Research Review: Effectiveness of cybersecurity audit

Analyzed Date: 2026.02.16 - 2026.02.20 Keywords: Cybersecurity Audit, Internal Audit, Audit Effectiveness, Cybersecurity Audit Index, Risk Maturity Source: International Journal of Accounting Information Systems, 2022, Vol. 44, Article 100548 https://doi.org/10.1016/j.accinf.2021.100548

Why This Paper?

선정 배경

도메인 탐색 결과: 8주간 보안 컨설팅, OT/ICS, 클라우드 등 8개 도메인 논문을 읽은 결과, 보안 컨설팅이 나의 강점과 흥미에 가장 부합함을 확인. 이제부터는 보안 컨설팅 전문성 심화를 위한 체계적 학습 단계.

이 논문을 선택한 이유:

• 이전 4편(Gashgari 거버넌스, Foorthuis 컴플라이언스, Santos-Olmo 리스크, Bulgurcu 개인 준수)이 보안 체계의 설계와 구축을 다뤘다면, 이 논문은 그 체계가 실제로 작동하는지 검증하는 감사 단계를 다룬다
• 보안 컨설팅 실무에서 진단/감사는 고객사에 직접 개입하는 핵심 역량이며, 이를 어떻게 측정하고 평가할 것인지에 대한 학술적 기반이 부재했음
• 보안 진단/감사 역량 강화라는 이번 주 학습 목표에 가장 직접적으로 부합하는 논문
• ISMS-P 인증 심사, ISO 27001 내부 감사 등 한국 보안 컨설팅 현장에서 감사 효과성 논의가 증가하는 추세와 연관

학습 목표:

1. 사이버보안 감사 효과성의 3개 차원(계획-수행-보고)과 그 측정 방식 이해
2. 사이버보안 감사 지수(CSA Index) 구성 방법론을 컨설팅 진단 도구 설계에 적용
3. 감사 효과성이 리스크 성숙도에는 영향을 주지만 실제 공격 발생률과는 무관하다는 발견을 고객사 자문 시 활용

Day 1 – Research Context & Motivation

(사이버보안 감사는 실제로 효과가 있는가: 측정되지 않은 것은 관리되지 않는다)

1. 연구 배경: 감사 효과성 측정의 부재

사이버보안 감사의 중요성

사이버범죄는 고도화된 기술적 방어 체계와 높아진 인식에도 불구하고 지속적으로 증가하고 있다. 유럽 내부감사인 협회(ECIIA)가 579명의 최고감사책임자(CAE)를 대상으로 실시한 설문에서 사이버보안은 5대 비즈니스 리스크 중 하나로 지목되었다. 이에 따라 내부감사 기능(IAF)이 이사회와 경영진의 사이버보안 거버넌스 책임 수행을 지원하는 역할이 강조되고 있다.

사이버보안 감사(CSA)의 목적은 조직의 보안 정책, 리스크 관리 프로세스, 내부 통제의 준수 여부와 자산 무결성·데이터 기밀성·가용성 보호 효과성에 대한 독립적 증거를 확보하는 것이다(IIA, 2013, 2016, 2020).

현실의 한계

내부감사 효과성 측정은 학계와 실무 모두에서 미해결 과제로 남아 있다. Lenz(2013)는 내부감사 효과성을 조직 목표 달성에 긍정적 영향을 미치는 리스크 기반 개념으로 정의했으나, 이를 객관적으로 측정하는 표준화된 방법은 존재하지 않았다. Kotb et al.(2020)과 Turetken et al.(2020)의 문헌 검토에서도 내부감사 효과성을 정의하거나 평가하는 데 합의된 기준이 없음이 확인되었다.

기존 연구들의 주요 한계는 세 가지다. 첫째, 대부분의 연구가 단일 차원(예: 감사 계획 이행 여부, 권고 사항 채택률)만을 측정한다. 둘째, 객관적 지표 대신 인식(perceived) 효과성에 의존한다. 셋째, CSA에 특화된 연구는 극소수로, Haapamäki와 Sihvonen(2019)의 검토에서도 관련 연구 13편에 불과하며 CSA 효과성을 체계적으로 개념화하거나 측정한 연구는 전무했다.

연구 문제의식

사이버보안 감사의 효과성을 종합적으로 어떻게 측정하며, 그것이 실제로 사이버 리스크 관리 성숙도와 사이버 공격 발생 확률에 어떤 영향을 미치는가?

2. 핵심 개념

3. 이론적 기반: 내부감사 표준 기반 프로세스 접근법

핵심 아이디어: 본 연구는 내부감사가 표준(Standards)을 따를 때 효과적이라는 프로세스 접근법(process approach)을 채택한다. 단순히 이사회의 기대를 충족하는지로만 측정하는 것은 정보 및 역량 비대칭 문제로 불완전하므로, CS 프레임워크, 전문 지침, 모범 사례까지 포괄하는 확장된 측정 체계를 구성한다.

