Luca의 IT 아카이브

최근 행정 및 공공 서비스 분야에서도 인공지능 전환(AX, AI Transformation)이 빠르게 이루어지고 있습니다. 챗봇 민원 상담부터 복지 사각지대 발굴, 스마트 행정 업무 보조까지 AI가 공공의 일하는 방식을 근본적으로 바꾸고 있습니다.

하지만 공공기관이 다루는 데이터는 국민의 건강, 소득, 인적사항 등 매우 민감한 정보가 많습니다. AI의 편리함 뒤에 숨은 ‘프라이버시 침해 리스크’를 사전에 예방하지 못하면 국민의 신뢰를 잃기 십상입니다.

최근 개인정보보호위원회가 발표한 「공공 AX 프라이버시 보호 안내서(안)」의 핵심 내용(10대 핵심 점검사항)을 정리했습니다.

공공 AX 추진 3단계 & 10대 핵심 점검사항

공공 AI 시스템은 기획부터 운영까지 AI 수명주기 전반에 걸쳐 프라이버시 안전조치를 내재화해야 합니다.

AI 역할에 따른 3가지 맞춤형 점검 포인트

모든 공공 AI에 일률적인 규제를 적용하는 것이 아니라, 위험 수준(Risk-based)에 따라 차등화된 보호 조치를 취해야 합니다.

1. 기초업무 보조 

예시: 공문서 요약, 챗봇 민원 상담, 회의록 자동 생성

• 주요 리스크: 내부 문서 입력 시 개인정보 유출, 프롬프트 인젝션(악의적 조작 질의)
• 핵심 대응:
  • 상용 AI API를 활용할 경우, 입력 데이터가 모델 학습에 재활용되지 않도록 엔터프라이즈(Enterprise) 계약 체결
  • 직원의 무분별한 개인정보 입력을 막는 내부 이용 지침 수립 및 모니터링

2. 정보 연계·분석·추천

예시: 맞춤형 복지 정보 추천, 연구자/평가위원 매칭, 민원 처리방향 초안 제시

• 주요 리스크: 흩어져 있던 다종 DB의 결합으로 인한 '목적 외 이용' 및 과도한 개인 프로파일링·성향 추론
• 핵심 대응:
  • 외부 DB 연계 시 기존 수집 목적의 범위를 벗어나지 않는지 적법근거 재검토
  • 분석·추론 결과는 '관심 카테고리' 수준으로 최소화·추상화하여 저장
  • 결합된 DB에 대한 접근 권한 차등 부여 및 접속 기록 감사

3. 선별·판단 

예시: 복지 수혜자 자동 선별, 감염병/자살 고위험군 조기 발굴, 검역·출입국 대상자 판별

• 주요 리스크: 부정확한 데이터 처리 및 알고리즘 편향으로 인한 무고한 불이익, 감시 사회 논란
• 핵심 대응:
  • 명확한 법령상 근거 및 비례성 원칙을 엄격하게 사전 심사
  • 인적 개입(Human-in-the-loop) 필수: AI의 판단 결과를 공무원이 무비판적으로 수용하지 않고 실질적 검토 절차 마련
  • 보호법상 '자동화된 결정'에 해당할 경우, 국민의 설명 요구권 및 거부권 행사 절차 구축

공공기관 지원 및 향후 계획

공공기관 실무자들의 전문성 부족과 법적 불확실성을 해소하기 위해 개인정보보호위원회가 적극적인 지원책을 운영합니다.

1. 공공 AX 프라이버시 헬프데스크 상시 운영: 법령 해석부터 사전적정성 검토, 규제 샌드박스 연계까지 원스톱 지원
2. 에이전틱 AI(Agentic AI) 규범 안내: 다중 작업을 자율 수행하는 에이전트 시스템에 맞춘 리스크 경감 방안 연내 발표 예정
3. 'AI 특례' 도입을 위한 법 개정: 공익 목적의 AI 개발 시 안전조치를 전제로 원본 데이터를 활용할 수 있도록 법적 기반 마련

1. 프롤로그

NCP 자격은 2025년 3월에 취득했고, 2026년 4월에는 NCT(Naver Cloud Trainer, 공인강사)를 취득했습니다.

NCT로 활동하면 네이버클라우드와 클라우드스퀘어가 주관하는 강의를 진행할 수 있도록 지원을 받게 됩니다. 강의 커리큘럼은 크게 AI와 클라우드로 나뉘는데, 저는 AI 커리큘럼 강의를 희망했기에 NCP-AI를 취득하기로 결심했습니다.

