1. 회의 안건 및 멘토 피드백 상세 기록

1.1. 회의 안건 및 진행 상황

  • 어제 내용 멘토님 송부 및 피드백 확인

  • 방향성이 적절할 경우 : 시나리오 기반 체크리스트 점검 내역(I열) 채우기 작업 즉시 착수

  • 방향성이 부적절할 경우 : 피드백을 바탕으로 시나리오의 대대적 수정 진행

  • 완성된 체크리스트 팀 내 공유 및 취합

  • 특이사항 : 서XX 팀원 병원 진료 이슈로 회의 지연 참석 (회의 결과 및 변경된 작성 가이드라인 별도 공유 완료)

1.2. 멘토님 피드백 상세 내용

  1. 전체 방향성 승인 : 수탁사별 가상 시나리오를 구성하고 이를 체크리스트 항목과 매칭하는 현재의 접근 방식은 실무 컨설팅과 매우 유사하며 방향성이 훌륭함.
  2. 3단계 평가 등급 도입 (핵심) : 기존의 [양호 / 취약] 2단계 구성은 실무의 디테일을 담기 어려움. 현장에서는 규정은 있으나 실행 증적이 없는 경우가 많으므로, 이를 반영하여 **[양호 / 부분양호(보완) / 취약]**의 3단계로 구성할 것을 강력히 권고.
  3. 수탁사별 시나리오 비율 차등화 : 모든 수탁사의 시나리오 비율을 기계적으로 똑같이 맞출 필요 없음. 수탁사의 업무 성격, 규모, 취급 데이터의 민감도에 따라 양호 / 부분양호 / 취약의 비율을 유동적으로 다르게 설정하는 것이 훨씬 현실적임.
  4. 최적(Optimal) 시나리오의 조건 : 최적으로 분류되는 시나리오는 단순히 잘하고 있는 수준을 넘어, 관련 법령과 고시의 보호조치 기준을 100% 완벽하게 충족하도록 텍스트를 고도화할 것.

1.3. 다음 회의 준비 (Action Item)

  • 등급 비율 수정 : 각 수탁사별로 양호 / 부분양호 / 취약 비율을 현실성에 맞게 재조정.
  • 최적 시나리오 고도화 : 모든 법적인 부분을 완벽히 충족하도록 시나리오 문구 정교화.
  • 형식 통일 : 팀원별로 상이한 시나리오 서술 방식 및 톤앤매너 통일안 확정.
  • WBS 작성 : 전체 프로젝트 일정 관리를 위한 WBS(작업 분할 구조) 초안 작성 착수.

2. SECURITY AUDIT REPORT · 하랑 케이터링 개요

  • 수탁사명 : 하랑 케이터링 (Harang Catering)

  • 위탁 업무 : 기내식 제조·탑재 / 특수식(알레르기·종교·VIP) 분류·포장·배송 / 식수 산정

  • 처리 개인정보 : 승객명, 연락처, 식이 제한(건강정보/민감정보), 좌석등급, 항공편·일정, 마일리지 등급

  • 개인정보 처리 흐름 :

  • [수집] 항공 예약·운항시스템 → SFTP/TLS 암호화 전송 (출발 24시간 전)

  • [이용·보관] CMS/ERP 업로드, 생산팀 최소 조회 (특수식 별도 권한)

  • [제공·재위탁] 재위탁(재료 공급) 시 사전 승인 (현재 없음)

  • [파기] 운항 종료 7일 내 자동 삭제, 백업 30일 후 파기, 로그 1년 보관

  • 전체 보안 수준 : 50개 항목 분석 완료 (🟢 최적 20% / 🟡 양호 50% / 🔴 취약 30%)