4. 연구의 핵심 기여

학술적 기여:

• CSA 효과성 유형론(typology)을 최초로 체계적으로 개념화하고 객관적 지표로 운영화
• 이사회의 기대 충족 여부만으로 측정하는 기존 접근의 한계를 극복하여 표준 기반의 종합 지수 개발
• CSA와 조직 성과(리스크 성숙도, 공격 발생률) 간 관계에 대한 최초의 실증적 증거 제시

실무 기여:

• 내부 감사인이 자신의 CSA 효과성을 진단할 수 있는 측정 도구 제공(설문 부록 포함)
• 업계별, 지역별 CSA 지수 평균값 제공으로 벤치마킹 가능
• 감사인이 이사회에 제공하는 종합 의견(overall opinion)과 실제 계획/수행 단계 간의 괴리 문제 실증

5. 컨설팅 관점 인사이트

적용 가능성: CSA Index의 3개 차원(계획-수행-보고)은 고객사 감사 역량 진단 체크리스트로 즉시 전환 가능하다. 특히 논문이 제공하는 업계 평균(금융 66점, IT·통신 75점, 제조 48점, 의료·교육 46점)은 고객사의 상대적 위치를 설명하는 강력한 설득 자료가 된다.

기존 학습과의 연결: Gashgari(2017)의 거버넌스 프레임워크가 이사회 보고 체계를 설계했다면, 이 논문은 그 보고를 실질적으로 뒷받침하는 감사 프로세스의 효과성을 측정한다. Santos-Olmo(2024)의 동적 리스크 분석이 위험을 식별하는 단계라면, 이 논문은 그 식별된 위험이 제대로 관리되는지를 감사가 검증하는 단계다.

현실적 고려사항: 한국 기업의 경우 내부감사팀 내 IT 감사 전담 인력이 없는 경우가 많다(논문 샘플에서도 41%가 IT 감사인 부재). 이 경우 외부 컨설턴트를 통한 공동소싱(co-sourcing)이 현실적 대안이며, 논문 샘플의 85%가 공동소싱 또는 완전 외주 형태를 택하고 있다는 점은 컨설팅 수요의 근거가 된다.

Day 2 – Research Model, Hypotheses, and Methodology

(CSA Index: 계획·수행·보고 3개 차원을 어떻게 수치로 만들었는가)

1. 연구 모델 개요

설계 철학: 내부감사 표준(IIA Standards)이 요구하는 보증 업무의 계획-수행-보고 3단계 프로세스를 기반으로, CS 프레임워크(COBIT, ISO 27001, NIST)와 전문 지침을 결합하여 복합 지수를 구성한다. 지수는 형성적(formative) 복합 변수로 측정되며, 가중치는 연구진의 전문적 판단에 근거한다.

2. 연구 가설

3. 연구 방법론

A. 데이터 수집

데이터 소스:

데이터 규모:

• 257명 설문 시작, 183명 유효 응답(CSA Index 완성 기준)
• 수집 기간: 2020년 5월 말~8월 초(약 2개월)
• 지역: 동유럽(53%), 서유럽(23%), 태평양(15%), 기타(9%)

데이터 특성 및 문제점: 응답자 대부분이 CAE 또는 IT 감사인(82%)으로 구성되어 상대적으로 역량이 높은 집단이 과대 대표될 가능성이 있다. 또한 금융(33%)·공공행정(20%)·IT·통신 업종이 집중되어 있어 제조·의료 등 다른 산업으로의 일반화에 제약이 따른다.

B. CSA Index 구성 방법론

차원 1: Planning (가중치 40%)

목적: IAF가 사이버보안 환경을 얼마나 능동적이고 체계적으로 파악하는지 측정

구성:

차원 2: Performing (가중치 40%)

목적: 12개 CS 영역에 걸쳐 감사 증거를 얼마나 포괄적이고 심층적으로 수집하는지 측정

구성:

차원 3: Reporting (가중치 20%)

목적: IAF가 이사회에 CS 리스크 관리 효과성을 얼마나 포괄적이고 빈번하게 보고하는지 측정

구성:

최종 CSA Index 계산:

C. 평가 방법

평가 지표:

• H1 검증: 순서형 로지스틱 회귀(Ordered Logistic Regression) - 성숙도를 저/중/고 3단계로 재분류
• H2 검증: 이항 로지스틱 회귀(Binary Logistic Regression) - 공격 발생 여부(0/1)

통제 변수: 디지털화 수준(1-3), 리스크 허용 수준(1-3), 조직 규모(종업원 수 자연로그), 산업 더미

비교 대상: 가중치 적용 지수(CSA Index 1)와 동일 가중치 지수(CSA Index 2), 그리고 3개 차원 각각을 별도 모델로 추가 검증하여 결과의 강건성(robustness) 확인

4. 컨설팅 관점 인사이트

방법론의 실무 적용성:

장점:

• CSA Index의 3개 차원은 고객사 감사팀 역량 진단에 즉시 활용 가능한 체크리스트 구조
• 12개 CS 영역과 5개 감사 절차의 교차 측정은 감사 범위의 누락 영역을 체계적으로 확인하는 데 효과적
• 이진형 OPINION 변수는 이사회에 종합 의견을 제공하는지 여부라는 단순하지만 핵심적인 질문을 포착

