 위계 작성.
  • Tools: 정보보호 조직도, R&R(Role and Responsibility) 매트릭스.
  • Trade-offs: "모든 USB 포트를 막고 이메일 첨부파일을 차단한다"는 초강력 보안 정책이 주는 기밀성 보장 vs 직원들이 일을 제대로 못 하게 되어 섀도우 IT(개인 카카오톡으로 업무 파일 전송)가 폭증하는 보안 풍선 효과.
• How to Learn:
  • 1단계: '비밀번호는 영어, 숫자, 특수문자를 섞어 12자리 이상이어야 한다'는 문구는 정책(Policy)이 아니라 구체적인 표준(Standard)임을 이해하고, 정책의 추상성과 절차의 구체성을 구분하는 연습을 합니다.
  • 2단계: 조직 내에서 기능 개발 속도만을 우선시하는 CTO(최고 기술 책임자)와, 보안을 최우선으로 하는 CISO(최고 정보보호 책임자)의 역할이 분리되어 서로 견제(Check and Balance)해야 하는 물리적 당위성을 분석합니다.
• Implement: 자신이 속한 팀이나 가상의 스타트업을 위한 [1페이지 분량의 정보 보안 선언문(Policy)]과 [신규 입사자용 PC 보안 세팅 절차서(Procedure)] 작성.

Recommended

Core Topic 02: 위험 관리의 수학과 대응 전략 (Risk Management)

• Why to Learn: 1천만 원짜리 데이터를 지키기 위해 1억 원짜리 방화벽 장비를 사는 '배보다 배꼽이 더 큰' 바보짓을 엔지니어링 수학으로 차단하기 위해서입니다.
• What to Learn:
  • Concepts: 위험(Risk) = 자산(Asset) $\times$ 위협(Threat) $\times$ 취약점(Vulnerability).
  • Skills: 정성적 평가(High/Medium/Low) vs 정량적 평가 산식(SLE, ARO, ALE), 위험 대응의 4원칙 (수용, 완화, 회피, 전이).
  • Tools: 위험 관리 대장(Risk Register).
  • Trade-offs: 돈을 써서 취약점을 고치는 위험 완화(Mitigation) 전략 vs 고칠 돈이 없어서 보험 회사에 돈을 주고 해킹 당하면 보상금을 받는 위험 전이(Transfer) 전략 사이의 재무적 줄다리기.
• How to Learn:
  • 1단계: 1대의 웹 서버가 디도스 공격(위협)에 취약할 때 한 번 다운되면 100만 원의 손실(SLE: 단일 예상 손실)이 발생하고, 1년에 평균 3번(ARO: 연간 발생률) 일어난다면, 1년간 기대 손실(ALE)은 300만 원임을 수학적으로 계산합니다. 따라서 디도스 방어 장비가 1년에 400만 원이라면 이 장비는 사지 않는 것이(위험 수용) 경영학적으로 맞다는 논리를 증명합니다.
  • 2단계: 엑셀이나 스프레드시트를 열어, 우리 서비스의 모든 자산(고객 DB, 소스 코드, 직원 노트북)을 나열하고 각 자산의 기밀성, 무결성, 가용성 점수를 매겨 가장 위험이 큰 자산을 시각화하는 위험 대장을 만듭니다.
• Implement: 특정 가상 기업의 자산 5개와 위협 시나리오 5가지를 매핑하여 ALE(연간 기대 손실액)를 도출하고, 이를 바탕으로 C-Level 경영진을 설득할 보안 예산 투자 최적화 보고서 작성.

Practical

Core Topic 03: 법적 컴플라이언스와 인증 체계 (Compliance & Privacy)

• Why to Learn: 아무리 코드를 잘 짜도 서비스가 법(개인정보보호법)을 위반하면, 다음 날 회사의 영업이 정지되고 개발자는 소환 조사를 받는 최악의 파국을 막기 위해서입니다.
• What to Learn:
  • Concepts: 컴플라이언스(Compliance: 규제 준수), 개인정보 생명 주기(수집 $\rightarrow$ 저장 $\rightarrow$ 이용 $\rightarrow$ 파기).
  • Skills: 글로벌 표준(ISO/IEC 27001), 국내 표준(ISMS-P), 유럽 개인정보보호법(GDPR)의 잊힐 권리(Right to be forgotten).
  • Tools: 인증 통제 항목 체크리스트.
  • Trade-offs: 수집한 고객 데이터와 로그를 무기한 저장하여 빅데이터 분석에 활용하고 싶은 마케팅 부서의 욕망 vs 법에 따라 탈퇴한 고객의 데이터를 3개월 내에 즉시 영구 삭제해야 하는 규제 준수(Compliance) 의무의 정면충돌.
• How to Learn:
  • 1단계: 인터넷 쇼핑몰의 '회원가입 약관'을 뜯어보며, "필수 동의" 항목과 "선택 동의(마케팅)" 항목을 나누지 않고 섞어 받으면 왜 개인정보보호법 위반으로 수천만 원의 과태료를 맞는지 법리적/기술적 맥락을 분석합니다.
  • 2단계: 기업이 국가로부터 '우리 회사는 보안을 잘하고 있습니다'라고 인정받는 마크(ISMS-P 인증)를 따기 위해, 관리적/물리적/기술적 보안 통제 100여 개 항목을 어떻게 수백 페이지의 증적 자료(서버 로그, 교육 확인서)로 증명해 내는지 오디터(Auditor)의 관점에서 살펴봅니다.
• Implement: 개인정보를 다루는 회원가입 페이지 개발 시, 기획자와 프론트엔드/백엔드 개발자가 지켜야 할 [개인정보 최소 수집 및 파기(TTL) 기술 구현 가이드라인] 작성.