강의 진행 시 AI 자격이 필수는 아니지만, AI 강사로서 관련 공인 자격을 보유하는 것이 수강생들에게 더 큰 신뢰감을 줄 수 있다고 생각했습니다.또한, 저의 본업인 정보시스템 감리 분야에서도 최근 AI 관련 사업 발주가 급증하고 있어, 제안 경쟁력을 높이고자 한 것도 중요한 동기 중 하나였습니다.

IT 분야에서 20년 이상의 경력을 쌓아온 만큼 머신러닝(지도학습, 비지도학습, 강화학습 등), LLM, RAG 등 AI의 기본 개념들은 사전에 이미 숙지하고 있는 상태였습니다.

2. 시험 준비 및 응시

시험은 원격 온라인 CBT(Computer-Based Test) 방식으로 진행됩니다. NCP-AI는 단일 과목(과목 코드: 210)으로 구성되어 있으며, 총 60문제를 1시간(60분) 내에 풀어야 합니다.

이러한 시험은 목표 시험일을 먼저 정해두고 공부를 시작하는 것이 효율적입니다.

1) 시험 접수

시험 접수는 일주일 단위로 가능합니다. 당초 일주일 정도 여유를 두고 준비하려 했으나, 회사 일정 변동으로 인해 연휴 3일간(8/15~8/17) 집중적으로 공부한 뒤 8/18(화)에 응시했습니다.

시험 접수는 공식 포털에서 진행할 수 있습니다.

• 접수 링크: https://edu.ncloud.com/certi/rating

2) 시험 준비

합격 후기 분석과 NCP-AI 공식 교재를 적극적으로 활용했습니다. 온라인 사용자 가이드는 AI Service와 API에 어떠한 것들이 있는지 전반적인 구성을 파악하는 용도로만 가볍게 훑어보았습니다.

NCP-AI 관련 후기를 3~4개 정도 찾아보았는데, 기출문제를 친절하게 정리해 주신 분들이 계셔서 큰 도움이 되었습니다.

본격적인 학습에는 NCT 교육 수강 시 제공받은 NCP-AI 교재를 활용했습니다.

• Notion 정리: 교재의 주요 내용을 Notion에 표 형태로 정리하며 1회독을 진행했습니다.
• Gemini & NotebookLM 활용: 1회독을 마친 후에는 철저히 모의 테스트 위주로 학습을 진행했습니다. NotebookLM에 교재 내용을 업로드하여 퀴즈를 생성해 풀었고, 수집한 기출문제 역시 Gemini 프롬프트에 직접 입력하여 변형 퀴즈를 생성한 뒤 반복해서 점검했습니다.

3. 시험 후기

시험 2일전에 비대면 기술자격시험 응시 방법 안내 메일이 도착하고, 1일전에 리마인드 메일이 옵니다.

시험환경은 컴퓨터 카메라/스피커, 휴대폰 등 추가기기 (카메라)가 필요합니다.

초대 링크는 Google Meet으로 제공되며, 마이크 off, 전체화면 공유를 해서 진행하니다.

추가기가로도 접속해서 모니터, 키보드를 촬영하도록 세팅합니다.

사전에 정상 동작하는지 테스트하세요. 

3일간 열심히 시험준비를 했음에도 실제 시험 난이도는 예상했던 것보다 훨씬 높았습니다.

기출문제에서도 꽤 출제되었고 대부분 교재 범위 내에서 나왔지만, 교재에 명시되지 않은 지엽적인 문제도 일부 있었습니다.

• 예: 이미지 답변 시 최대 이미지 개수, 멀티링크 답변 시 버튼 개수 등

특히 '모두 고르시오' 유형의 다지선다형 문제가 10문제 안팎으로 출제되어 체감 난이도를 높였습니다.

시험 시작 후 28분이 경과했을 때 전체 답안을 꼼꼼히 재확인한 뒤 최종 제출했고, 즉시 통과(Pass) 메시지를 확인할 수 있었습니다. 걱정을 조금 했는데 다행히 원패스로 통과했습니다.

자격증은 다음날 시험포털에서 확인할 수 있습니다. (아침 7시) 아마도 새벽에 배치가 수행되는 것 같네요.

에필로그

저녁에 확인하니 응시이력에 합격 여부는 표시가 됩니다. 자격증은 합격 다음 날 공식 사이트에서 확인할 수 있었습니다.