한계:

• 가중치 설정이 연구진의 주관적 판단에 의존하여 다른 업종·규모의 조직에 동일 적용이 부적절할 수 있음
• 자기 보고(self-report) 방식으로 실제 수행 수준보다 높게 응답되는 경향(upward bias) 가능

기존 보안 솔루션과의 차별점:

Day 3 – Empirical Results and Hypothesis Testing

(감사 효과성은 성숙도를 높이지만, 공격을 막지는 않는다)

1. 평가 환경

실험 설정:

• 기간: 2020년 5월~8월
• 데이터: 183명 유효 응답 (CSA Index 완성), 회귀 분석 시 154~176명 활용
• 환경: 19개 국가 IIA 및 3개 ISACA 챕터 통한 국제 설문

실험 전략: CSA Index와 두 결과 변수(성숙도, 공격 발생률) 간의 관계를 회귀 분석으로 검증하고, 가중치 방식 변화·통제변수 처리 방식 변화 등 다양한 강건성 검사를 통해 결과의 신뢰성을 확인

2. 주요 발견

전체 결과 요약:

업종별 CSA Index:

3. 가설 검증 결과

4. 상세 분석

A. CSA 효과성 현황: Performing이 가장 취약

CSA의 실제 수행 단계에서 눈에 띄는 패턴이 발견된다. 12개 CS 영역 중 클라우드 보안이 가장 적게 감사되고, 위협·취약점 관리, 위기 관리, 모니터링, 소프트웨어 보안, 제3자 관리도 취약하게 감사된다. 반면 신원·접근 관리, 기업 복원력, 데이터 보호는 상대적으로 충실하게 검토된다.

감사 절차 면에서는 검사(inspection)가 가장 많이 사용되고, 재수행(reperformance)은 가장 드물게 사용된다. 재수행은 감사 증거 신뢰도가 가장 높은 절차임에도 신원·접근 관리와 위협·취약점 관리 영역에서만 제한적으로 활용된다.

CS 도구 점검에서는 25%의 응답자가 아무런 도구도 점검하지 않으며, 75%는 최소 1개 이상의 도구를 점검한다. 방화벽(51%), 안티바이러스(50%), 네트워크 보안 모니터링(41%)이 가장 많이 점검되는 반면, 패킷 스니퍼(9%), 소셜 엔지니어링 도구(10%)는 거의 점검되지 않는다.

관찰: Performing 점수가 가장 낮고 편차도 크다는 것은, 많은 조직이 감사 계획은 세우지만 실제 증거 수집 단계에서 질적 깊이가 부족함을 의미한다.

해석: 감사 인력의 기술적 역량 부족과 자원 제약이 Performing 단계의 취약성을 만든다. 특히 클라우드, 위협 인텔리전스 등 신기술 영역에 대한 감사 역량 개발이 뒤처져 있다.

실무 시사점: 고객사 감사팀 역량 진단 시 Performing 단계, 특히 클라우드·소프트웨어·제3자 관리 영역의 감사 절차 다양성과 깊이를 중점 점검해야 한다.

B. 보고-수행 단절: 이사회에 잘못된 안도감을 줄 수 있다

계획과 수행 단계의 상관관계(r=0.52)에 비해 이 두 단계와 보고 단계의 상관관계는 현저히 낮다(r=0.28, r=0.29). 더 구체적으로, 종합 의견을 발행한 그룹의 Planning 평균은 68점, 미발행 그룹은 59점으로 유의미한 차이가 있다(p=0.016). Performing에서도 59점 대 47점으로 차이가 난다(p=0.008).

관찰: 일부 감사 기능이 계획·수행 단계의 충실도와 무관하게 이사회에 종합 의견을 제공하고 있다. 논문에서 이런 경우는 5명으로 확인되었다.

해석: 이사회와 감사 기능 간의 정보·역량 비대칭으로 인해, 이사회가 불충분한 감사에 기반한 종합 의견을 충분한 보증으로 오인할 수 있다. 이는 허위 안도감(false sense of security)의 문제를 실증적으로 보여준다.

실무 시사점: 고객사의 이사회 보고 관행을 진단할 때, 종합 의견 발행 여부와 함께 그 의견이 충분한 계획·수행 단계에 기반하는지를 반드시 확인해야 한다.

C. H1 세부 분석: Performing이 성숙도 예측력 최강

3개 차원을 개별 모델로 분석한 결과, Performing 차원이 CS 리스크 성숙도를 가장 강하게 예측한다(OR=1.024, p<0.001). Planning(OR=1.017)과 Reporting(OR=1.013)도 유의미하나 예측력은 상대적으로 낮다. 디지털화 수준도 성숙도의 강한 예측 변수이며, 금융 대비 의료·교육 업종이 성숙도 수준이 더 높게 나타나는 예상 외의 결과도 관찰된다.