3. 하랑 케이터링 50대 보안 시나리오 풀버전

🟢 최적 시나리오 (10 항목, 20%) - OPTIMAL

IT 인프라와 중앙 관리는 모범 수준으로 항공사 감독과 완벽 연계된 상태

  1. CPO 지정 : CPO를 임원급으로 공식 지정하고 인사발령 공문에 명시하여 책임을 명확히 하며, 반기마다 경영진에게 서면 보고를 완료했습니다.
  2. 망 분리 : 하랑항공 고객 DB를 자체 영업 DB와 완전히 논리 분리하여 목적 외 무단 열람을 원천 차단하고 있습니다.
  3. DB 암호화 : ERP DB의 고유식별정보와 비밀번호를 AES-256 및 SHA-256으로 암호화 저장하며 키 관리를 별도 절차로 문서화했습니다.
  4. 로그 관리 : 모든 접속 기록을 위변조 불가능한 WORM 스토리지에 2년 이상 보관하며 이상 징후를 SIEM으로 자동 탐지합니다.
  5. 백신 중앙 통제 : 중앙관리 백신(EPC)을 통해 실시간 감시와 매일 자동 업데이트를 수행하여 악성코드 위협을 완전히 차단합니다.
  6. 서버실 통제 : 서버실에 지문+카드키 이중 출입통제를 적용하고 전자 로그를 자동 생성·1년 보관합니다.
  7. 무선랜 보안 : 개방형 와이파이를 차단하고 WPA3 엔터프라이즈 + WIPS로 무선랜 보안을 완벽히 운영합니다.
  8. 단말기 반출 : 노트북 반출 시 자산관리시스템으로 사전 승인을 받고 봉인 라벨을 부착하여 관리합니다.
  9. 안전한 파기 : 계약 종료 시 과거 데이터를 로우레벨 포맷으로 완전 파기하고 항공사에 확인서를 제출합니다.
  10. 외부 접속 : 외부 접속 시 VPN+MFA(OTP+생체인증)를 필수 적용하여 보안을 다층화했습니다.

🟡 양호 및 부분양호 시나리오 (25 항목, 50%) - ADEQUATE

기본 요건은 충족하나 세부 실행과 현장 검증에서 개선이 필요한 상태

  1. 내부관리계획 : 내부관리계획서는 16개 필수 항목을 포함해 수립했으나, 최근 2년간 법령 변경을 반영한 현행화가 이루어지지 않았습니다.
  2. 정책 공표 : 개인정보 처리방침을 사내 인트라넷에 게시했으나, 신규·일용직 근로자에게 소책자 배포 등 능동적 공표가 부족합니다.
  3. 명단 현행화 : 취급자 명단을 월별 갱신하나, 퇴사자 업데이트가 평균 1~2주 지연되어 접근 권한이 잠시 잔존합니다.
  4. 보안서약서 : 정규직 보안서약서는 100% 징구했으나, 주방 파트타임·청소 용역 직원의 서약서가 일부 누락되었습니다.
  5. 맞춤 교육 : 전 직원 연 1회 온라인 교육을 실시하나, 특수식 취급 주방 직원 대상 실무 맞춤 교육이 부족합니다.
  6. 계정 삭제 : 퇴사 시 사원증은 즉시 회수하나, ERP 시스템 계정 삭제가 2~3일 지연되는 경우가 발생합니다.
  7. 민원 대응 : 민원 처리 매뉴얼은 존재하나, 주방 담당자가 정확한 이관 절차를 숙지하지 못해 초기 대응이 늦어집니다.
  8. 자체 감사 : 하랑항공 요청 시 서면 점검표를 제출하나, 자체 현장 감사 이력이나 월별 내부 점검이 없습니다.
  9. 권한 부여 : 계정 발급 신청서는 작성하나, 결재 전 실무자가 임시 권한을 부여하는 관행이 존재합니다.
  10. 비밀번호 변경 : 비밀번호는 영문·숫자·특수문자 조합이나, 90일 주기 강제 변경 시스템이 적용되지 않았습니다.
  11. 타임아웃 : 세션 타임아웃은 설정되어 있으나 60분으로 길어 주방 PC 미사용 시 노출 위험이 있습니다.
  12. 화면보호기 : PC 화면보호기는 활성화되었으나, 비밀번호 없이 해제되는 단말기가 다수 확인되었습니다.
  13. 로그 룰셋 : 월 1회 로그 점검은 수행하나, 비정상 다운로드 탐지 임계치나 룰셋이 구체화되지 않았습니다.
  14. 마스킹 : 테스트 데이터는 마스킹 처리하나, 암호화 해제가 쉬운 단순 치환 방식만 사용합니다.
  15. 다운로드 통제 : 대량 다운로드 시 사유 입력은 요구하나, 관리자 결재 없이 즉시 실행됩니다.
  16. 모의해킹 : 자체 취약점 스캔은 정기 실행하나, 외부 모의해킹이나 침투 테스트 이력이 없습니다.
  17. 방화벽 ACL : 내부·외부망 분리는 완료했으나, 서버 간 방화벽 ACL이 Any로 과도하게 열려 있습니다.
  18. 메일 암호화 : 엑셀 파일에 비밀번호를 설정해 메일 전송하나, 동일 메일 본문에 비밀번호를 함께 기재합니다.
  19. USB 통제 : USB 암호화는 구두 지시하나, DRM 솔루션 없이 사용자 재량에 의존합니다.
  20. 문서 보관 : 개인정보 서류는 캐비닛 보관하나, 업무 중 열쇠를 자물쇠에 꽂아둔 채 방치합니다.
  21. CCTV : CCTV는 24시간 가동하나, 용량 문제로 보관 기간이 30일 미만입니다.
  22. 문서 방치 : 인쇄 후 즉시 회수는 규정이나, 사원증 태그 출력 솔루션이 없어 복합기 문서가 방치됩니다.
  23. 라벨 이동 : 라벨 출력물을 클립보드로 이동하나, 바람에 내용이 외부 노출될 위험이 있습니다.
  24. 제공 이력 : 특수식 명단을 재료사에 전달 시 업무용 메신저를 사용하나, 제공 이력 대장이 미비합니다.
  25. 어깨너머 열람 : 주방 PC 화면 잠금은 10분 설정이나, 특수식 라벨 출력 시 전체 노출로 어깨너머 열람 위험이 있습니다.

