< Chapter 2. 정보시스템 관리, 계획 및 조직 >

목적 : 정보시스템 감사인이 정보시스템의 관리, 계획 수립과 조직에 대한 전략, 정책, 표준, 절차와 관련 실무에 대해

이해하고 평가할 수 있도록 하는 것이다.

수행 업무

1) 조직의 비즈니스 목표를 지원하는지 확인하기 위해 IS전략의 개발, 적용, 유지보수 프로세스 평가

2) IS정책, 표준 및 절차 개발, 적용, 유지보수 프로세스 평가

3) IS정책, 표준 및 절차의 준거 여부를 확인하기 위해 관리실무 평가

4) IS조직과 구조를 평가

5) 외부업체(아웃소싱) 서비스의 선정 및 관리 평가

통제

: 조직의 목적이 달성 되고, 바람직하지 않은 사건들이 예방되고 탐지되며 교정 될 것이라는

합리적 보증을 제공하기 위해 경영진에 의해 고안된 정책, 절차, 실무 및 조직 구조

< 1 장 정보시스템 전략 >

1. 전략 계획 수립 ( Information Strategic Planning )

조직의 목적(목표), 경영전략(장기와 단기계획), 각 부서의 전략(장기와 단기계획)은 일관성 혹은

전략적 연계화가 이루어 져야 한다.

1> 전략 : 자원 제약 상황에서 특정 기간동안 조직의 목적 달성을 극대화 하기 위한 자원활용계획’

1) 특정 기간 : 장기(1년이상 3~5년)와 단기 계획(1년) 2) 목적

Biz 목적 : 이윤의 극대화, 성장, 생존

IT 목적 : 효과성, 효율성, 이행성, 신뢰성, 보안(기밀성, 무결성, 가용성) 3) 자원

Biz 자원 : Financial Assets, Non Financial Assets IT 자원 : Data, Application, Technologes, Facilities, People

2> IS 전략 계획 수립 단계

1) 경영 전략과 정책 분석

2) 업무 요구사항 분석

3) 업무 요구사항을 충족하는데 필요한 정보와 정보기술, 정보시스템과 정보 관리 조직을 정의

4) 구체적인 실행 계획 수립

IS 조직의 장기/단기 계획은 조직 전체의 계획(경영전략)과 일관성이 있어야 함.

3> IS 전략 계획서

: 경영목표, 전략, 조직의 정보 요구사항, 정보시스템 요구사항, 자원활용 계획 ( 특히 단기계획 )

1

2. 운영 위원회

1> 정의 : IS 부서가 기업의 목적, 사명과 조화를 유지하도록 하는 기구

IS 부서의 활동을 감독

2> 구성

의장 : 이사회의 구성원이 맡는 것이 바람직 함. 구성원 : 고위 경영진, 정보시스템 부서, 사용자 부서 관리자의 대표들로 구성

3> Charter : 운영위원회의 의무와 책임은 공식적인 규정(Charter)에 정의되어야 한다.권한, 책임, 책임 추적성(Accountability)

=> 각 위원은 본인이 대표하는 업무영역과 관련하여 의사 결정 할 수 있는 권한이 있어야 한다.4> 기능

1) IS 부서의 장단기 계획이 기업 목적에 일치하는지 여부를 검토

2) 이사회가 승인한 한도 내에서 도입되는 H/W와 S/W의 검토 및 승인

3) 주요 프로젝트 승인 및 점검, 우선순위 결정, 표준 및 절차승인, IS 성과 전반에 걸쳐 점검

4) IS부서와 사용자 부서사이의 교섭을 제공

5) 주요 프로젝트, IS 계획 진척 현황 및 연간예산의 승인 및 점검

6) 시간, 인력, 장비의 측면에서 자원의 적합성과 자원 분배에 대해 검토

7) 중앙집중 처리방식과 분산 처리방식에 대한 의사 결정과 책임의 할당.8) 정보시스템 활동의 모두 또는 일부에 대한 아웃소싱을 검토 및 승인

9) 의사결정 및 책임의 할당

운영위원회는 대개 주요 IS 프로젝트에 대한 일반적 검토위원회로서의 역할을 수행하며

일상적인 운영업무에는 관여해서는 안된다.

위원회 활동과 결정을 문서화하고

IS 활동을 이사회에 알리기 위하여 공식적인 IS 운영위원회 회의록을 기록관리 하여야 한다.

2

< 2 장 정책과 절차 >

1. 정책과 절차

: 전략, 정책 ( 기업 정책, 부서 정책), 절차, 실무는 일관성이 있어야 하며 일선 실무자에게 전달되고 숙지 되어야

한다.1> 정책 : 정책은 상위 레벨의 문서로써 한 조직의 기업 철학, 고위 경영진의 업무 프로세스

책임자의 전략적 사고를 대변한다. 변경이 잦지 않음. 경영진은 모든 정책을 정기적으로 검토해야 하며 상황 변화가 정책에 반영되게 해야 한다. 기업 정책과 개별 사업부나 부서의 정책이 있음. 정책 수립 방법 : Top-down방식, Bottom-up 방식

2> 절차 : 절차는 자세하게 기술된 문서로써 정책으로부터 도출되어야 한다. 절차는 정책보다 더 동적으로 변경되어야 하며 수시적으로 검토가 필요하다. 절차서에는 업무 프로세스와 그 안에 내재된 통제가 기술되어 있다.