시험을 치러보니 교재 없이 단순 이용 가이드만으로 단기간에 독학 합격하기는 매우 까다로울 것 같다는 생각이 듭니다.

기출문제는 기존 블로그 글들을 참고하시되, 아래 핵심 항목들은 디테일한 수치와 파라미터까지 꼼꼼히 정리해 두시는 것을 추천합니다. 

• 머신러닝 라이브러리별 특징 및 알고리즘 분류 (Keras, Scikit-learn 등)
• AI Service별 세부 기능 및 제약 사항 (용량, 시간, 지원 포맷 등)
• AiTEMS HPO 파라미터 상세 (기능 설명, 설정 가능 범위, 필수 여부)
• CLOVA Studio 튜닝 및 하이퍼파라미터 (Top-P, Top-K, Temperature 등)
• CLOVA Chatbot 및 응답 컴포넌트 규격
• 네이버 AI 윤리 준칙 

1.데이터거래사란?

가. 데이터거래사

데이터거래사는 「데이터 산업진흥 및 이용촉진에 관한 기본법(데이터산업법)」에 근거하여 데이터의 거래를 중개하고, 데이터의 가치평가, 법률·기술적 자문 등 데이터 비즈니스 전반을 지원하는 전문가입니다.

데이터거래사 등록‧관리 지침 제2조(용어의 정의) 제3항

과학기술정보통신부장관에게 등록하여 데이터 거래에 관해 다음의 전문적인 업무 중 하나 이상을 수행하는 자를 말한다.

• 데이터 거래 및 사업화에 대한 상담·자문·지도업무
• 데이터 거래의 중개·알선업무
• 데이터 거래의 수요 탐색·발굴업무
• 데이터 가치평가 및 품질관리 업무
• 데이터 거래 시장의 조사·분석업무
• 위 각호의 사후관리 업무
• 그 밖에 데이터 거래 업무에 부수되는 업무와 이에 따른 상담, 자문, 조사, 분석, 평가, 증명 및 대행(관계 법령에 따라 기관에 대하여 행하는 신고, 신청, 진술, 보고 등의 대행을 포함) 등 제반 업무 지원

나. 데이터거래사 등록 자격 및 경력 요건

2.교육 신청 및 취득 계기

데이터거래사는 2025년에 알게되었는데 교육을 5일만 수강하면 시험없이 자격을 취득할 수 있습니다.

지금 당장은 자격을 활용해서 무엇을 할 수 있을거란 기대는 하지 않았습니다.

하지만, 미래에는 어떻게 될지 모르는 거니까 대비 차원에서 교육을 신청했습니다.

2025년에 신청을 했으나, 회사 일정상 불참을 하게되었고, 2026년에 신청해서 수강을 하게되었습니다.

2025년까지 1천명 양성 목표를 달성해서 인지, 연 4회였던 교육이 2026년에는 2회로 줄었습니다.

내년에는 어떻게 될지 모르겠네요. 

교육 신청은 한국데이터산업협회(KODIA)에서 회원가입을 하고, 교육 신청을 하면 됩니다.

교육비는 무료입니다. 

https://datatrade.kodia.kr/edu/eduApply.do

위 문서에 보면 교육신청시 필요한 서류는 아래와 같습니다.

신청인 서명, 자격증 사본, 건강보험 자격득실확인서, 최종학위증명서, 경력증명서(경력사항별)가 필요합니다.

참고로, 저는 기술사 자격 보유자이며, 데이터베이스 감리 3년 경력으로 요건을 충족했습니다.

경력사항은 6개를 모두 동일회사 근무기간 3년으로 작성하고, 답당업무와 세부수행업무는 데이터 제공/거래/유통/활용 등으로 작성을 했습니다. 

경력사항별 경력증명서는 KOSA(한국소프트웨어산업협회)의 소프트웨어기술자 경력증명서를 제출했습니다.

경력을 적정하게 작성했다면, 교육대상으로 선정될 것입니다.

교육대상으로 선정되면 다음과 같은 안내메일과 안내문(첨부파일)이 옵니다.

7호선을 이용시 강남구청에서 교육장소까지는 내리막이며, 신호가 1개 있습니다.

청담역은 지하에서 게이트까지 내리막인데 거리가 꽤 됩니다.  이동시간이 비슷할거 같네요.