🔴 취약 시나리오 (15 항목, 30%) - CRITICAL

현장 관행과 통제 부재로 대형 유출로 직결되는 치명적 결함

  1. 재위탁 무승인 : 하랑항공 서면 동의 없이 재료 공급업체에 특수식 대상자 정보(이름·연락처)를 카톡으로 전달합니다.
  2. 공용 계정 : 주방 공용 PC에서 admin/1234 단일 계정을 전 직원이 공유하여 사고 시 책임 추적이 불가능합니다.
  3. 로그 누락 : ERP 로그는 기록하나, ‘누구의 어떤 정보를 조회했는지’ 법정 필수 항목이 누락되어 있습니다.
  4. 미패치 3만명 유출 : ERP Oracle EBS 취약점을 패치하지 않아 KC&D 유사 해킹으로 3만 명 데이터(이름·연락처)가 유출됩니다.
  5. 무단 촬영 : 일용직 아르바이트생이 스마트폰 카메라로 특수식 명단을 자유롭게 촬영·외부 전송합니다.
  6. 라벨 방치 : 주방 작업대에 승객 명단과 식이 제한 라벨이 무방비로 널브러져 있습니다.
  7. PC 이탈 방치 : 로그인된 CMS 단말기를 포장 라인 카트에 방치하고 20m 이상 이탈하는 모습이 빈번합니다.
  8. 물리보안 미비(차량) : 배송 트럭 조수석에 특수식 지시서(승객 정보 포함)를 그대로 두고 문도 잠그지 않습니다.
  9. 보안 검색 부재 : 퇴근 시 개인 가방에 조리 지시서(이름·식이)를 넣고 나가나, 출구 보안 검색이 없습니다.
  10. 파기 관행 : 사용 후 특수식 주문서를 파쇄기 대신 이면지로 재사용하거나 일반 쓰레기통에 버립니다.
  11. 파기 대장 부재 : 파기 작업 시 ‘언제·누가·무엇을’ 기록하는 관리 대장이 전혀 작성되지 않습니다.
  12. 물리적 포트 개방 : 업무용 PC USB 포트가 물리적으로 봉인되지 않아 누구나 개인 USB로 데이터를 빼냅니다.
  13. 대응 매뉴얼 부재 : 개인정보 유출 시 하랑항공 핫라인 통보와 KISA 72시간 신고 절차가 담긴 매뉴얼이 없습니다.
  14. 계약서 조항 누락 : 재위탁 계약서에서 손해배상 책임과 재위탁 제한 등 5개 필수 조항이 누락되었습니다.
  15. 늑장 통보 과태료 : 사고 발생 후 항공사에 72시간 경과 후에야 통보하여 공동 책임 및 과태료가 발생합니다.

4. 수탁사 체크리스트 상세 매핑 현황 (I열 점검 내역)

위의 시나리오를 바탕으로 관련 법령과 함께 체크리스트의 I열(점검 내역)을 상세히 매핑한 결과입니다.