2. 내부 자원의 활용 – 인사 정책/ 실무

고용에 대한 통제 위험

1) 스텝이 충원되어야 할 직책에 적합하지 않을 수 있다.2) 신원 조회가 수행되지 않을 수 있다 – Reference Check가 수행되지 않을 위험

3) 임시 직원 및 제3 계약자는 통제되지 않는 위험을 야기할 수 있다.4) 비밀 유지 요구 사항에 대한 의식의 결여 – 보안사항에 대한 의식 결여

교차 훈련 : 업무의 가용성, 통제 우회 위험이 존재

직무 순환 : 업무의 가용성, 부정 탐지 및 예방, 통제 우회 위험이 존재

강제 휴가 : 부정 탐지 및 예방

직무 순환은 특정 직원이 담당하고 있는 주 업무를 주기적으로 바꾸는 것이고

교차 훈련은 자신의 주 업무는 바뀌지 않으면서 부수적으로 타 업무를 수행해 보는 것이다.

cf) 직무 순환 : 특정 직원이 담당하고 있는 주 업무를 주기적으로 바꾸는 것. 직무 확대 : 비슷한 Level의 업무 범위 확대 => 수평적 업무 확대

직무 충실화 : 더 높은 Level의 업무 확대 ex) 관리자 업무 겸용 => 수직적 업무 확대

퇴직 정책

- 퇴사 및 해직 절차가 문서화 되어야 함.- 퇴사시에는 신분증과 회사 재산이 반납 되어야 함.- 로그온 ID와 패스워드는 물론 급여 파일에서 이름이 삭제 되어야 함.- 퇴사 후에도 기밀 누설 금지의 의무가 있음을 상기 시켜야 함.- 퇴사하였음을 알리고 비자발적 퇴사 시 회사 밖까지의 통행(escort)이 필요함. 시스템에 대한 접근을 가장 먼저 막아야 한다.(로그온ID, 패스워드 삭제)

3

3. 아웃소싱

1> 정의 : IPF (Information Processing Facility)의 기능의 일부 혹은 전부(통제,IS, IS Service)를

외부기관에 맡기는 것.2> 분류

IS SI ( System Integration ) IS Service SM ( System Management )3> 의미 : 아웃소싱은 단지 비용 측면에서의 결정이 아니라 경영자에게 의미 있는 전략적 결정이다. 아웃소싱에 대한 궁극적인 책임은 경영진에게 있다.

4> 아웃소싱에 착수하는 이유

- 핵심 활동에 역량을 집중할 필요성

- 이익실현에 대한 압박

- 원가 절감을 요구하는 경쟁의 증가

- 조직과 구조에 대한 유연성

5> SLA ( Service Level Agreement : 서비스 수준 협정) = Contract 중요한 통제 수단이 됨

IS Auditor에게 중요한 관심 사항이다. 품질과 관련된 당사자 사이의 향후 협력을 위해서도 매우 중요하다. SLA에 대한 준거성은 주기적으로 감사되어야 하며 이것은 사용자를 면담하고 설문지로 조사함

으로써 판단 할 수 있다.

6> 아웃소싱으로 인한 사업 위험

: 기대이상의 비용, 경험손실, 통제상실, 용역회사 사업실패, 용역계약의 취소/변경곤란

위험을 감소 시킬 수 있는 방법

1) 파트너쉽에 의한 측정가능한 공동 목표 설정 (사업공유), 2) 다수의 공급자를 활용하거나 하나의 유인책(Incentive)으로서 사업의 일부는 그대로 유지

3) 기능 보완적 계약 관리 팀을 구성, 경쟁부서 운영.4) 성과 측정 지표의 계약

5) 주기적인 경쟁력 검토 및 벤치마킹/벤치트렌딩

6) 단기 계약으로 실행(implementation)

7> 아웃소싱 관련 IS Auditor의 관심사항.

1) Biz Requirement의 충족(반영) 여부 확인

2) Vendor의 사업 영속성 확인 – Vendor의 재무제표(F/S), BCP(사업연속성계획)/DRP(재난복구계획)3) 감사 권한이 있는지 확인 ( Auditability )4) 접근통제 및 데이터의 보안 상태 / 법적 요구사항 준수 여부 확인

5) 데이터 등에 대한 소유권

6) 인적요소, 변경통제 및 시험, 성과관리

4

Escrow Contract ( Agreement )

: 아웃소싱업체 문제 발생시 사업연속성을 보장받는 제 3자와의 계약

Ex) 아웃소싱을 맡겼을 때 벤더가 파산 할 경우 Escrowee가 벤더의 역할을 대시 수행

≫ 설정자(Settlor = Vendor = Licensor) : 원시코드의 지적 재산권을 가진 벤더

≫ 보관물(Deposit) : 원시코드, 실행파일, 관련문서 및 필요 정보들.≫ 중개인(Escrow agent, Escrowee, Trust agent) : 보관물을 보관하는 곳

≫ 피재산권자(Client = Licensee = Beneficiary 수혜자) : 유사시 지적 재산권 이용자

< 3 장 정보시스템 관리 실무 >

정보시스템 평가 방법은 조직의 활동이 계획 또는 예상된 수준으로부터 벗어 났을 경우나

벗어났을 때를 경영진이 결정(판단)할 수 있는 방법을 제공한다.

벤치 마킹 , 차이분석 , 최적 실무 분석 , 균형 점수 카드 (BSC) 차이 비교

- 벤치 마킹 : 타 조직 혹은 타 시스템의 성능과 비교. - 차이 분석 : 벤치마킹과 유사하나 주로 표준과 예산을 비교. - 최적 실무 분석 : 업계의 최적의 실무나 표준과 비교. - 균형 점수 카드(BSC) : 재무적 성과 지표 외에 다양한 지표를 활용하여 성과를 측정하는 방법.

* 소프트웨어 미터링 : 라이센스 계약에 따라 소프트웨어가 사용되고 있는지를 측정하는 것.

Charge-back(비용배분) 시스템

: 비용배분 시스템은 IPF(정보처리 설비)에 의하여 제공되는 서비스의 효과성과 효율성을 측정하는 도구를 정보시스템

및 사용자에게 제공하며 정보시스템 부서와 사용자 부서의 공동 책임이다.