D. H2 기각의 함의: CSA 혼자서는 공격을 막을 수 없다

CSA Index가 사이버 공격 발생 확률을 유의미하게 예측하지 못하는 이유에 대해 논문은 두 가지 설명을 제시한다. 첫째, 가장 디지털화된(즉 CSA가 가장 효과적인) 조직들이 동시에 가장 많은 공격 대상이 된다는 역설적 구조 때문이다. 실제로 디지털화 수준이 높을수록 공격 발생 확률이 낮고(유의함), 조직 규모가 클수록 공격 확률이 높다(유의함). 둘째, IAF는 1·2선이 수행하는 보안 도구와 프로세스를 감사할 뿐, 그것들이 없으면 감사 범위 자체가 좁아지기 때문이다.

5. 오탐/오류 분석

응답 편향 분석:

6. 컨설팅 관점 인사이트

성공 사례: H1이 지지된 것은, 효과적인 CSA가 발견 사항과 권고를 통해 1·2선 역량을 실질적으로 개선하고 이것이 성숙도 향상으로 이어진다는 주장을 뒷받침한다. CSA Index 80점 조직이 20점 조직보다 고성숙도 확률이 5배 높다는 수치는 컨설팅 개입의 ROI를 설명할 때 강력한 근거가 된다.

한계 사례: H2 기각은 ‘감사를 잘 하면 해킹을 막을 수 있다’는 단순 논리가 성립하지 않음을 의미한다. 노출도가 높은 조직일수록 공격 대상이 되는 구조에서, CSA만으로 공격 발생 자체를 줄이기는 어렵다.

고객 환경 적용 시 고려사항: 고객사에 CSA 역량 강화를 제안할 때, 기대 효과를 ‘해킹 예방’이 아닌 ‘리스크 관리 성숙도 향상’으로 명확히 프레이밍해야 한다. 감사 효과성과 공격 예방 사이에 직접적 인과관계가 없다는 실증 결과는, 과도한 기대를 설정하는 대신 현실적이고 신뢰할 수 있는 가치 명제를 제시하는 근거가 된다.

7. 개인 인사이트

Day 3를 읽고 느낀 점:

감사와 공격 예방의 단절이 주는 교훈 가장 인상적인 결과는 H2의 기각이다. 감사 효과성이 높아져도 실제 공격 발생률이 낮아지지 않는다는 발견은 직관에 반하지만, 이유를 이해하면 납득이 간다. 가장 노출된 조직이 가장 많이 공격받으면서 동시에 감사도 가장 잘 하기 때문이다. 이것은 보안에서 인과관계를 단순화하는 것이 얼마나 위험한지를 보여준다.

보고의 단절이 주는 실무적 위험 계획·수행과 보고의 낮은 상관관계는 이사회에 허위 안도감이 제공될 수 있다는 구체적 위험을 실증한다. 컨설턴트로서 고객사 이사회나 CISO에게 감사 보고서의 내용을 검토할 때, 그 보고서가 충분한 근거에 기반하는지 묻는 것이 반드시 필요한 질문임을 깨달았다.

Performing의 취약성이 집중 공략 영역 클라우드, 소프트웨어, 제3자 관리 등 신기술 관련 영역이 가장 취약하게 감사된다는 발견은, 이것이 바로 외부 전문가의 공동소싱 수요가 가장 높은 영역임을 의미한다. 컨설팅 서비스 설계 시 이 취약 영역을 우선 타깃으로 삼을 수 있다.

다음 궁금증 (Day 4 Preview): 이 논문의 한계(자기보고 편향, 내생성 문제, 횡단면 설계)를 후속 연구들이 어떻게 극복했는지, 그리고 이 CSA Index가 실무 표준으로 어떻게 발전했는지가 궁금하다.

Day 4 – Research Limitations and Scholarly Impact

(완벽한 감사도 공격을 막지 못한다: 한계를 이해할 때 조언이 정직해진다)

1. 연구의 한계점

A. 자기 보고 편향과 표본 대표성 문제

문제: 논문의 데이터는 IT 감사인과 CAE의 자기 보고(self-report)에 전적으로 의존한다. 설문 참여 인센티브로 자신의 CSA 점수를 실시간으로 확인할 수 있도록 설계되었는데, 이는 CSA에 자신 있는 응답자들이 참여할 가능성을 높인다. 논문은 이 점을 명시적으로 인정하며, 결과가 상향 편향(upward bias)되어 있을 수 있다고 경고한다.

표본의 업종 구성도 문제다. 금융(33%), 공공행정(20%), IT·통신 등 사이버 노출이 높은 업종이 과대 대표되어 있다. 이 업종들은 규제 압력과 조직 역량 면에서 평균적인 기업과 크게 다르기 때문에, 제조·의료·서비스 등 다른 업종으로의 일반화에 제약이 따른다.

영향: 실제 CSA 현황은 논문이 보고하는 평균 58점보다 낮을 가능성이 있다. 특히 한국의 중소기업이나 보안 성숙도가 낮은 업종에 이 수치를 그대로 적용하면 현실을 과대평가하는 오류를 범할 수 있다.