[1. 관리적 보호조치]

  • 1.1.1 보호정책 (보호법 제29조, 안전조치 제4조) : [🟡양호] 내부관리계획서는 수립되어 있으나 최신 법령 미반영 및 2년간 현행화 부재. 조속히 개정안을 마련하여 대표자 결재 후 시행 권고.
  • 1.1.2 보호정책 (보호법 제29조, 안전조치 제4조) : [🟡양호] 인트라넷 게시는 되어 있으나 신규·일용직 근로자에 대한 전파가 미흡함. 현장 비치용 소책자 배포 및 교육을 통한 공표 절차 강화 필요.
  • 1.1.3 보호정책 (보호법 제26조/34조, 안전조치 제4조) : [🔴취약] 사고 발생 시 하랑항공 핫라인 통보 및 KISA 72시간 신고 절차가 포함된 대응 매뉴얼 부재. 실제 사고 발생 후 72시간 경과하여 통보함으로써 과태료 발생 현황.
  • 1.1.4 보호정책 (안전조치 제12조) : [🟡양호] IT 인프라 백업 체계는 우수하나, 현장 장애 발생 시 특수식 오배송 방지 등을 포함한 실무 중심 위기대응 매뉴얼 보완 권고.
  • 1.2.1 보호조직 (보호법 제31조, 시행령 제32조) : [🟢최적] CPO를 임원급으로 공식 지정하고 인사발령 공문에 명시하여 운영 중. 반기마다 경영진 서면 보고를 수행하는 등 최적 수준 유지.
  • 1.3.1 취급자 (보호법 제28조, 안전조치 제4/5조) : [🟡양호] 취급자 명단은 있으나 퇴사자 업데이트가 평균 1~2주 지연되어 권한 잔존 위험 있음. 인사 시스템 연동 개선 필요.
  • 1.3.2 취급자 (보호법 제28조) : [🟡양호] 정규직은 완료되었으나 주방 파트타임 및 청소 용역 직원의 서약서가 일부 누락됨. 전수 조사 및 추가 징구 실시 요망.
  • 1.3.3 취급자 (보호법 제28조 2항) : [🟡양호] 연 1회 교육은 실시 중이나 특수식 취급 등 현장 실무 맞춤형 교육이 부족함. 현장 사례를 포함한 심화 교육 추가 실시 권고.
  • 1.4.1 물리적 보안 (보호법 제29조, 안전조치 제11조) : [🔴취약] 배송 트럭 조수석에 승객 정보 지시서를 방치하고 문을 잠그지 않음. 퇴근 시 개인 가방 보안 검색이 이루어지지 않는 등 현장 물리 보안 매우 취약.
  • 1.4.2 물리적 보안 (안전조치 제11조) : [🟡양호] 서버실 지문+카드키 이중 통제는 우수함. 단, 특수식 조리 구역 내 개인정보 출력물 방치 방지를 위한 추가적인 구역 통제 검토 필요.
  • 1.4.3 물리적 보안 (안전조치 제11조) : [🟡양호] 캐비닛에 서류를 보관하나 업무 중 열쇠를 자물쇠에 꽂아두는 관행 발견. 상시 잠금 관리 및 마스터키 관리 대장 작성 필요.

[2. 기술적 보호조치]