User Pays Scheme (사용자 비용지불구조)

: 인건비, 컴퓨터 사용시간, 기타 관련비용 등이 포함된 정보시스템 서비스 비용을 표준 공식이나

계산방식으로 산출하여 최종사용자에게 청구

기록 시스템 ( Logging System )

: 작업모니터링, 실제성과를 평균치와 비교, 오류에 대한 조기 경보 체제

감사 증적 (Audit Trail)의 역할을 함

- 효율성 평가 : 기존의 시스템이 어떻게 향상될 수 있는가에 관련된 평가

- 효과성 평가: 사전에 정해진 목표와 실제 성과를 비교하는 평가

운영적인 측면, 기술적인 측면, 경제적인 측면

5

* 품질 관리

1> 품질 : 어떤 실체가 가지고 있는 특성의 총체

특성 : 사용자 관점(외부 관점) – 사용하기 적합한 특성

개발자 관점(내부 관점) – 사양과 일치 할 수 있는 특성

2> 품질관리 : 정보시스템부서의 프로세스를 통제하고 측정하여 향상시키는 수단

프로세스 : 적절히 수행되었을 때 의도된 결과를 얻을 수 있게 하는 일련의 과업

3> 품질관리의 접근법

Resource Process 평가 Product 평가

전 사업에 적용 ISO 9000 시리즈

IT, S/W산업 CMM ISO 9126SPICE ISO 14598

1. 제품(Product) 평가

1) ISO 9126 : S/W 품질 특성 및 관련 척도를 정의

S/W 라이프사이클 동안에 소프트웨어 요구사항을 구체화하고 S/W 제품의 품질을 평가할 때 사용되는 품질평가

프로세스와 특성을 정의

소프트웨어의 품질을 계량적으로 측정하기 위한 계량 척도들을 정의.

품질 특성 – 개발자 관점 (내부관점) – 40개 특성

사용자 관점 (외부관점) – 6개 특성, 21개 부특성

A.기능성(Functionality) : 모든 기능 구현

B.신뢰성(Reliability) : 안정적인 성능

C.사용성(Usability) : 사용자가 배우고 사용하기 쉬운가 ?D.효율성(Efficiency) : 자원과 시간의 소요량이 얼마나 적은가

E. 유지보수성(Maintainability) : 변경 용이성

F. 이식성(Portability) : 사용자가 쉽게 Install 할 수 있는가?

2) ISO 14598 : ISO 9126에 근거하여 품질을 측정하는 구체적인 프로세스 표준 정의

6

2. 프로세스 평가

1) ISO 9000 2000 시리즈

: 모든 산업에 적용될 수 있는 품질관리 시스템에 관한 일련의 국제표준

2) CMM (Capability Maturity Model )

: S/W 프로세스 성숙도의 바탕이 되는 원리와 활동들을 설명해 주며, S/W 조직의 현재 프로세스

성숙도를 판정하고, S/W 품질과 프로세스를 개선하기 위해 가장 중요한 몇가지 이슈를 파악함으로

써 그 조직이 프로세스 개선 전략을 선택하는 것을 도와 줄 수 있도록

미국 국방성 지원하에 카네기 멜론 대학의 SEI 연구소에서 개발

- IT 조직의 프로세스 관리 수준

1. 초기(Initial) : 예측불가능, 통제 불충분

2. 반복(Repeatable) : 프로젝트의 관리프로세스가 문서화되고 이를 반복적으로 사용함.3. 정의(Defined) : 잘 정의된 프로세스에 따라 프로젝트가 관리됨

4. 관리(Managed) : 프로세스가 측정되고 통제됨

5. 최적화(Optimizing) : 프로세스의 개선에 초점을 둠.

대규모 사업장에 적용

제품의 개발 공정에 대한 적절한 품질 보증을 통해 최종 산출물의 평가에 소요되는 노력을

상당히 절감 할 수 있다. 각각의 주요 프로세스 영역에 대한 능력을 평가하여 조직에 대한 단일의 성숙도를 평가하는 모델.

3) SPICE

: 조직이 프로세스 개선을 위하여 프로세스의 현 상태를 파악하려 하거나 자기 조직이나 타 조직의

프로세스의 적합성을 판단하기 위하여 ISO에서 개발한 표준

- 5개의 프로세스 범주, 29개의 프로세스, 각 프로세스에 6개의 등급

대규모 및 소규모 사업장에 모두 적용

CMM 과 달리 각 프로세스별로 성숙도 평가

- ISO 9000 : 생산 및 서비스 업체의 품질 관리 시스템을 평가하고 개선하기 위한 지침

- ISO 9126 : 소프트웨어의 품질을 계량적으로 측정하기 위한 계량 척도들을 정의

- ISO 12207 : 표준 시스템 개발 수명 주기를 정의

- ISO 14598 : ISO 9126에서 정의한 시스템 품질 척도의 측정 절차를 정의

* ISO 9001을 근간으로 구현된 품질 시스템

장점 – S/W 수명주기활동 / 품질보증 / 품질관리의 개선을 증강

단점 – 시스템의 생산성, 신뢰성 혹은 비용 효과성과 관련된 문제에 대한 명백한 답을 제공할 수 없다.

7

< 4 장 정보시스템 조직 구조와 책임 >

* 관리구조 : 라인 관리구조, 프로젝트 관리구조

* IS 부서의 임무

* 직무 분리

1> IT 부서내 직무 분리

2> IT부서와 비 IT부서 사이의 직무 분리

IT 부서내에서 직무 분리가 되지 않았을 경우 (=> 통제약점) IT 부서와 비 IT부서 사이의 직무 분리를 하는 것은 보완 통제의 한 예이다.