보완 방향: 논문이 제안하는 방향은 종단 연구(longitudinal study)를 통해 동일 조직의 CSA 효과성 변화를 추적하거나, 감사 보고서·이사회 회의록 등 객관적 문서 기반 측정을 병행하는 것이다.

B. 내생성 문제: 인과관계 방향의 불확실성

문제: H1이 지지되었으나, CSA 효과성과 CS 리스크 성숙도 간의 인과관계 방향을 단정할 수 없다. 논문 자체가 이 문제를 명시적으로 인정한다. 두 가지 동시적 해석이 가능하다. 첫째, 효과적인 CSA가 발견 사항과 권고를 통해 성숙도를 높인다. 둘째, 보안을 우선시하는 조직이 애초에 CSA와 성숙도 모두에 충분한 자원을 투입한다. 즉, 제3의 변수(보안에 대한 경영진의 의지)가 두 변수를 동시에 끌어올리는 구조일 수 있다.

논문은 교란 변수(Confounding Variable)의 영향 임계치(ITCV) 분석을 통해 단순한 내생성 문제가 결론을 뒤집을 가능성이 낮다고 주장하지만, 이 역시 OLS 추정 기반의 간접적 검증에 불과하다.

영향: 컨설팅 개입의 효과를 ‘우리가 감사를 강화했더니 성숙도가 높아졌다’고 단순히 주장하기 어렵다. 경영진의 의지와 자원 투입이 선행 조건일 수 있기 때문이다.

보완 방향: 논문은 적절한 도구 변수(instrumental variable) 개발 또는 종단 설계를 통한 인과 추론 강화를 후속 과제로 제시한다.

C. 1·2선 효과성 미통제

문제: CSA Index는 IAF(3선)의 감사 활동을 측정하지만, 1선(비즈니스 부서·IT)과 2선(정보보안 기능)의 역량을 통제하지 못한다. 논문이 직접 인정하듯, IAF는 1·2선이 수행하는 보안 도구와 프로세스를 감사할 뿐이다. 따라서 1·2선이 취약하면 CSA 자체도 범위가 좁아지고 점수가 낮아지는 구조가 된다. H2가 기각된 이유 중 하나로 논문이 제시하는 것이 바로 이 점이다. 가장 디지털화된, 즉 1·2선이 가장 강한 조직이 동시에 가장 많은 공격 대상이 되기 때문에, 3선만으로는 공격 발생률을 설명할 수 없다.

영향: CSA Index 단독으로 조직의 사이버보안 전체 역량을 대표하지 못한다. 높은 CSA 점수가 반드시 강한 보안을 의미하지 않을 수 있다.

보완 방향: 동일 데이터셋에서 1·2선의 역량을 동시에 측정하는 모델을 구성하거나, 방어 3선 전체를 포괄하는 통합 지수 개발이 필요하다.

D. 횡단면 설계의 시간적 한계

문제: 2020년 5~8월의 특정 시점 데이터만 수집한 횡단면(cross-sectional) 설계로, 코로나19 팬데믹으로 인한 원격근무 급증과 사이버 위협 환경의 급변이 결과에 영향을 미쳤을 가능성이 있다. 논문 자체도 팬데믹이 사이버 리스크를 증가시켰다는 점을 서론에서 언급한다.

영향: 2020년의 CSA 현황이 현재(2026년)와 다를 수 있다. 클라우드 전환 가속, 공급망 공격 증가, AI 기반 위협 등 감사 환경이 크게 변화했기 때문이다.

보완 방향: 논문이 직접 제시하는 방향은 종단 연구다. 동일 조직을 수년간 추적하여 CSA 효과성 변화와 그에 따른 성숙도 및 사이버 결과의 변화를 관찰하는 설계가 필요하다.

2. 후속 연구 동향

A. 인용 수와 영향력

학술적 임팩트:

• 발표: 2022년 1월 (온라인 공개 기준)
• 오픈 액세스(CC BY 라이선스)로 공개되어 접근성이 높음
• 동일 데이터셋을 활용한 후속 논문이 같은 연구팀에 의해 발표됨: Key drivers of cybersecurity audit effectiveness: A neo-institutional perspective (Vuko et al., 2025, International Journal of Auditing)
• ISACA Journal 2022년 3호에 실무용 요약본 게재(How Effective Is Your Cybersecurity Audit?)

B. 연구 트렌드의 변화

이 논문의 위치: CSA 효과성 연구의 출발점이자 기준점(reference point)으로 기능한다. 후속 연구들이 CSA 효과성을 측정할 때 이 논문의 CSA Index를 도구로 채택하고 있으며, 인과 관계의 방향과 결정 요인을 밝히는 다음 단계 연구의 토대가 되었다.

C. 주요 후속 연구

한계 극복 방향 1: CSA 효과성의 결정 요인 분석

개선점: 이 논문이 CSA 효과성 수준을 측정하는 데 집중했다면, 후속 연구는 무엇이 CSA를 효과적으로 만드는지의 원인 측면을 분석했다.