아침에는 강남구청역, 저녁에는 청담역 이용하는 것도 좋습니다. 

3.교육 커리큘럼

5일간 총 40시간으로 교육 과정이 구성되어 있습니다.

교육내용별로 강사가 모두 다르며, 교수, 변호사, 데이터 관련업 종사자(현직자) 등으로 구성되었습니다.

오전교육은 대략 11시 40분정도에 종료하고, 오후는 5시 40분정도에 종료합니다.

데이터 기획 

교육 교재를 무료로 제공해줍니다.교재는 교육장소에 두고 다녀도 됩니다. 두께가 3cm라 무겁습니다.

교재가 한페이지에 파워포인트 슬라이드2개씩 구성되어 있는데..폰트가 매우 작은편입니다. 

교재는 강의장에 있는 QR코드를 인식하면 PDF로 교육내용별로 다운로드할 수 있습니다.

노트북을 이용하시는 분들은 그렇게 보셔도 됩니다.

출석부는 아침에 교육장 들어갈때와 저녁에 교육 종료하고 나갈때 신분증 제시하고 본인의 이름옆에 날짜별로 이름을 쓰면 됩니다.

4. 수강후기

92명 신청해서 7명 불참. 85명이 수료했습니다.

교육장소가 에어콘과 선풍기를 틀었어도 시원하지 않았습니다. 

한테이블에 좌석이 3개씩 구성이 되어있는데 3명이 앉으면 좀 답답합니다.

5일간 40시간을 듣는 교육이라 힘들었습니다.

데이터 가치평가, 데이터 품질관리, 데이터 분석 등 데이터거래사가 수행하는 업무가 아닌 교육 내용이 상당부분을 차지하고 있습니다. 내용은 좋은데 좀 지루합니다.

데이터거래사의 역할을 데이터 상품의 기획부터 유통, 운영까지 총괄하는 Product Owner로 정의했으나, 자격이 필요한지는 의문입니다. 

데이터거래사를 천명 넘게 양성했지만, 당초 신설 목적대로 운용되지 않으니 협회에서는 자격 활성화 방안을 고민해야겠습니다.

4월 27일 오전 10시는 26년도 ISMS-P 인증심사원 자격검정 서류 접수가 시작되는 시간이다.

인원수 제한이 있다고 해서 응시자들이 몰릴 것은 알았지만 신청버튼을 클릭하자 서버는 응답이 없었고, 접속이 되지 않는 상황이 지속되었다.

정책을 변경하면서부터 충분히 예측이 가능한 일이었을텐데 KISA나 수탁기관이나 적절히 대응하지 못한 것에 실망감이 크다.

이 시스템이 이중화 대상은 아니더라도 성능 테스트 미흡, 유량제어 미설계, 장애발생 시 오류메세지 미노출 등 몇 가지 문제점이 보인다. 

계속 접속 장애가 발생하다가 1시간 정도가 지난 후에는 정상적으로 접속해서 접수를 완료할 수 있었지만 모 커뮤니티에 수험생들의 불만의 목소리가 이어졌다.

앞으로는 좀 책임감 있는 모습을 기대해본다..

2026년 4월 23일 저녁 7시 강남 아크플레이스에서 NCT(네이버 클라우드 공인강사) 환영회 모임이 있었습니다.

기존 NCT 멤버분들과 올해 새롭게 합류한 멤버들 그리 NCP 관계자분들이 한자리에 모였습니다.

1부 프로그램 소개

NCT 활동에 대한 안내와 NCT 멤버분들에 대한 자기소개가 있었습니다.

그리고 네이버 클라우드 인증제도와 교육체계의 변화에 대해서도 들을 수 있었습니다.

또한, PUBLY에서 저자로서 활동할 수 있는 기회가 제공됩니다.

NCT 활동 혜택과 활동 기준

NCT가 단순히 명칭만 부여하는 것이 아니라 네이버 클라우드에서 지원을 많이 해주고 있고, 자격 관리도 철저히 하고 있습니다.

활동혜택입니다.

활동기준입니다.

선물로 강사님이 집필하신 책이랑 명함을 받았습니다.

명함을 받아보니 올해 정말 열심히 활동해야겠다는 마음이 절로 생기네요.

회식은 근처 식당에서 맛있는 뼈구이와 맥주로 친목을 다지는 시간을 가졌습니다.

즐거운 시간이었습니다.

