매핑 방법론
ITGC 감사 절차와 ISMS-P 인증기준을 어떤 원칙으로 매핑하는지 정리한다.
1. 매핑의 기본 단위
매핑의 최소 단위는 ISMS-P 101개 인증기준 중 1개다. ITGC 영역(APD / PC / CO / PD) 단위로 묶지 않는다.
ITGC 영역은 회계감사 관점의 분류이고 ISMS-P 인증기준은 정보보호 관점의 분류다. 1개 ITGC 영역이 여러 ISMS-P 인증기준에 흩어져 있고, 1개 ISMS-P 인증기준이 여러 ITGC 영역에 걸쳐 있다. 인증기준 단위로 매핑해야 양방향 추적이 가능하다.
다만 디렉토리는 ITGC 3가지 분류(직접 / 간접 / 기타)에 따라 1차로 나눈다. 직접 영역 안에서는 ITGC 4영역 약어로 세분화한다. 자세한 구조는 ../01-itgc-mapping/README.md 참조.
2. 인증기준당 작성 항목
각 인증기준 페이지는 다음 4개 섹션으로 구성한다.
2.1. ISMS-P 기준 요약
인증기준 — 인증기준 번호·제목·핵심 통제 목표를 1~2 문장으로 적는다. KISA 안내서 발췌 인용은 §5 정책에 따른다.
주요 확인사항·결함사례 — KISA 안내서의 심사 확인사항과 대표 결함 패턴을 자체 문장으로 요약한다.
2.2. ITGC 매핑
이 인증기준이 ITGC 3가지 분류 중 어디에 해당하는지, 직접 영역이라면 4영역(APD/PC/CO/PD), 간접 영역이라면 ELC 부영역 중 어디인지 표기한다. 복수 영역에 걸칠 수 있다.
분류: 직접 (1-direct)
ITGC 영역: APD (Access to Programs and Data)
보조 영역: (해당 시) ELC/personnel
2.3. IT감사에서는 이렇게
ISMS-P 요구사항, IT감사 연계 절차, 모집단, 표본을 한 표에 정리한다. 각 요구사항에 맞는 감사절차를 제시하고 표본·전수·재수행을 구분한다.
2.4. Q&A
회계법인 IT 감사인이 실무에서 묻는 "어디까지 해야 하나?"에 답한다. 실무에서 판단할 수 있도록 근거와 절차를 정리한다.
작성자가 본업에서 클라이언트에게 받은 질문, 감사팀 내부에서 판단이 갈리는 사안, KISA 안내서가 명시하지 않은 부분 등을 다룬다.
Q&A 답변 가이드라인:
- ✅ 왜 그런지 (보안 위험·법적 근거)
- ✅ 어떻게 검증·차단·통제하는지 (구체 권한·절차·로그)
- ✅ 어디까지 검증해야 하는지 (산업군·인증 대상별 범위)
- ✅ 결함 판단 기준 (어떤 상태면 결함, 어떤 상태면 보완 인정)
이 섹션을 가장 중요하게 다룬다. 기존 자료에서 답을 찾을 수 없는 문제에 실무 판단의 근거를 제시하기 위해서다.
3. 매핑 작성 순서
101개 인증기준의 1차 본문은 다음 순서로 작성했다. 이후 보완도 같은 위험기반 순서를 적용한다.
- ITGC 실무 빈도가 높은 영역 우선 — APD (2.5, 2.6) → CO/operations (2.9) → CO/incident (2.11) → CO/dr (2.12) → PD (2.8.1~5)
- 결함 발견 빈도가 높은 인증기준 우선 — KISA 표준 결함사례 빈출 항목
- 법령 직접 연결 인증기준 우선 — 「개인정보 보호법」 직접 조항 매핑 (3장 중심)
- 간접 영역(ELC) — 본업 ITGC 감사의 entity-level 인터뷰 절차와 연계
- 기타 영역(3장 개인정보) — 법령과 KISA 안내서 중심으로 ITGC 범위와 경계를 구분
4. 실무 노트·Q&A 작성 시 익명화 규칙
각 인증기준 페이지의 Q&A 섹션 또는 양획 실무 노트에 작성자의 회계법인 IT 감사 실무에서 가져온 사례·질문을 기재할 때는 다음 규칙을 따른다.
| 항목 | 규칙 |
|---|---|
| 회사명 | ABC회사 / DEF금융 / GHI제조 등으로 익명화 |
| 시스템명 | OOO ERP / XXX HR 등으로 익명화 |
| 인물명 | 모두 제거 (직책·역할만 표기) |
| 날짜 | 연도까지만 (예: "2024년") 또는 분기 단위 |
| 산업군 | 일반화 (예: "비금융 제조업", "금융 외 서비스업") |
| 결함의 본질·질문의 본질 | 그대로 기록 — 이게 매핑의 핵심 자산 |
빅4 회계법인의 구체적 방법론 절차는 NDA를 위반할 수 있어 기재하지 않는다.
5. 1차 자료 처리 원칙
| 자료 | 인용 방식 |
|---|---|
| KISA ISMS-P 안내서 | 기준 판본·인증기준 번호를 명시하고 자체 문장으로 요약. 본문·표·결함사례의 verbatim 복사 X |
| 회계감사기준서·KSA (315, 265, 500 등) | 기준서 번호·문단을 명시하고 자체 문장으로 요약. 미국 PCAOB AS와 한국 KSA 차이는 명시 |
| 「개인정보 보호법」 등 법령 | 필요한 범위에서 짧게 인용하거나 요약할 수 있으나, 시행일·조문·공식 링크·확인일을 함께 표기 |
| 빅4 방법론 | 인용 금지. NDA 잠재 위반 |
| 합격자 후기·블로그 | 2차 자료. 1차와 충돌 시 1차 우선 |
5-1. 시장 관행·실무 통용 표현
공식 표준 자료가 없는 영역(예: 휴면계정 N개월, 퇴직자 적시 회수 N일, 비밀번호 변경주기 시장 관행 등)에서 숫자·범위를 적을 때는 다음 표현을 사용한다.
"회계법인 ITGC 실무 감각 (공식 표준 자료 X. 회사·업종별 변동)"
- 빅4·중견 회계법인의 관행이라고 단정하지 않는다. NDA 위반이나 이의 제기의 소지가 있다.
- 시장 관행 표에서 "양획 본업 시각"만 단독으로 적으면 작성자를 지나치게 강조하므로 피한다. 본문 흐름상 필요하면 사용할 수 있다.
- 숫자를 단정하지 않는다. "약 N일 ~ N일 범위"를 권장하며 참고할 수 있도록 단일 숫자를 적는 경우에도 단서를 붙인다.
- "회사·업종별 변동" 단서를 반드시 붙인다.
6. 매핑 검증
작성자가 매핑한 결과는 다음 방법으로 자가 검증한다.
- 양방향 추적 가능성 — ITGC 영역 → 인증기준, 인증기준 → ITGC 영역 양방향으로 찾을 수 있는지
- KISA 표준 결함사례와의 정합성 — 실무 사례와 KISA 표준이 같은 인증기준 아래 같은 패턴으로 정렬되는지
- 법령 조항과의 정합성 — 법령 직접 조항이 있는 인증기준은 그 조항이 명시되었는지
검증을 통과하지 못한 항목은 페이지 상단에 표기하고 나중에 보완한다.