한계 극복 방향 2: 이사회 거버넌스와 CSA의 연결

개선점: 이 논문이 IAF의 이사회 보고를 다룬 것과 달리, 이사회 자체의 CS 거버넌스 역량을 분석하여 보고 단절 문제의 이사회 측 원인을 탐구했다.

3. 실무 영향

A. 감사 실무에 미친 영향

이 논문 이전: 내부 감사인들은 CSA를 얼마나 잘 수행하는지 객관적으로 비교할 방법이 없었다. 감사 효과성은 주로 권고 채택률이나 연간 계획 이행률 같은 단일 지표로만 측정되었고, CSA에 특화된 종합 측정 도구는 존재하지 않았다.

이 논문 이후: 동일 연구팀이 ISACA Journal에 실무용 요약본(How Effective Is Your Cybersecurity Audit?, 2022)을 게재하여 실무 감사인들이 CSA Index를 자가 진단 도구로 활용할 수 있도록 했다. 논문 부록으로 제공된 설문 도구는 IIA 및 ISACA 회원들의 실무 개선 지침으로 활용 가능하다.

B. 한계를 이해한 컨설팅 전략

고객사에 CSA 역량 강화를 제안할 때 이 논문의 한계를 아는 것이 오히려 신뢰를 높인다. 감사 효과성 향상이 성숙도 개선으로 이어진다는 점(H1)은 제안의 근거가 되지만, 공격 예방 효과를 과장하면(H2 기각 무시) 역효과가 난다. 또한 1·2선 역량이 충분히 갖춰지지 않은 상태에서 3선인 CSA만 강화하는 것은 구조적으로 한계가 있음을 처음부터 솔직하게 설명해야 한다.

적용 가능 시나리오: 이미 1·2선이 어느 정도 구축된 조직에서 3선인 내부감사의 CSA 역량 격차를 진단하고 체계화할 때. ISMS-P 인증 준비 과정에서 내부심사 역량을 점검할 때. 업종 평균 대비 자사의 감사 역량을 벤치마킹하고자 할 때.

적용 불가 시나리오: 1·2선이 거의 없는 상태(보안팀 부재, 통제 미구축)에서 CSA 강화만을 추진하는 경우. 단기간에 사이버 공격 발생률을 줄이는 것을 목표로 CSA를 제안하는 경우(H2가 지지되지 않음).

4. 개인 인사이트

Day 4를 읽고 느낀 점:

한계 인정이 오히려 신뢰를 만든다 이 논문이 H2 기각을 솔직하게 보고하고 내생성 문제를 명시적으로 인정한 것은, 역설적으로 논문의 신뢰성을 높인다. 컨설턴트로서도 마찬가지다. 감사 강화가 공격을 막지 못할 수 있다는 사실을 고객사에 먼저 말하는 것이, 나중에 기대에 못 미쳐 신뢰를 잃는 것보다 낫다. 결과에 대한 정직한 프레이밍이 장기적 관계를 만든다.

인과관계의 방향을 묻는 습관 H1의 상관관계가 지지되었다고 해서 CSA → 성숙도의 인과 흐름을 단정할 수 없다는 점은, 보안 컨설팅에서 어떤 개입이 어떤 결과를 낳는다고 주장할 때 항상 인과관계의 방향과 제3 변수를 함께 고려해야 함을 상기시킨다.

후속 논문이 가르쳐주는 것 동일 연구팀이 2025년에 CSA 효과성의 결정 요인을 분석한 후속 논문을 발표했다는 점은 흥미롭다. 이 논문이 무엇을(what) 측정했다면, 후속 연구는 왜(why) 차이가 나는지를 분석했다. 이사회 지원, 규제, 자격증, 아웃소싱이 핵심 동인이라는 발견은 컨설팅 개입 포인트를 더 구체적으로 알려준다.

다음 읽을 논문 방향: 이 논문의 한계인 1·2선 미통제 문제를 보완하려면, CISO와 IAF의 협력 구조를 다룬 Steinbart et al.(2018) 논문이나, 이사회의 CS 거버넌스 역량을 분석한 Gale et al.(2022)을 읽는 것이 자연스러운 흐름이 될 것 같다.

다음 궁금증 (Day 5 Preview): 5일간의 학습을 종합하여, 이 논문이 지금까지 읽은 4편의 보안 컨설팅 논문들과 어떻게 통합되는지, 그리고 실제 고객사 감사 진단 시나리오에서 어떻게 활용할 것인지를 정리하고 싶다.

Day 5 – Consulting Perspective and Key Takeaways

(감사를 설계하고, 한계를 설명하고, 성숙도를 높인다: 보안 컨설턴트의 언어로)

1. 5일간 학습 여정 종합

A. 무엇을 배웠나

Day 1: 감사 효과성 측정의 부재라는 문제

Day 2: CSA Index의 설계 논리

Day 3: 실증 결과가 뒤집은 직관

Day 4: 한계가 오히려 조언의 근거가 된다

Day 5 (지금): 컨설팅 관점 통합

5주간 읽은 논문들이 보안 컨설팅의 각 레이어를 채워왔다. 이 논문은 그 레이어들이 실제로 작동하는지 검증하는 감사 단계를 담당한다. 이제 전체 지식 구조를 컨설팅 실무에 어떻게 연결할 것인가를 정리한다.