Advanced

Core Topic 04: 보안 감사 및 비즈니스 연속성 계획 (Audit & BCP/DRP)

• Why to Learn: 지진이나 화재로 데이터 센터가 완전히 불타 없어지거나 랜섬웨어로 모든 서버가 암호화되었을 때, 회사의 명운을 걸고 24시간 내에 서비스를 부활시키는 기적의 플랜을 짜기 위함입니다.
• What to Learn:
  • Concepts: 보안 감사(Security Audit), 비즈니스 연속성 계획(BCP), 재해 복구 계획(DRP).
  • Skills: 복구 목표 시간(RTO: Recovery Time Objective), 복구 목표 시점(RPO: Recovery Point Objective), 핫/웜/콜드 사이트(Hot/Warm/Cold Site) 설계 물리.
  • Tools: 백업 파이프라인, 모의 훈련(Tabletop Exercise) 시나리오.
  • Trade-offs: 메인 데이터 센터가 죽는 순간 0.1초 만에 백업 센터가 가동되는 핫 사이트(Hot Site)를 구축하는 데 드는 천문학적인 클라우드 유지 비용 vs 하루 정도 서비스가 멈춰도 좋으니 비용이 싼 콜드 사이트(Cold Site)로 버티는 가용성 포기.
• How to Learn:
  • 1단계: RPO(데이터를 어느 시점까지 살릴 것인가)가 1시간이라면 무조건 1시간 간격으로 DB 스냅샷을 떠야 하고, RTO(서버가 다시 켜지는 데 걸리는 시간)가 4시간이라면 그 시간 안에 OS 설치와 코드 배포가 다 끝나는 물리적 파이프라인이 준비되어 있어야 함을 이해합니다.
  • 2단계: 실제로 카카오톡 화재 사건이나 대형 은행의 전산망 마비 사태를 분석하여, BCP(비즈니스 연속성 계획)가 작동하지 않은 이유(예: 백업망까지 같은 데이터 센터에 둬서 같이 타버린 단일 장애점 문제)를 재해 복구 엔지니어링 관점에서 비판적으로 평가합니다.
• Implement: 가상의 재해(예: 서울 AWS 리전 장애 발생)를 가정하여, 타 리전(예: 도쿄)으로 트래픽을 전환하고 데이터베이스를 복원하여 RTO 2시간 이내에 서비스를 정상화하는 재해 복구 훈련(DRP) 시나리오 기획서.

7. Terminology

8. References

Primary References

• [P3] CyBOK - Risk Management & Governance / Law & Regulation — The management standard.
• [P5] SFIA - Information Security / Governance, Risk & Compliance — Professional management skills.

Secondary References

• [Information Security Management Principles] Andy Taylor — Entry-level management guide.
• [CISM Review Manual] ISACA — International standard for security managers.

Industry References

• [ISO/IEC 27001<2022>] — Information security management systems.
• [KISA - ISMS-P Certification Criteria] — Local industry compliance standard.

9. Final Checklist

Primary Checklist

• 조직에서 발생할 수 있는 보안 위험을 '가능성'과 '영향도' 두 축으로 나누어 물리적 위험 매트릭스를 구성하고 우선순위를 도출할 수 있는가? (P3)
• 보안 정책이 수립되었을 때, 이를 기술적 통제(방화벽 등)와 어떻게 물리적으로 연결하여 배포할지 절차를 기술 가능한가? (P3)

Secondary Checklist

• 위험 대응 방안 중 '전이(Transfer)'를 위해 사이버 보험 가입이 적절한 상황과 '수용(Acceptance)'이 적절한 상황의 차이를 논리적으로 설명하는가?
• 인증 심사 시 외부 감사자에게 제시할 수 있는 유효한 증적(Evidence)의 요건(객관성, 일관성 등)을 이해하고 있는가?

Industry Checklist

• 실무 서비스의 개인정보 보호 영향평가(PIA) 수행 시, 데이터 흐름도 상의 보안 취약점을 법적 기준에 맞춰 식별할 수 있는가? (SFIA)
• 클라우드 Shared Responsibility Model에 근거하여, 사용자(조직)가 직접 관리해야 할 컴플라이언스 범위를 정확히 획정할 수 있는는가?