1. 관리 구조

1> 라인 관리구조 : 반복적, 연속적, 일상 운영 업무

- 유지보수, 자원운영, 일반관리 등의 일상 업무

- 조직의크기, 플랫폼, 성숙도에 따라 달라 질 수 있으며, 개인이 여러 역할을 수행 할 수도 있음. - 감사시 운영(정보처리)과 개발(프로젝트, 유지보수)의 분리가 필요

1) 시스템 개발담당 관리자 : 기존의 시스템을 유지관리하고 신규 시스템을 구현하는데 필요한

프로그래머와 시스템 분석가에 대한 책임을 진다.2) 사용자 지원담당 관리자 : IS 부서와 최종 사용자의 중재 역할을 한다.3) 기술지원 담당 관리자 : 시스템 프로그래머에 대한 책임을 진다.4) 운영 관리자 : 컴퓨터운영자, 라이브러리안, 스케줄러 및 데이터 통제 직원 등 운영 관련 직원에

대한 책임을 진다.5) 데이터 관리자 : 대규모 정보기술 환경에서 데이터 아키텍쳐에 책임이 있으며, 기업의 자산인

데이터를 관리하는 임무가 있음.6) 데이터베이스 관리자 : 조직의 데이터베이스 시스템을 유지관리하고 무결성을 유지할 책임을 짐.7) 품질보증 담당 관리자 : 주로 시스템 개발 활동에 초점을 맞추지만, 정보기술 전 분야에서

활동을 협의하고 촉진함.8) 보안 관리자 : 정보시스템 프로그램, 데이터, 그리고 설비에 대한 적적한 물리적 및 논리적

보안을 책임짐.

2> 프로젝트 관리구조 : 일회적, 일시적, 시스템 개발 업무

- 정해진 자원(납기, 비용, 인원)으로 품질이 보장되는 제품 구현.

8

3. IS 부서의 책임과 의무

1> 정보 처리 : 대부분 정보 처리 환경(Environment)의 운영 측면에 관련되며, 대개 컴퓨터 운영, 시스템 프로그래밍, 정보통신 및 라이브러리안 기능을 포함한다

2> 시스템 개발 : 컴퓨터 응용 시스템의 개발, 구입 및 유지보수와 관련되며, 시스템 분석 및 응용 프로그래밍 기능을 수행한다.==> 감사와 통제의 측면에서 보면, 운영과 개발의 기능을 적절히 분리하여, 프로그래머가 실제 업무에 사용되는 데이터

파일과 프로그램에 접근하지 못하도록 하는 것이 가장 중요하다.

==> 많은 소규모 정보 처리 환경에서는 운영과 개발의 기능이 적절히 분리되지 못할 수도 있다. 이러한 상황에서는 IS 감사인은 보완 통제 (예를 들면, 강력한 컴퓨터 보안 및 통제 보고서에 대한 최종 사용자의 조정) 여부를 식별하는

것이 중요하다.

일반적으로 대규모 정보 처리 환경에서 나타나는 기능 영역(functional area)

가. 데이터 입력 => 데이터 준비(원시데이터를 컴퓨터가 판독하고 처리할 수 있는 형태로 변환)정보 시스템의 초창기에는 데이터가 다양한 부서로부터 수집되어 배치 작업을 통하여 입력되었다. 오늘날, 온라인

환경하에서는 일반적으로 사용자 부서 직원이 데이터를 입력하거나 고객에 의해 개시된다. 데이터 입력의 기능의

분리는 온라인인지 배치인지의 환경에 따라 달라진다. 각각의 경우 데이터 무결성을 유지하기 위한 책임에 대한

설명은 다음과 같다.

(1) 온라인 데이터 입력

만일 데이터가 온라인으로 입력되고 데이터 발생 부서에 의하여 통제된다면, 데이터는 시스템에 의하여 보호되고

적절히 편집되어야 한다. 입력되는 시점에서 데이터가 승인되고 , 정확하며 , 완전하도록 하는 것은 입력 부서 관리자의

책임 이다 . 온라인 시스템은 입력되는 데이터의 기본적인 입력 검증을 위하여 다양한 스크린 편집 기능을 제공한다. 예를 들면 범위 검사(range check), 숫자-문자 체크(alpha-numeric check), 한도 체크(limit check), 내장된

테이블에 사전에 정의된 유효 값의 체크(valid predefined value check) 등의 기능이 있다. 적절한 기능의 분리를

위해서는, 해당 부서의 관리자나 감독자가 오류나 거부된 입력 내용을 재입력하거나 대체할(override) 책임을 져야

한다. 재입력된 모든 거래는 최초로 입력된 데이터와 똑같은 편집 과정을 거치도록 해야 한다. 또한 데이터 입력

요원은 소프트웨어나 중요한 데이터 파일에 접근하거나 갱신할 수 없도록 해야 한다.

(2) 배치 데이터 입력(Batch Data Entry)

정보시스템 부서 내에서 데이터 입력은 전형적으로 데이터 통제 부서(data control department)의 책임이다. 이 부서가 수행하는 태스크는 다음과 같다.Ø 여러 현업 부서로부터 원시 문서를 접수하고, 전산 처리가 완료되어 원시 문서와 출력물이 다시 회송될

때까지 원시 문서를 적절히 보호한다

Ø 정확한 통제 합계(control total)와 함께 원시 문서의 배치를 준비한다

Ø 입력을 처리하기 위하여 스케쥴을 작성하고 작업을 준비한다

Ø 기밀 정보에 대해서는 특별히 주의를 기울여 출력물을 검증하고, 기록하며 적절한 부서에 배포.데이터 통제 부서는 작업을 적시에 처리할 수 있도록 적절하고 승인받은 직원들을 배치하여야 한다. 작업이 적절히

준비되고 처리를 위해 제출되도록 하기 위하여 감독자가 배치되어야 한다. 이 사람은 모든 예외사항과 거부된 입력

사항들이 현업 부서에 반송되어 적시에 다시 제출되도록 해야 한다.

9

나. 라이브러리안(Librarian)

라이브러리안(Librarian)은 통상 데이터 통제 관리자에게 보고하는 전업(full-time) 직원이어야 한다. 그러나

소규모의 조직에서는 이 기능이 데이터 통제 그룹의 요원에 의하여 수행될 수도 있다. 라이브러리안은 정보 처리 설비

내에서 컴퓨터 테이프나 디스크상에 유지 보관되는 모든 프로그램과 데이터 파일들을 기록하고, 제공하고, 회수하고, 안전하게 보관해야 한다. 대부분의 조직들은 릴/카트리지 테이프의 재고 관리와 장착을 지원하기 위하여 자동화된

테이프 관리 시스템(TMS: Tape Management System)을 사용한다. 라이브러리 통제용 소프트웨어는 프로그램

버전을 통제함으로써 프로그램 변경 통제를 자동화하기 위하여 사용된다.