정보보호 공시 자료를 만들기 위해서는 파편화된 데이터들 간의 정합성 점검이나 회계 관점의 투자 현황 산출이 어려울 것으로 판단된다.

그래서 Dify (AI Application 구축 플래솜)을 이용해서 회계, 인력, 인증/평가, 정보보호 활동 증빙 등의 자료를 업로드하면 문서와 이미지에서 데이터를 추출하여 LLM으로 분석한 결과를 보고서 파일로 저장하는 자동화 파이프라인을 구축해 보기로 했다.

나에게는 고성능의 GPU 같은 것은 없기 때문에 클라우드 기반으로 구축을 했다.

서버: Oracle Cloud 무료 티어 : 2ocpu, 12G ram, 100G SSD

Docker: Dify, OCR, Nginx proxy manager 등 운영

Dify : workflow 앱 제작 플래폼(오케스트레이션)

Google API : 분석용 LLM 모델(Gemini 2.5 Pro)을 이용하기 위해 발급. Google API로 연동, Gemini 구독과는 별개다. 무료 등급은 토큰 제약이 많아서(호출 실패) 유료로 사용하는 것이 정신 건강에 좋다. 고성능 GPU가 있다면 로컬 LLM 도 괜찮다.

easyocr: 이미지에서 텍스트 추출 하기 위한 오픈소스. Docker에 이미지를 만들어서 구축했다. Dify에는 이미지에서 텍스트를 추출하는 로컬 도구는 지원하지 않는다. 대부분 API 기반 도구들이다.

ollama: 가이드, 산출자료 양식 등 RAG 구성하여 기준, 범위 등 참조. 상용 AI는 돈이니 로컬로 설치한다. 문서에서 숫자 벡터만 추출하면 되니 GPU 없어도 성능은 문제없다.

구축 절차는 다음에 시간이 되면 작성해보겠다.

1.워크플로우 

Input 데이터: AI를 이용해서 가상의 데이터를 만들어서 사용한다.

출력 결과

 KISA의 정보보호 공시 자료산출 양식과 완전히 매칭되지는 않는다.

프롬프트에 산출양식을 구체적으로 보강하면 잘 만들어 줄 것 같다.

몇 분만에 이 정도 퀄리티의 보고서를 생성할 수 있다니 테스트는 성공이다.

1.정보보호 투자현황 산출

2.정보보호 인력 현황 산출

3.정보보호 인증 및 평가 현황

4.정보보호를 위한 활동 현황

글로벌 IT 트렌드와 가트너(Gartner), 델로이트(Deloitte) 등 주요 리포트에서 공통적으로 강조하는 흐름을 바탕으로, 에이전트 중심 경제와 현실 세계로 확장되는 AI의 변화를 정리해 봅니다.

1.멀티에이전트 시스템(MAS)의 부상: 자동화를 넘어 ‘협업’으로

최근 기술 트렌드에서는 단일 AI가 아닌, 여러 에이전트가 역할을 나누어 협업하는 구조가 중요해지고 있습니다. 이른바 멀티에이전트 시스템(Multi-Agent System)은 각각의 에이전트가 특정 기능이나 목표를 담당하고, 이들이 상호작용하며 복잡한 업무를 수행하는 방식입니다.

변화의 핵심은 ‘분해와 조합’입니다. 업무를 작은 단위로 나누고, 이를 담당하는 에이전트를 구성한 뒤, 전체 프로세스를 유기적으로 연결하는 구조입니다. 예를 들어, 보안 관제 환경에서는 탐지, 분석, 대응 단계를 각각의 에이전트가 맡고 자동으로 협업하는 형태로 발전할 수 있습니다.

이 구조는 새로운 과제를 동반합니다. 특히 책임 소재, 의사결정 추적성, 에이전트 간 통신 방식에 대한 표준화가 중요해집니다. 앞으로는 “무엇을 자동화했는가”보다 “어떻게 협업 구조를 설계했는가”가 성패를 가르는 요소가 될 가능성이 큽니다.

2.Physical AI: 화면 밖으로 확장되는 인공지능

AI는 더 이상 텍스트나 화면 속에 머물지 않고, 제조, 물류, 건물 관리 등 물리적 환경으로 빠르게 확장되고 있습니다. 일부 글로벌 기업들은 로봇과 자동화 시스템에 AI를 결합해 실제 운영 효율을 개선하는 사례를 보여주고 있습니다.