  • 2.1.1 접근권한 관리 (보호법 제29조, 안전조치 제5조 1항) : [🔴취약] 실제 업무 수행 직원 위주로 부여 중이나, 주방 공용 계정(admin) 사용으로 인해 특정인 식별 불가. 개별 계정 발급으로 즉시 전환 필수.
  • 2.1.2 접근권한 관리 (안전조치 제5조 2항) : [🟡양호] ERP 내 논리적 분리는 양호하나, 특수식 라벨 출력 시 불필요한 정보까지 노출되는 경향이 있음. 직무별 메뉴 접근 권한 세분화 필요.
  • 2.1.3 접근권한 관리 (안전조치 제5조) : [🟡양호] 계정 발급 결재 완료 전 실무자가 임시 권한을 먼저 부여하는 관행 존재. 반드시 부서장 승인 후 권한이 활성화되도록 통제 강화.
  • 2.1.4 접근권한 관리 (안전조치 제5조 3항) : [🟡양호] 퇴사자 ERP 계정 삭제가 2~3일 지연되는 사례 확인. 인사 발령 당일 권한 회수를 원칙으로 하고 미이행 시 감사 로그 확인 필요.
  • 2.1.5 접근권한 관리 (안전조치 제5조 4항) : [🟡양호] 계정 발급 신청서는 있으나 임시 권한 부여 이력 등이 누락됨. 권한 생애주기 전 과정 이력을 3년 이상 보존할 것.
  • 2.1.6 접근권한 관리 (안전조치 제5조 5항) : [🔴취약] 주방 공용 계정(admin/1234) 공유 사용은 치명적 취약점임. 즉시 중단하고 사용자별 고유 식별 계정 발급 및 MFA 적용.
  • 2.1.7 접근권한 관리 (안전조치 제5조 6항) : [🔴취약] 세션 타임아웃이 60분으로 과다 설정. 로그인된 단말기를 포장 라인 카트에 방치하고 20m 이탈하는 사례 빈번. 즉시 15분 이내 단축 필요.
  • 2.1.8 접근권한 관리 (안전조치 제5조 7항) : [🟡양호] 비밀번호 오입력 계정 잠금 기능은 있으나, 임계치 및 본인확인 해제 절차에 대한 명확한 기준 재수립 필요.
  • 2.2.1 접속기록 관리 (보호법 제29조, 안전조치 제8조 1항) : [🔴취약] ERP 로그는 생성되나 ‘누구의 어떤 정보를 조회했는지’에 대한 법정 필수 항목 누락. 로깅 파라미터 수정 필수.
  • 2.2.2 접속기록 관리 (안전조치 제8조 2항) : [🟡양호] 월 1회 점검은 수행하나 비정상 대량 다운로드 탐지 구체적 룰셋 부재. SIEM 연동 통해 이상 행위 자동 탐지 체계 구축 필요.
  • 2.2.3 접속기록 관리 (안전조치 제8조 1항, 통비법 제15조) : [🟢최적] WORM 스토리지 활용으로 위변조 방지 완벽. 법정 보관 주기(2년 이상) 지속 준수 상태.
  • 2.2.4 접속기록 관리 (안전조치 제8조 3항) : [🟡양호] 백업은 적절히 수행 중이나, 백업 매체에 대한 물리적 보안 및 정기 복구 테스트 이행 증적 확인 필요.
  • 2.3.1 비밀번호 관리 (안전조치 제4조) : [🟡양호] 조합 규칙은 준수하나 90일 주기 강제 변경 시스템 미적용. 강제 변경 기능 활성화 필요.
  • 2.3.2 비밀번호 관리 (보호법 제29조, 안전조치 제6조) : [🟡양호] 화면보호기는 활성화되었으나 비밀번호 없이 해제되는 단말기 다수 확인. 해제 시 패스워드 입력 강제 정책 배포 필요.
  • 2.4.1 네트워크 통제 (안전조치 제6조 2항) : [🟢최적] VPN+MFA 적용으로 외부 접속 보안 최적. 인증 수단 분실 대응 절차 정기 점검 요망.
  • 2.4.2 네트워크 통제 (안전조치 제6조 3항) : [🟡양호] IPS 운영 중이나 내부 서버 간 방화벽 ACL이 ‘Any’로 과도하게 허용됨. 필요 최소 권한 기반 IP/Port 정책 재설정 권고.
  • 2.4.3 네트워크 통제 (시행령 제30조, 안전조치 제6조) : [🟡양호] 망 분리는 완료되었으나 접점 구간의 파일 전송 등에 대한 보안 통제 강화(망연계 시스템 점검 등) 필요.
  • 2.4.4 네트워크 통제 (안전조치 제6조 7항) : [🟡양호] EPC 통한 감시 중이나 주방 PC 등 일부 단말 비인가 프로그램 통제 전수 조사 권고.
  • 2.4.5 네트워크 통제 (안전조치 제6조 6항) : [🟢최적] WPA3 엔터프라이즈 및 WIPS 운영으로 인가자 전용 최적 통제. 현장 비인가 AP 금지 교육 지속.
  • 2.5.1 단말기 보안 (안전조치 제6조 4항, 정보통신망법 제47조) : [🟡양호] 자체 취약점 스캔은 수행 중이나, 외부 전문기관의 모의해킹/침투 테스트 이력 부재. 연 1회 정기 실시 권고.
  • 2.5.2 단말기 보안 (안전조치 제9조 1항) : [🟢최적] EPC 통한 실시간 업데이트 및 감시 완벽 수행 중.
  • 2.5.3 단말기 보안 (안전조치 제9조) : [🔴취약] ERP(Oracle EBS) 취약점 패치 누락으로 인해 실제 KC&D 유사 해킹 사고 발생, 약 3만 명 데이터(이름, 연락처) 유출 현황. 긴급 패치 시급.
  • 2.5.4 단말기 보안 (안전조치 제6조) : [🟡양호] 원칙적 공유 금지이나 부득이한 사용 시 접근 제어 및 파일 암호화 조치 점검 필요.
  • 2.5.5 단말기 보안 (안전조치 제9조 1항) : [🟡양호] 전 직원 설치 확인되나 미업데이트 단말의 사내망 접속 차단 정책(NAC 연동) 강화 권고.
  • 2.5.6 단말기 보안 (안전조치 제9조) : [🟡양호] OS 보안 패치는 양호하나 일부 사내 업무용 S/W 구버전 방치 확인. 패치 자동화 솔루션 도입 필요.
  • 2.5.7 단말기 보안 (안전조치 제10/11조) : [🔴취약] 노트북 반출 시스템 승인은 양호하나 업무용 PC USB 포트가 물리적으로 미봉인되어 개인 매체로 데이터 무단 유출 가능.
  • 2.6.1 개인정보 암호화 (보호법 제24/29조, 안전조치 제7조) : [🟢최적] SHA-256 등 안전한 일방향 암호화 알고리즘 완벽 적용 중.
  • 2.6.2 개인정보 암호화 (보호법 제24/29조, 안전조치 제7조) : [🟢최적] AES-256 암호화 적용 및 키 관리 절차 문서화 완료. 최적 상태 유지.
  • 2.6.3 개인정보 암호화 (안전조치 제7조 6항) : [🟡양호] SFTP 암호화 전송 중이나, 엑셀 파일 메일 전송 시 본문에 비밀번호를 함께 기재하는 치명적 관행 존재.
  • 2.6.4 개인정보 암호화 (안전조치 제7조 5항) : [🔴취약] 테스트 데이터 암호화 방식이 해제가 쉬운 단순 치환으로 매우 취약. 정교한 마스킹 기법 및 로컬 저장 시 암호화 필수.
  • 2.6.5 개인정보 암호화 (안전조치 제7조 7항) : [🟡양호] 키 관리 절차는 문서화되었으나 실제 키 생애주기별 사용·교체 이력을 기록하는 관리 대장이 미비함.
  • 2.7.1 출력복사 통제 (보호법 제29조, 처리 고시) : [🔴취약] 현장 특수식 라벨 출력 시 전체 정보가 노출되어 어깨너머 열람 위험. 연락처 등 불필요 정보 마스킹 즉시 적용 필요.
  • 2.7.2 출력복사 통제 (보호법 제29조, 안전조치 제11조) : [🔴취약] 라벨 출력물 등의 이동 및 사용 이력 기록 부재. 출력물 관리 대장 수기 작성 또는 사원증 태그 출력 시스템 도입 시급.