다. 통제 그룹(Control Group)

통제 그룹(control group)은 입력 데이터의 수집, 전환(conversion), 통제에 대한 책임을 지는 경우가 종종

있으며, 출력을 대사(balancing)하고 사용자 부서에 배부하는 책임을 지는 경우도 종종 있다. 입출력 통제 그룹은

승인 받은 사람만 출입이 허용되는 독립된 장소에 위치하여야 한다. 통제 그룹의 관리자는 대개 정보 처리 부서 내의

운영 관리자에게 보고한다.

라. 운영(Operations)

운영은 정보 처리 설비(IPF)와 같은 의미를 갖는다. 이 부서에는 컴퓨터를 효과적이며 효율적으로 작동시키는 데에

필요한 모든 인원이 포함된다. 컴퓨터 실 영역(Computer room area)은 보안이 유지되어야 하고, 승인받은 사람만

접근하도록 하여야 한다. 오직 운영 부서 인원만이 정보 처리 설비에 접근할 수 있어야 한다. 운영 담당 관리자는 IPF에 대한 책임이 있으며, IPF 담당 임원에게 직접 보고한다.

< 컴퓨터 운영과 관련된 관리 통제 >(1) 물리적 보안 (Physical security)

물리적 보안은 절도, 화재, 홍수, 악의적 파괴 및 기계적 또는 전력 공급상의 실패로부터 파생되는 컴퓨터 처리

능력상의 손실로부터 조직을 보호하는 다양한 방법이나 통제를 의미한다. 물리적 보안 수단은 발생 가능한 모든

손실을 다룰 만큼 충분해야 한다.

(2) 데이터 보안 (Data Security)

데이터의 보안에는 데이터가 승인받지 않은 채 우연히 또는 의도적으로 공개되거나, 변형/파괴되는 것을 방지하기

위해 설계된 기준과 절차가 포함된다. IPF에서 수행되는 관리 통제의 중요한 부분은 적절한 수준의 데이터 보안을

유지하는 것이다.

데이터 보안 프로그램은 다음을 효과적으로 통합한다.Ø 데이터의 처리 과정에서 사용되는 하드웨어 및 데이터가 저장되는 매체를 안전하게 보호하는

물리적 보안

Ø 데이터 보안과 기밀 유지의 필요성을 다루는 직원 교육. 직원들은 또한 이 분야에 있어서

회사의 지침을 위반하는 사람에게 부가될 처벌을 이해하고 있어야 한다

Ø 데이터에 대한 부당한 접근을 예방하고 탐지하기 위하여 소프트웨어나 시스템에 내장(hardwired)된

통제 등의 논리적 보안

10

(3) 처리 통제 (Processing controls)

Ø 처리 통제는 조직이 적시에 완전하고 정확한 데이터를 받아 안전하게 처리하도록 하기 위하여 필요하다. 이러한 통제는 컴퓨터 운영 그룹에 의하여 수행되는 다음과 같은 작업들에 특히 관련되는 것이다.

Ø 처리통제는 데이터 통제그룹과 프로덕션 통제 그룹이 수행한다.A. 데이터 통제 그룹 : 시스템 실행에 필요한 모든 데이터에 대해 책임을 짐

출력 정보의 완전성 보장을 위해 검사하는 책임을 짐

B. 프로덕션 통제 그룹 : 작업일정계획(Job scheduling), 작업제출(Job submission) 및 매체 관리의 책임을 짐

마. 보안 관리(Security Administration)

경영진은 보안상의 위험을 이해하고 평가하여야 한다. 고위 경영진은 준수해야 할 기준과 절차를 명확히 나타내는

성문화된 정책을 개발하고 이를 준수하도록 요구하여야 한다. 보안 관리자의 책임은 이 정책에 반드시 규명되어야

한다. 보안 관리자는 전업 직원이어야 하며, IPF 담당임원에게 직접 보고함으로써 보안 관리자에 대한 기능의 분리가

적절히 이루어져야 한다. 그러나 소규모의 조직에서는 보안 관리를 위해서 별도로 사람을 고용하는 것이 현실적이지

못할 수도 있다. 이 기능을 수행하는 사람은 직원들이 회사의 보안 관련 정책을 준수하도록 하고 데이터, 프로그램 및

설비를 포함하는 회사의 자산에 대한 부당한 접근을 방지할 수 있도록 통제를 적절하게 유지 하여야 한다.

< 보안 관리자의 역할 >

Ø 파일 및 전산자원에 대한 접근 규칙의 유지 관리

Ø 인가된 사용자 ID와 패스워드의 발행과 적절한 유지에 관한 보안과 기밀성의 유지

Ø 보안 위반사항을 감시하고 바로잡음으로써 보안성 확보

Ø 보안 정책을 주기적으로 검토, 평가하고, 변경이 필요한 사항을 경영진에게 건의

보안 정책은 최고 경영자가 임명한 사용자 부서의 고위 경영진이 수립

바. 품질보증(QA : Quality assurance)

QA그룹은 회사의 기준 및 명명 규칙 (naming convention) 에 부합되도록 하기 위하여 테스팅과 검증(verification)을 수행한다. 어떤 조직에서는 이 그룹이 데이터 통제 그룹의 일부가 될 수도 있지만 어떤 경우에도 프로그래밍

직원의 일부가 되어서는 안 된다. QA 그룹은 또한 다양한 응용시스템의 입력, 처리 및 출력의 정확성(accuracy)과

인증성(authenticity)을 주기적으로 검사함으로써 도움을 줄 수도 있다. 품질 보증 그룹은 품질보증(QA: Quality Assurance)와 품질 통제(QC : Quality Control) 있음. Ø 품질보증 : 직원들이 사전 정의된 품질 프로세스를 준수하고 있음을 보증

Ø 품질통제 : S/W가 결함이 없으며 사용자의 기대를 충족함을 검증하고 보장함.