2. 논문에서 배운 핵심 원리 정리

A. 기술적 메커니즘의 본질적 이해

원리 1: 감사 효과성은 포괄성과 깊이의 함수다

CSA Index의 구조를 보면, 점수가 높아지려면 두 가지가 동시에 필요하다. 첫째는 포괄성으로, 12개 CS 영역 전체를 감사 범위에 포함하는 것이다. 둘째는 깊이로, 각 영역에서 단순 질문(inquiry)에 그치지 않고 검사(inspection)나 재수행(reperformance)까지 수행하는 것이다. 클라우드·소프트웨어·제3자 관리 영역이 실제로 가장 취약하게 감사된다는 발견은, 감사인의 기술적 역량이 범위를 결정함을 의미한다.

왜 작동하는가: 더 많은 영역을 더 신뢰도 높은 절차로 검토할수록, 발견하지 못한 통제 취약점이 줄어들고 이사회에 제공하는 보증의 질이 높아진다.

왜 한계가 있는가: IAF는 1·2선이 갖춘 도구와 프로세스만을 감사할 수 있다. 1·2선이 클라우드 보안 도구를 운영하지 않으면, 3선인 IAF는 해당 영역을 아예 감사할 수 없어 Performing 점수가 구조적으로 낮아진다.

원리 2: 보고는 선행 단계의 질을 반영해야 한다

Planning과 Performing의 상관관계(r=0.52)에 비해, 이 두 단계와 Reporting의 상관관계(r=0.28, 0.29)가 현저히 낮다는 발견은 단순한 통계가 아니다. 계획·수행이 부실한 상태에서 이사회에 종합 의견을 발행하는 감사 기능이 실제로 존재한다는 뜻이다. 이는 이사회가 충분한 근거 없이 보안이 잘 관리되고 있다고 믿게 만드는 허위 안도감(false sense of security)의 구조적 원인이다.

원리 3: 감사 효과성과 공격 예방은 별개의 인과 경로다

H2가 기각된 이유는 감사가 무의미해서가 아니다. 가장 디지털화된 조직이 가장 많이 공격받는 구조, 즉 노출도와 방어 역량이 함께 높아지는 역설 때문이다. 감사는 성숙도를 높이고, 성숙도는 탐지·대응 역량을 향상시키지만, 공격 시도 자체를 줄이지는 않는다.

B. 일반화 가능한 원칙

다른 상황에 적용 가능한 교훈은 다음과 같다. 첫째, 측정 도구를 먼저 설계하라. 감사 효과성처럼 복잡한 개념도 차원을 나누고 지표를 정의하면 수치로 만들 수 있다. 둘째, 단계 간 정합성을 확인하라. 계획-수행-보고의 단절처럼, 프로세스의 전 단계가 일관되게 연결되는지 점검하는 것이 품질 관리의 핵심이다. 셋째, 기대치를 결과물 유형에 맞게 설정하라. 감사는 성숙도 향상에 기여하지만 공격 예방을 보장하지 않는다. 개입의 효과 범위를 명확히 하는 것이 신뢰의 기반이다.

3. 기업 환경에서의 적용 가능성 분석

A. 해결하는 비즈니스 문제

보안 측면: IAF의 CSA 역량 수준 진단, 감사 범위의 누락 영역 식별, 이사회 보고 품질 평가

비즈니스 측면: 감사 자원(인력·예산)이 어느 영역에 집중되어야 하는지 우선순위 결정. CSA 아웃소싱 여부 및 범위 결정의 근거 제공.

규제 측면: ISMS-P 인증의 내부심사 요건, ISO 27001의 내부감사 조항(Clause 9.2), 금융보안 감독 규정상 내부감사 역할 등과 직접 연결된다.

B. 적합한 기업 프로필

산업 면에서는 금융·공공·IT·통신처럼 규제 압력이 강하거나 사이버 노출이 높은 업종에 우선 적용 가능하다. 의료·교육처럼 노출은 높으나 감사 역량이 낮은 업종(평균 46점)은 개선 여지가 크다.

기업 규모 면에서는 내부 IT 감사인을 보유하거나 공동소싱 체계를 갖춘 중견 이상 기업에 적합하다. 내부감사팀이 없는 소기업의 경우, 외부 컨설턴트가 CSA Index를 기준으로 주기적 진단 서비스를 제공하는 형태가 현실적이다.

보안 성숙도 면에서는 COBIT 기준 Level 2(반복적·직관적) 이상의 조직에서 의미 있는 진단이 가능하다. Level 0~1은 CSA 이전에 1·2선 기반 구축이 선결 과제다.