이 흐름의 본질은 “판단”이 현실 세계에 직접 영향을 미친다는 점입니다. 과거에는 잘못된 AI 판단이 화면 속 오류로 끝났다면, 이제는 설비 오작동이나 안전 문제로 이어질 수 있습니다.

이로 인해 보안의 범위도 확장됩니다. 정보보안은 더 이상 데이터 보호에만 머무르지 않고, 물리적 안전과 직결됩니다. ISO 27001이나 ISO/IEC 42001(AIMS) 관점에서도, 소프트웨어뿐 아니라 센서, 장비, 네트워크 경계 등 물리적 접점에 대한 통제 중요성이 더욱 커질 것으로 보입니다.

3.AI 인프라의 재편: 하이브리드와 Edge의 재조명

AI 활용이 확산되면서, 단순히 클라우드에 의존하는 구조에서 벗어나 보다 현실적인 인프라 전략이 요구되고 있습니다. 특히 추론(Inference) 비용과 지연(latency)에 대한 고려가 중요해지면서, 워크로드별로 인프라를 나누는 접근이 늘어나고 있습니다.

즉각적인 응답이 필요한 작업은 Edge에서 처리하고, 데이터 통합이나 장기 분석은 중앙 시스템(Cloud 또는 On-premise)에서 수행하는 형태입니다. 이러한 ‘전략적 하이브리드’ 모델은 성능, 비용, 그리고 데이터 통제 측면에서 균형을 맞추기 위한 선택으로 볼 수 있습니다.

핵심은 인프라 선택이 아니라 ‘워크로드 설계’입니다. 어떤 데이터를 어디에서 처리할 것인지에 대한 아키텍처 설계 역량이 점점 더 중요해지고 있습니다.

AI는 이제 “도입 여부”의 문제가 아니라 “어떻게 다시 설계할 것인가”의 문제로 넘어왔습니다. 비효율적인 기존 프로세스를 그대로 둔 채 AI를 덧붙이면, 자동화가 아니라 실패의 속도만 빨라집니다.

앞으로는 기능 단위가 아닌 에이전트 단위로 업무를 재구성하고, 협업 구조와 통제 체계를 함께 설계하는 접근이 필요합니다. AI의 성능보다 아키텍처의 설계가 경쟁력이 되는 시점입니다.

ISMS-P 시험은 단순히 기준을 암기하는 것을 넘어, 복잡한 실무 시나리오 속에서 교묘하게 숨겨진 결함을 찾아내는 능력을 요구합니다. 실제 시험처럼 시나리오로 문제를 푸는 훈련을 하면서 실전 감각을 키우는 연습이 필요합니다.

[심사 시나리오]

장소: ○○ 솔루션즈 보안팀 사무실 심사원:  / 피심사자: 정보보호 담당자 

심사원: 안녕하세요, Molly님. 오늘은 정보보호 및 개인정보보호 정책의 수립과 배포 현황을 살펴보겠습니다. 우선, 작년에 조직 개편이 크게 있었는데, 이에 맞춰 정책서의 역할과 책임(R&R)이 모두 업데이트되었나요?

피심사자: 네, 맞습니다. 조직 개편으로 '개인정보 보호파트'가 신설되었죠. 사실 업무가 바빠서 공식 정책서의 본문 내용을 즉시 수정하지는 못했습니다. 하지만 대신 '조직도 및 직무기술서'를 개정하여 상위 직제 개편 사항을 반영했고, 이를 정보보호 위원회에서 별도로 승인받아 정책서 부록으로 관리하고 있습니다. 실무적인 R&R은 이 부록을 기준으로 운영 중입니다.

심사원): 정책 본문은 아니지만 위원회 승인을 받은 부록으로 현행화를 하셨군요. 알겠습니다. 그럼 이 정책들을 임직원들이 언제든 열람할 수 있도록 공표해야 하는데, 사내 인트라넷 게시판 외에 다른 방법으로도 안내하시나요?

피심사자: 저희 인트라넷이 최근 개편 중이라 접근이 불안정합니다. 그래서 이번에는 전 임직원이 사용하는 슬랙(Slack) 공지 채널에 정책 전문 파일(PDF)을 업로드하고 '필독' 설정을 해두었습니다. 또한, 신규 입사자나 외주 인력에게는 보안 서약서를 받을 때 해당 정책 파일이 담긴 USB를 제공하거나 이메일로 개별 발송하여 반드시 숙지하도록 프로세스를 운영하고 있습니다.