사. 데이터베이스 관리

데이터베이스 관리자(DBA : Database Administrator)는 IPF 실장(director)에게 직접 보고한다. DBA는

대규모의 데이터베이스 시스템에 저장되어 있는 공유된 데이터의 보안과 정보등급의 분류를 책임진다. DBA는

회사의 데이터베이스에 대한 실제적인 설계, 정의 및 적절한 유지보수를 책임진다. DBA는 응용시스템의 프로그래밍

업무를 담당하거나 최종사용자로서의 임무를 맡아서는 안되기 때문에, 자신이 관리하는 데이터베이스 내의 데이터에

접근하는 것이 금지되어야 한다.DBA의 역할

11

Ø (컴퓨터에 따른) 물리적 데이터 정의를 구체화(Specifying)Ø 성능을 향상시키기 위하여 물리적 데이터 정의를 변경

Ø 데이터베이스의 최적화 도구를 결정

Ø 프로그래머 및 최적화 도구를 시험하고 평가

Ø 데이터베이스 구조에 대한 프로그래머의 질문에 응하며 교육을 제공

Ø 데이터베이스에 대한 정의통제(definition control), 접근통제, 갱신통제 및 동시성 통제

(concurrent control)등 설정

Ø 데이터베이스의 사용을 감시하고 성능에 대한 통계를 수집하며 데이터베이스의 튜닝(tuning)함Ø 백업과 복구절차를 정의하고 수행

==> DBA는 데이터베이스에 대하여 요구되는 통제를 설정하는 도구를 가지고 있으며 이러한 통제들을

무력화 시킬 수 있는 능력을 가지고 있다. DBA는 또한 사용자들의 패스워드를 입수하고 데이터에 접근할 수 있다.

DBA에 대한 통제

Ø 직무의 분리

Ø DBA활동에 대한 관리자의 승인

Ø 접근 기록(LOGS)에 대한 감독자의 검토

Ø 데이터베이스 관련 도구들의 사용에 대한 탐지 통제(Detective Control)

아. 시스템 분석

시스템 분석가는 사용자의 요구사항에 근거하여 시스템을 설계하는 전문가이다. 이들은 시스템 개발 주기(SDLC)의

초기 단계에 주로 개입된다. 시스템 분석가의 기능은 프로젝트 리더의 기능과 유사하다. 이들은 사용자의 요구사항을

해석하고 특정의 응용 시스템을 창출하기 위하여 필요한 프로그램과 프로그래머를 결정하는 책임을 진다.

자. 응용 프로그래밍

응용 프로그래밍 분야는 실제 업무에 사용되는 프로덕션 시스템을 유지할 책임이 있는 응용 프로그래머들로

구성된다. 이들은 반드시 시험 환경에서만 작업하도록 하여야 하며 시험 버전을 실행 환경으로 이동시켜서는 안

된다. 이 응용 프로그래머들은 시스템 프로그램 라이브러리에는 접근할 수 없어야 한다.

차. 시스템 프로그래밍

시스템 프로그래머들은 운영 체제 (OS) 를 포함하여 시스템 소프트웨어를 유지 관리하는 책임을 진다 . 이 기능은 전체

시스템에 대하여 무제한적인 접근을 허용할 수도 있다 . 그들은 자신들의 작업에 대한 기록 (log) 을 유지 하여야 하며

자신들이 유지 보수하는 특정한 소프트웨어에 관련된 시스템 라이브러리에만 접근할 수 있어야 한다 .

카. LAN관리

LAN관리자는 IPF 담당 임원에게 보고할 수도 있고, 분산화된 처리환경 하에서는 최종사용자(end-user)

관리자에게 보고할 수도 있다. 이 관리자는 근거리통신망(LAN)에 대한 기술적 및 관리적인 통제를 책임진다. 여기에는 전송 링크(transmission link)를 적절히 작동되도록 하고, 시스템 백업을 수행하며, 소프트웨어나

하드웨어의 구매를 승인하고 적절히 설치하는 것 등이 포함된다. 소규모의 조직에서는 LAN 관리직이 LAN 에 대한

12

보안관리도 같이 수행할 수도 있다. LAN 관리자가 응용시스템의 프로그래밍 책임을 맡아서는 안 되지만 , 최종사용자

(end-user)로서의 책임은 맡을 수도 있다.

타 헬프 데스크 사용자 지원(Help Desk) 관리

요즈음의 IS 환경하에서는, 보다 더 많은 기업들이 시스템 프로그래밍에 사용되는 운영체제 성능 향상기술을

전문적으로 다루는 기술관리 안내 데스크 사용자 지원이 중요하다는 사실을 알게 되었다. 사용자 지원기능은 대개

메인 프레임 (Main Frame) 과 클라이언트 서버 (Client Server) 하드웨어 및 소프트웨어의 시스템 성능을 감시하고 , 개선하고 통제하는 것이다.