[3. 개인정보 생명주기]

  • 3.1.1 수집 통제 (보호법 제16/26조) : [🟡양호] 예약 시스템 기반 자동 수집은 양호하나, 현장 일용직의 개인 메모를 통한 무단 수집 여부 현장 점검 필요.
  • 3.2.1 이용/제공 통제 (보호법 제18/26조) : [🔴취약] 자체 DB 분리는 양호하나, 현장 아르바이트생이 스마트폰 카메라로 특수식 명단을 무단 촬영/전송하는 치명적 위반 현황.
  • 3.2.2 이용/제공 통제 (보호법 제26조, 시행령 제28조) : [🔴취약] 하랑항공 사전 승인 없이 식자재 업체에 명단을 카톡으로 무단 전달 중. 재위탁 계약서 내 손해배상 등 필수 조항 5개 누락.
  • 3.2.3 이용/제공 통제 (보호법 제17/26조) : [🔴취약] 재료사에 명단 전달 시 업무용 메신저를 사용하며, ‘누구에게 언제 무엇을 왜’ 제공했는지에 대한 법정 제공 대장 완전 미비.
  • 3.3.1 파기 관리 (보호법 제21조, 시행령 제16조) : [🟡양호] 운항 종료 7일 내 자동 삭제는 우수하나, 백업본의 30일 후 파기 이력 및 대장 작성 증적 관리가 불분명함.
  • 3.3.2 파기 관리 (보호법 제21조) : [🟡양호] CMS/ERP 내 보유기간 경과 파기 시 로우레벨 포맷 등 복구 불가능한 영구 삭제 방식 증빙 추가 검토 필요.
  • 3.3.3 파기 관리 (보호법 제21조, 시행령 제16조) : [🔴취약] 사용 완료 특수식 명단을 파쇄기 대신 이면지로 재사용하거나 일반 쓰레기통에 투입하는 관행 적발. 즉시 전량 파쇄 조치 필수.
  • 3.3.4 파기 관리 (보호법 제21조 3항 등) : [🟡양호] 로그 1년 보관 등 법령은 준수 중이나 분리 보관 데이터에 대한 일반 업무 권한과의 통제 분리 강화 필요.
  • 3.3.5 파기 관리 (보호법 제26조) : [🟡양호] 파기 확인서는 정기 제출 중이나, 실제 ‘언제, 누가, 무엇을’ 파기했는지 기록하는 파기 대장이 없어 실무 보고 내용의 무결성 검증 요망.