심사원: 슬랙 공지와 이메일 발송으로 접근성을 확보하셨다는 말씀이시죠. 그런데 정책서 항목 중에 '클라우드 보안 지침'이 작년 12월에 신설된 것으로 보입니다. 이 지침의 수립 과정에서 클라우드 운영팀이나 개발팀 같은 이해관계자의 의견 수렴 과정이 있었나요?

피심사자: 아, 그 부분은 저희 보안팀이 클라우드 설정 가이드를 직접 만들어서 배부했습니다. 개발팀이 워낙 바쁘고 클라우드 보안에 대한 전문성이 부족해서, 저희가 Best Practice를 기준으로 지침을 확정했습니다. 대신 시행 전 개발팀장님께 메신저로 "내용 확인 부탁드린다"고 전달했고, 팀장님이 "OK"라고 답변하신 이력을 캡처해서 보관 중입니다. 이 정도면 유관 부서와의 협의는 충분히 된 것 아닐까요?

심사원): 협의 이력을 남겨두셨군요. 마지막으로 정책의 승인 절차를 보겠습니다. 최고경영자(CEO)의 승인을 받으셨나요? 승인 문서를 보니 경영진 결재 라인에 정보보호 최고책임자(CISO)까지만 서명이 되어 있네요.

피심사자: 아, 그건 저희 정관과 정보보호 규정에 근거가 있습니다. 대표이사님으로부터 '정보보호 및 개인정보보호 정책의 제·개정 승인 권한'을 CISO에게 위임한다는 위임전결 규정을 명문화해 두었습니다. 이에 따라 CISO가 최종 승인권자로서 서명했으며, 해당 승인 결과는 분기별 경영보고서에 포함되어 대표이사님께 사후 보고되었습니다.

[ISMS-P  문제]

문제: 위 시나리오에서 발생한 상황 중, ISMS-P 인증기준 및 결함사례에 비추어 볼 때 결함으로 판단되는 인증기준은 무엇입니까?

① 1.1.1 경영진의 참여

② 1.1.5 정책 수립

③ 1.1.6 정책 시행 및 공표

④ 1.2.1 법적 준거성 검토

⑤ 2.1.1 주요 자산 식별

정답은 아래에 있습니다.

[정답 및 상세 해설]

정답: ② 1.1.5 정책 수립

[정답 분석: 왜 결함인가?]

• 결함 내용: 클라우드 보안 지침 수립 시 유관 부서(개발팀 등)와의 공식적인 검토 및 의견 수렴 절차 미흡.
• 해설: 인증기준 1.1.5에 따르면 "정책 및 지침의 제·개정 시 이해관계자의 의견을 수렴하여 반영하여야 한다"고 명시되어 있습니다. 시나리오에서 보안팀이 일방적으로 작성한 후 팀장에게 메신저로 'OK'를 받은 것은 공식적인 의견 수렴 및 검토로 인정받기 어렵습니다. 특히 클라우드 운영과 같이 실무 부서의 영향이 큰 지침은 공식적인 회의록, 검토 의견서, 또는 전자결재를 통한 상호 검토 이력이 남아야 합니다.

[오답 분석: 왜 정상(보안통제 인정)인가?]

• ① 1.1.1 경영진의 참여 (정상):
  • 정책의 최종 승인은 원칙적으로 최고경영자가 해야 하나, 조직의 규모나 특성에 따라 위임전결 규정에 의해 CISO 등에게 권한을 위임할 수 있습니다. 시나리오에서는 명확한 위임 근거가 있고 사후 보고 체계까지 갖추었으므로 결함이 아닙니다.
• ③ 1.1.6 정책 시행 및 공표 (정상):
  • 인트라넷이 불안정한 상황에서 슬랙 공지, 이메일 개별 발송, 신규 입사자 대상 USB 배부 등 다양한 경로를 통해 임직원 및 외부자가 정책을 열람할 수 있도록 조치했으므로, 접근성 측면에서의 보완통제가 적절히 이루어진 것으로 봅니다.
• ④ 1.2.1 법적 준거성 검토 / ② 1.1.5 정책 현행화 (정상):
  • 조직 개편 내용을 정책 본문에 즉시 반영하지 못한 것은 미흡해 보일 수 있으나, 위원회 승인을 받은 부록(직무기술서 등)을 통해 실질적인 R&R을 관리하고 있으므로 실무적 현행화 노력이 인정되어 결함으로 판단하지 않습니다.