직무 분리상의 고려 사항

1. 컴퓨터 운영자 : 라이브러리언과의 겸임 정도만 가능

2. 데이터 입력 : 시스템 분석 기능과의 겸임 정도만 가능

3. 통제 그룹 : 시스템 개발 및 컴퓨터 운영자의 겸임은 불가

4. 라이브러리언 : 시스템 개발 기능과의 겸임은 불가

5. 보안 관리 : 통제 그룹, DBA, QA 정도와의 겸임 가능

6. 품질 보증 : 시스템 분석 및 응용프로그래머와는 겸임 불가

7. DB 관리 : 응용프로그래머와 시스템프로그래머, 데이터입력 및 컴퓨터 운영자와 겸임 불가.8. 시스템 분석 : 응용 프로그래머 및 DBA 와만 겸임 가능

9. 응용 프로그래머 : 시스템 분석과의 겸임 정도만 가능

10. 시스템 프로그래머 : QA와의 겸임 정도만 가능

개발과 운영은 반드시 분리 되어야 하고 개발과 유지보수는 겸임 가능

13

1> 개발 환경 시스템 분석, 응용 프로그래머

End User

요구사항

System Analysis - 사용자 요구사항 분석

- 기능적 사양 분석

- 상위 수준의 설계

App Programmer - Coding - Debugging

Test : 단위(Module) Test -> 통합 Test -> 시스템 Test -> 인수 Test

= Transition = Migration = Implementation 운영

Test 환경에서 운영 환경으로 이관시 참여 가능한 조직

: 컴퓨터 운영자, 품질 보증 그룹, 변경 관리 그룹

2> 운영 환경 => 수작업, 배치 입력/처리

User : Data 발생 ( Origination ) 비교(Reconciliation) - 산출물 보관

User 부서 관리자 : 승인 ( Authorization )

Batch Control Total Data Control 그룹 : Data Collection Balancing Sheet - 산출물 배포

(I/O Control 그룹) => 문서합계,항목합계,금액합계, 해쉬 합계 - Error Handling

Data Entry 그룹 : Data 전환(Conversion), 준비(Preparation)

Computer Operator : Job Scheduling / Submission Validation / Editing (확인/편집) => 매뉴얼 P395,396

* Reconciliation - 협의의 Reconciliation : Error Correct (에러 정정)

- Batch Control Total(배치통제합계) : Error Identification (에러 식별) => 대조 활동 중에 발견된 차이나 오류를 분석하고 수정하는 것이 조정 활동이다.

14

통제그룹(Control Group) : 입력 데이터의 수집/변환/통제와 출력을 대조(Balancing)하고 사용자부서에 배포

=> 통제그룹의 관리자는 대개 정보처리 부서 내의 운영관리자에게 보고한다.

라이브러리언(Libarian) : 정보처리 설비 내에서 컴퓨터 테이프나 디스크상에 유지 보관되는 모든 프로그램과

데이터 파일들을 기록, 반출, 회수하고 안전하게 보관.=> 전업 직원 혹은 데이터 통제그룹의 요원이 수행

* 보안 정책 수립의 책임 : 최고경영자, 이사회

3. 직무의 분리 ( 업무 분장, 기능 분리, 직무 분리, 책임 분리 )

: 직무의 분리는 부서간 혹은 업무 수행자간 명확한 역할 분담을 가능하게 함으로써

Ø 업무 효율을 제고하고

Ø 책임 소재의 식별을 용이하게 하고

Ø 직원들이 오류나 부정행위를 저지르고 숨길 가능성을 줄이는데 기여한다. 지나친 기능의 분리는 업무의 비효율성을 초래하거나 조직의 융화와 부서간 의사소통의 장애물이

되기도 한다.

1> IT 부서내 직무 분리 원칙

1> 정보처리영역 ( 운영 ) 과 개발 의 기능을 적절히 분리

=> 특히 응용 프로그래머가 실제 업무에 사용되는 데이터 파일과 프로그램에 접근하지 못하게 함

2> 남의 업무를 통제하거나 평가하는 사람은 해당업무에 종사해서는 안됨

ex) QA와 시스템 개발 영역은 반드시 분리

IS 부서가 너댓명으로 구성된 소규모 조직에서는 직무분리 미흡에 따른 위험을 줄여 줄 수 있는

보완 통제가 필요하다.Ex) 강력한 컴퓨터 보안, End User에 의한 통제 보고서의 조정(Reconciliation)

15

2> IT 부서와 비 IT 부서의 직무 분리

1. 거래 승인: 거래승인은 사용자 부서의 책임이다. 입력 승인을 주기적으로 체크해야 한다.2. 조정(Reconciliation) : 조정 역시 사용자의 책임이다.

데이터 통제 그룹이 부분적으로 수행

3. 자산의 관리 : 자산 보호의 책임은 데이터 소유자에게 있다. 데이터 소유자는 데이터 접근 수준을 결정한다.4. 데이터 접근 통제 : 사용자 부서와 IPF 모두 책임짐

5. 승인 양식과 사용자 승인 테이블 : 사용자 부서의 관리자는 접근 권한을 양식으로 부여

6. 예외 보고 : 예외사항의 보고와 처리가 보장 되어야 함.7. 감사 증적 : 부적합한 직무 분리에 대한 보완 통제임

8. 거래 로그 : 수작업으로 혹은 자동으로 생성되어야 함.

데이터 소유자 ( Data Owner ) 특정 사용자 부서의 관리자

- 거래에 대한 승인

- Data에 대한 분류

- Data에 대한 접근 권한의 Level 결정 -> Authorization Form Custodian ( 보관자, 관리자 ) 주로 IT 부서

- 승인된 거래를 입력/처리/출력 -> User Authorization Table

IS 감사인이 부정 행위를 탐지할 경우에 대한 보고

: IS 감사인이 피감사 조직의 직원이 범한 부정행위를 발견시

가장 먼저 감사 팀장에게 통보 : 감사 팀장은 관련 증거를 확인하고

해당 부정행위가 전체 감사 업무에 미치는 영향을 평가

감사 팀장은 해당 행위가 발생한 직급보다 높은 직급의 관리자에게 직접 보고

: 만약 임원급 관리자가 용의자라면 경영진에게 이를 보고

경영진이 부정행위에 연루되었다고 판단되면 감사위원회에 이를 보고

16

< 5 장 IS 관리, 계획 및 조직에 대한 감사 >

A. 위험지표

B. 문서검토 : Ø 정보기술 전략, 계획 및 예산

Ø 보안정책

Ø 조직도/기능도

Ø 개인의 직무기술서

Ø 운영위원회 보고서

Ø 시스템 개발 및 프로그램 변경 절차

Ø 운영 절차

Ø 인사관리 매뉴얼

C. 직원면담 및 직무 수행 관찰

D. 계약상의 약정사항 검토

17

< 6 장 재해 복구 및 업무 연속성 >

재해복구계획( DRP : Disaster Recovery Plan )

