격차 보고서에서 프로젝트 계획까지: 책임자, 증적, 일정

격차 분석을 실행하는 것은 가장 쉬운 부분입니다. 단계별 가이드를 따르면 충족되지 않은 모든 요구사항이 나열된 추적표를 만들 수 있습니다. 그다음에 일어나는 일이 프로그램의 성패를 좌우합니다. 너무 많은 추적표가 ‘미충족’으로 표시된 행이 끝없이 늘어선 스프레드시트로 남고, 아무도 책임지지 않습니다.

Step 1: 행을 워크스트림으로 묶기

요구사항은 프레임워크의 논리에 따라 번호가 매겨져 있으며, 여러분의 조직 기준이 아닙니다. 충족되지 않은 행을 무엇으로 해결할 수 있는지에 따라 다시 묶으세요:

• 거버넌스 및 정책(범위, 역할, 정책, 경영진 승인)
• 식별 및 접근 관리
• 취약점 및 패치 관리
• 로깅 및 모니터링
• 사고 대응 및 보고
• 공급업체 관리
• 업무 연속성 및 백업
• 보안 개발
• 물리 보안

하나의 워크스트림이 종종 10~20개 행을 해결합니다. 예를 들어 공급업체 보안 조건을 계약서에 반영하면 ISO 27001, PCI DSS, GDPR, NIS2의 요구사항을 한 번에 충족할 수 있습니다.

Step 2: 의존성과 위험도에 따라 순서 정하기

1. 선결 과제 우선: 범위, 거버넌스, 정책, 위험 평가. 이것 없이 기술 작업을 하면 나중에 다시 해야 합니다.
2. 다음으로 고위험 격차: 다중 인증(MFA)이 없는 노출 시스템, 패치되지 않은 인터넷 노출 서비스, 테스트되지 않은 백업.
3. 그다음 나머지 항목, 문서화와 증적 수집을 마지막이 아니라 병행하여 진행합니다.

Step 3: 현실적으로 공수 산정하기

워크스트림별로 작업 내용, 담당자, 소요 기간, 비용(인력, 도구, 외부 지원)을 산정하세요. 숨은 비용은 보통 구축 단계가 아니라 이후 통제를 운영하는 데서 발생합니다(분기별 검토는 1년에 회의 4번이며, 그것이 계속 반복됩니다).

Step 4: 통제를 실제로 운영할 담당자 지정하기

개선 과제의 책임자는 이후 통제를 운영할 사람이어야 합니다. 예를 들어 패치는 IT 관리자, 공급업체 계약은 구매팀, 인력 심사는 HR이 담당합니다. 컴플라이언스 책임자는 조율하고, 증적을 점검하고, 진행 상황을 보고하지만, 모든 것을 직접 떠안을 수는 없습니다.

Step 5: ‘완료’를 증적으로 정의하기

과제는 통제가 작동하고 증적을 생성할 때 완료된 것입니다. 예: 첫 접근 권한 검토에 서명이 완료됨, 첫 복구 테스트가 기록됨, 정책이 승인되고 공유됨. 진행하면서 추적표에 증적 참조를 남기세요. 감사 시점에 추적표가 곧 증적 색인이 됩니다.

실제 사례

ISO 27001 인증을 받은 회사가 NIS2 대응이 필요하다고 가정해 봅시다. ISO 27001 → NIS2 격차 보고서는 NIS2의 모든 항목을 ISO의 어떤 항목에 매핑하지만, 실제 상황과 검증해 보면 부분적으로만 충족된 항목이 십여 개 발견됩니다. 해결 방법별로 묶으면 네 개의 워크스트림으로 정리됩니다:

• 거버넌스: 조치에 대한 경영진 승인 및 경영진 교육(이사회 세션 1회, 교육 과정 1회, 기록 보관).
• 보고: 24시간 및 72시간 기한이 포함된 중대 사고 절차, 템플릿 및 훈련.
• 공급업체: 선정 기준, 계약 조항, 상위 20개 공급업체 검토.
• 기술적 깊이: 취약점 공개 절차, 암호화 정책, 유효성 지표.

담당자 4명, 계획 4개, 각각 일정과 증적 목록이 있는 형태로 정리되어, 관련 없는 십여 개 행을 따로 관리할 필요가 없습니다. 거버넌스와 보고가 먼저 진행되는데, 감독기관이 가장 먼저 물어볼 영역이기 때문입니다. 기술적 깊이는 다음 분기에 이어서 진행합니다.

핵심 요약

• 충족되지 않은 요구사항은 요구사항 번호가 아니라 해결 방법에 따라 묶으세요.
• 거버넌스, 범위, 정책을 먼저 진행하세요. 다른 모든 작업의 선행 조건입니다.
• 각 워크스트림에 이후 통제를 운영할 담당자를 지정하세요.
• ‘완료’는 통제가 작동하고 증적을 생성하는 상태로 정의하세요.

Step 6: 진행 상황을 간단히 보고하기

경영진은 워크스트림별 세 가지 수치를 원합니다: 충족, 진행 중, 미착수 요구사항 수, 그리고 지연 중인 위험 항목. 격차 분석을 주기적으로 다시 실행하세요. 저희 도구처럼 실시간 데이터로 계산되면, 격차를 해소하고 프레임워크가 바뀔 때마다 대응 현황 수치가 함께 변합니다.

출발점으로 보유한 프레임워크와 필요한 프레임워크 사이에서 격차 분석을 실행하고 결과를 내보내세요. 비교 페이지에서 가장 흔한 양방향 조합을 확인할 수 있습니다.

질문

컴플라이언스 격차의 우선순위는 어떻게 정해야 하나요?

위험도와 의존성에 따라 정합니다. 먼저 다른 항목을 막는 격차(거버넌스, 범위, 정책), 다음으로 고위험 기술 격차, 그다음 문서화와 증적 관련 항목입니다. 요구사항 번호는 순서를 정하는 데 좋지 않은 기준입니다.

컴플라이언스 개선 과제는 누가 담당해야 하나요?

컴플라이언스 팀이 아니라, 이후 통제를 운영할 사람들입니다. 컴플라이언스 팀은 조율하고 증적을 점검하며, 통제 책임자가 실행합니다.

컴플라이언스 프로젝트 계획은 얼마나 상세해야 하나요?

각 워크스트림에 책임자, 산출물, 일정, 증적 목록이 있을 만큼 상세해야 합니다. 요구사항 단위의 세부 내용은 추적표에 두고, 계획서는 한두 페이지 분량에 맞추세요.