선제적 감사체계, 무엇부터 갖춰야 실제로 작동하나

문제는 그 사이에 흔적이 줄어든다는 데 있습니다. 로그는 보관 기한이 지나 자동으로 지워지고, 담당자가 바뀌며, 관련 파일은 정리됩니다. 사고가 드러난 뒤 조사를 시작하면 확인할 수 있는 범위가 이미 좁아져 있는 경우가 많습니다. 선제적 감사체계는 이 시차를 줄이려는 접근입니다. 사후 조사에 쓰던 분석을 평상시에 일부라도 돌려 두는 방식입니다.

선제적 감사가 사후 조사와 다른 점

사후 조사는 대상이 정해진 상태에서 시작합니다. 누가 어떤 사안인지 특정된 뒤, 그 사람의 기기와 계정, 관련 기록을 확보해 사실관계를 재구성합니다. 범위가 분명한 대신 그 시점에 남아 있는 자료로만 판단해야 한다는 제약이 있습니다.

선제적 감사는 대상이 정해지기 전에 움직입니다. 특정 개인을 겨냥하는 것이 아니라 조직 전체의 데이터에서 통상과 다른 지점을 정기적으로 확인합니다. 여기서 나온 결과는 혐의가 아니라 확인이 필요한 항목입니다. 이 구분이 중요합니다. 상시 분석은 사람을 지목하지 않습니다. 더 자세히 볼 대상을 추리는 절차입니다.

순서가 반대입니다. 사후 조사는 대상에서 자료로, 선제적 감사는 자료에서 대상으로 좁혀 갑니다.

상시 분석 체계를 만드는 세 단계

1. 무엇을 보존할지 먼저 정한다

상시 분석은 분석할 자료가 남아 있어야 가능합니다. 그런데 접근 기록, 시스템 로그, 파일 이력은 짧은 기한이 지나면 자동으로 삭제되도록 설정된 경우가 많습니다. 첫 단계는 어떤 자료를 얼마나 보존할지 정하는 일입니다. 모든 것을 남기는 것이 목적이 아닙니다. 나중에 사실관계를 확인할 때 근거가 되는 자료가 무엇인지 추려, 그 항목의 보존 기한을 확보합니다. 보존 대상에 개인정보가 포함된다면 목적과 범위를 사전에 정해 두어야 합니다.

2. 정기적으로 볼 대상을 좁힌다

보존된 자료 전부를 매번 들여다볼 수는 없습니다. 두 번째 단계는 정기적으로 확인할 대상을 정하는 일입니다. 대량 반출로 이어질 수 있는 접근, 권한을 벗어난 자료 열람, 평소와 크게 다른 시간대의 활동처럼 확인할 가치가 있는 유형을 몇 가지로 좁힙니다. 최근에는 문서와 메일, 메신저처럼 형식이 일정하지 않은 비정형 데이터까지 확인 범위에 넣는 방식이 늘고 있습니다. 사람이 일일이 읽기 어려운 분량을 먼저 분류해 검토 대상을 추리는 데 분석 도구가 쓰입니다.

3. 징후가 나오면 어디까지 갈지 정해 둔다

상시 분석에서 확인이 필요한 항목이 나왔을 때 그다음을 미리 정해 두지 않으면 결과가 쌓이기만 합니다. 세 번째 단계는 어떤 조건에서 본격 조사로 넘어갈지 기준을 세우는 일입니다. 상시 분석은 넓게 훑는 대신 깊이는 얕습니다. 본격 조사는 대상을 좁혀 원본 무결성을 지키며 자료를 확보하고 정밀하게 분석합니다. 둘을 잇는 기준, 곧 무엇을 누가 어떤 절차로 확인할지가 정해져 있지 않으면 상시 분석의 결과가 실제 확인으로 이어지지 않습니다.

세 단계를 시작하기 전에 확인할 것

세 단계는 규모가 큰 시스템을 새로 들이는 일이 아닙니다. 지금 남기고 있는 자료와 이미 하고 있는 점검을 순서대로 정리하는 데서 시작할 수 있습니다. 실무에서 자주 어긋나는 지점을 몇 가지 짚어 두겠습니다.

사실관계를 확인할 때 근거가 되는 자료 중, 보존 기한이 짧아 먼저 사라지는 것은 무엇인가

정기적으로 확인하기로 한 대상이 실제 위험과 연결되는가, 아니면 보기 편한 항목만 골랐는가

상시 분석에서 항목이 나왔을 때 누가 판단하고 어디까지 진행할지 정해져 있는가

보존과 확인 대상에 개인정보가 포함된다면 목적과 범위가 사전에 정리되어 있는가

선제적 감사체계의 목적은 감시를 늘리는 것이 아니라 확인이 필요한 순간에 볼 수 있는 자료를 남겨 두는 데 있습니다. 상시 분석의 결과는 그 자체로 결론이 되지 못합니다. 더 볼지 판단하는 출발점입니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.