5. 트러블슈팅

  • 일률적인 등급 비율 적용의 한계

  • 원인 : 전체 팀 공통으로 [최적 2 : 양호 5 : 취약 3] 비율을 기계적으로 맞추려다 보니, 특정 수탁사(SaaS 중심 등)의 성격에 맞지 않는 억지스러운 시나리오가 도출됨

  • 해결 방법 : 수탁사별 유동적 비율 적용. 멘토님 피드백을 수용하여 취급 데이터의 민감도나 현장 작업 환경 유무에 따라 양호/취약 비율을 유연하게 재조정하기로 협의.

  • AI 생성 시나리오의 법적/논리적 맹점

  • 원인 : 생성형 AI 프롬프트를 활용해 시나리오 초안을 대량 생성하다 보니, 간혹 법령(ISMS-P, 개인정보보호법) 요건과 매칭되지 않거나, 앞뒤 문맥이 상충되는 텍스트 출력 발생

  • 해결 방법 : 팀원 수동 교차 검증 (Line-by-Line 검토). AI 생성 결과물에 전적으로 의존하지 않고, 팀원들이 직접 시나리오를 하나하나 뜯어보며 법적 요건 충족 여부와 현장 관행의 현실성을 미세 조정(Fine-tuning)하는 수작업 진행.

  • ‘양호’ 등급 판정 기준의 모호성

  • 원인 : 기존 Pass/Fail (양호/취약) 2단계 구조에서는 ‘규정은 완벽한데 증적이 없는’ 실무의 애매한 사례를 어느 쪽에 넣어야 할지 팀원 간 의견 충돌 발생

  • 해결 방법 : ‘부분 양호(보완)’ 3단계 등급 도입. “시스템/규정은 존재하나 현장의 실행 관행이나 대장 증적이 미흡한 경우"를 ‘부분 양호’로 명확히 정의하여 평가의 객관성과 컨설팅 현실성 확보.

6. 배운 점 및 인사이트 (Today’s Insight)

오늘은 멘토님의 날카로운 피드백과 함께 우리가 만든 가상의 시나리오를 ‘현실 컨설팅의 언어’로 진화시킨 뼈 빠지는 날이었다. 무엇보다 가장 큰 수확은 ‘부분 양호(보완)’ 등급의 도입이다. 실제 현장 감사에서는 완벽하게 지키거나 아예 안 지키는 흑백 논리보다는, “캐비닛 잠금 규정은 있으나 열쇠는 방치하는” 식의 회색 지대가 대다수다. 이를 3단계로 세분화하여 I열에 녹여내니, 보고서의 입체감과 설득력이 확연히 살아났다.

수십 개의 점검 항목을 한 줄 한 줄 매핑하면서, AI가 1차 뼈대를 훌륭하게 잡아주더라도 결국 법적 정합성을 맞추고 모순을 찾아내는 것은 온전히 인간(보안 전문가)의 몫이자 역량이라는 것을 트러블슈팅 과정에서 다시금 깨달았다. ‘admin 계정 공유’, ‘이면지 재사용’, ‘Oracle EBS 미패치’ 같은 치명적 취약점들이 고도화된 해킹이 아니라 현장의 ‘편의주의’에서 시작된다는 사실도 흥미롭다. 이제 다음 단계는 팀원 모두의 문체를 오늘 정립한 I열 가이드라인으로 통일하고, WBS를 작성해 남은 컨설팅 프로젝트의 뼈대를 단단하게 고정하는 일이다.