: 재해 발생시 업무 능력을 재해 발생 이전의 상태로 회복하기 위한 계획

업무 연속성 계획 ( BCP : Business Continuity Plan )

: 재해 발생 이후 조직의 생존과 직결되는 핵심 업무 기능을 한계 복구 시간 내에 신속하게

복구하기 위한 계획

2002년 : DRP가 BCP 포함

2003년 : BCP가 DRP 포함

BCP = DRP + 운영의 연속성을 위한 계획

DRP를 BCP의 기술적인 측면으로 정의

BCP/DRP의 구성 교정 통제에 속함

1. 비상 계획 ( Emergency Plan ) => 비상 조치 계획으로 이해 ( Emergency Action Plan ) : 돌발상황 발생 직후 인명 구조와 피해 확산 방지 및 피해 산정을 위한 계획

2. 백업 계획 ( Backup Plan )

: 조직의 생존력에 심각한 영향이 미치기 전에 핵심 서비스 제공을 재개하기 위한 계획

H/W 백업 : 대체처리장소, 대체처리설비, 대체설비에 설치하는 시스템소프트웨어

Data 및 S/W 백업 : 운영절차, 시스템 및 프로그램 문서, 특수 절차 및 지시사항

입력 원시 문서 및 출력 문서, BCP 사본 – OFF-Site에 저장

직원 백업 : 직무순환, 교차훈련, 외부인력활용 등

3. 재배치 계획 ( Relocation Plan )

: 돌방상황으로 인해 발생한 전체 피해액과 원상 회복에 소요되는 총 비용을

다시 정확히 산정하고, 완전 복구를 위한 절차에 대한 계획

4. 테스트 계획 ( Test Plan )

: DRP & BCP 에 대한 문서 검토, 부서별 테스트, 전사 단위의 테스트 등에 대한 계획. 각종 백업에 대한 테스트 절차 포함.

User Site : 재난시 User들이 작업 할 수 있는 제 3의 장소

백업시

Ø H/W, S/W 백업 – 호환성

Ø Data - 최신성

IS 감사시 중요도 : Data > H/W, S/W

18

재해의 구분

재해 사건 Non-disaster Disaster Catastrophe

피해규모 상대적으로 짧은 장애

시간

하루이사의 긴 시간 처리 시설 파괴로 인한 장기 중단

장비교체

/파일복구

(비상계획)

Ο Ο Ο

대체설비사용

(백업계획)

Х Ο Ο

원 설비의 복구

(재배치계획)Х Х Ο

재해복구 계획 ( BCP/DRP ) 수립 절차

1. 프로젝트 착수 : 재해복구 계획 및 지침을 정의하는데 필요한 명확한 범위와 요소를 식별

프로젝트팀 : 최고경영진, 사업단위 고위 관리자, BCP 위원회, 기능 사업부서

2. 사업 영향 분석 (BIA) 복구의 우선 순위 결정

Ø 중요한 정보 자원 식별

Ø 한계 복구 시간

Ø 시스템 위험 등급

3. BCP/DRP 전략 수립 : 고위 경영층이 여러 대안 중 선택

4. BCP/DRP 계획 수립 – 비상대응, 재해공지, 백업과 오프사이트 저장소, S/W Escrow계약, 외부와의 통신, 유틸리티(UPS도입등), 물류와 지원, 화재/수해에 대한 방어, 문서화

5. 구현/Test/유지보수

Test : 사전테스트, 테스트, 사후테스트

도상테스트(Paper Test), 준비성테스트, 전체운영테스트

체크리스트, 구조적워크스루, 모의실험, 병행테스트, 완전중단테스트

단계별 활동 팀

재해 발생 일차피해산정 상세피해산정 복구완료

비상조치팀 평가팀 비상관리팀 구호팀 재배치팀

비상계획 백업계획 재배치 계획

조직의 업무 연속성과 생존을 궁극적으로 책임지는 사람은 최고경영진이고

19

전사적 BCP/DRP 를 수립하도록 위임 받은 사람은 고위경영진(Senior Management: 중역)이다.

20

* 업무 영향 분석 ( BIA : Business Impact Analysis )

: 재해가 조직에 미칠 수 있는 업무 상의 영향을 분석하여 조직의 핵심 프로세스를 지원하는 정보 자원의 중요성을

결정하는 과정

위험 관리 절차 중에서 위험 평가 활동에 해당

CF) 위험 관리

1. 위험 평가 : 위험식별, 위험계량화

2. 대책 설계 : 기존통제평가, 보완통제설계

업무 영향 분석의 핵심 활동

1. 중요자원 식별

2. 한계복구시간 : 기업생존에 치명적인 손상을 입기 전에 업무를 재개해야 하는 시간

3. 시스템 위험 등급 평가 : 시간 민감성, 내구성(Tolerance )* 내구성 : 수작업으로 대체하여 처리할 수 있는 능력

하드웨어 백업 대안

1. Hot Site 장점 : 신속한 사용 가능성

단점 : 유지비용 비쌈

2. Warm Site

장점 : 시간과 비용 목표의 절충

단점 : 하드웨어 구입의 지연 위험

3. Cold Site

장점 : 유지비용이 저렴

단점 : 운영 준비 기간이 김

4. 상호 이용 계약 (Mutual Aid Agreement)

: 유사한 장비나 응용 시스템을 가진 두개 이상 조직간의 계약으로 계약자는 비상 사태시

서로에게 설비와 서비스 시간을 제공할 것을 약속하는 것

장점 : 비용이 가장 저렴, 특수한 장비로 인해 Hot Site 이용 불가시 유일한 선택

단점 : 가용성과 호환성의 문제, 계약 이행을 강제 할 수 없음.

5. 정보처리시설의 이중화(Duplicate Information Processing Facilities)

.욕 봤습니더~.

21