C. 도입 시 고려사항

비용 측면에서, CSA Index 자가 진단은 설문 기반으로 별도 도구 비용 없이 활용 가능하다. 다만 12개 CS 영역에 걸친 전문적 감사 수행을 위한 IT 감사 전문 인력 확보 또는 공동소싱 비용이 수반된다.

인력 측면에서, CISA·CISM·CRISC 등 IT·CS 자격증 보유 인력이 감사 품질과 직결된다. 논문 샘플의 59%가 해당 자격증을 보유하고 있으며, Vuko et al.(2025) 후속 연구에서 자격증 보유가 CSA 효과성의 핵심 동인으로 확인되었다.

4. 컨설팅 시나리오별 활용 방안

A. 보안 진단/점검

이 논문의 CSA Index 구조를 고객사 내부감사팀 역량 진단 체크리스트로 변환할 수 있다. 진단 시 확인해야 할 핵심 항목은 세 가지다. 계획 단계에서는 CS 프레임워크 사용 여부와 리스크 기반 감사 계획 수립 여부를 확인한다. 수행 단계에서는 12개 CS 영역의 감사 커버리지와 절차 다양성, 특히 클라우드·소프트웨어·제3자 관리 영역의 재수행 활용 여부를 점검한다. 보고 단계에서는 이사회에 종합 의견을 발행하는지, 그 의견이 충분한 계획·수행에 기반하는지를 확인한다.

업종별 평균 점수(금융 66점, IT·통신 75점, 제조 48점, 의료·교육 46점)는 고객사의 상대적 위치를 설명하는 벤치마킹 자료로 활용한다.

B. 보안 체계 수립

CSA 역량이 낮은 조직에 대해 단계적 개선 로드맵을 제시할 때, Planning → Performing → Reporting 순의 우선순위를 제안할 수 있다. 프레임워크 미사용 조직은 ISO 27001, NIST CSF, COBIT 중 조직 맥락에 맞는 것부터 채택하도록 안내한다. Performing이 가장 낮은 차원이므로, 클라우드·소프트웨어 보안 영역의 감사 절차 고도화(inspection → reperformance 전환)를 단기 개선 과제로 설정한다.

C. 기술 자문

질문 1: 감사를 강화하면 해킹을 막을 수 있나요? 답변: 직접적인 예방 효과는 실증적으로 확인되지 않는다. 그러나 감사 효과성이 높아지면 사이버 리스크 관리 성숙도가 유의미하게 향상되며, 성숙도가 높아진 조직은 탐지·대응 역량이 강화된다. 감사의 가치는 공격 차단이 아닌 프로세스 개선과 이사회 보증에 있다.

질문 2: 이사회에 종합 의견을 제출하고 있으면 충분한가요? 답변: 종합 의견 제출 자체만으로는 충분하지 않다. 계획·수행 단계의 충실도와 보고의 질이 낮은 상관관계를 보인다는 실증 결과가 있다. 종합 의견이 얼마나 충분한 감사 활동에 기반하는지를 함께 점검해야 한다.

질문 3: IT 감사인이 없어도 CSA가 가능한가요? 답변: 논문 샘플의 85%가 공동소싱 또는 완전 외주 형태를 활용하고 있다. 다만 외주 의존도가 높을수록 IAF의 내부 역량 개발이 정체될 수 있으므로, 점진적 내재화 전략을 병행하는 것이 바람직하다.

5. 프레임워크/규제/표준과의 연계

A. ISMS-P / ISO 27001 관점

B. 보안 성숙도 모델

성숙도 향상 경로:

6. 컨설턴트로서 얻은 인사이트

A. 고객 조언 역량

이 논문을 읽기 전: 내부 감사의 중요성은 알고 있었으나, 감사 효과성을 구체적으로 진단하거나 고객사에 수치로 설명할 수 있는 틀이 없었다. 감사가 왜 중요한지는 말할 수 있었으나, 감사가 얼마나 잘 되고 있는지를 측정하는 방법은 알지 못했다.

이 논문을 읽은 후: CSA Index의 3개 차원과 12개 CS 영역을 기준으로 고객사 감사 역량을 구조적으로 진단하고, 업종 평균과 비교하여 개선 방향을 제시할 수 있다. 특히 감사 효과성이 공격 예방이 아닌 성숙도 향상에 기여한다는 실증적 근거로, 기대치를 현실적으로 설정하는 대화를 이끌 수 있다.

구체적 예시: 고객: 내부감사팀이 매년 보안 감사를 하고 이사회에 보고도 하는데, 왜 계속 보안 사고가 나는 걸까요? 나: 감사 보고가 이루어지고 있다는 사실과 감사가 효과적으로 수행되고 있다는 사실은 별개입니다. 실증 연구에 따르면 이사회 보고 단계는 계획·수행 단계와 상관관계가 생각보다 낮습니다. 먼저 지금 감사가 12개 주요 보안 영역을 실제로 커버하고 있는지, 그리고 단순 질문에 그치지 않고 검사나 재수행까지 수행하는지를 점검해 보겠습니다.

B. 기술/솔루션 평가 기준

7. 5일간 리뷰 종합

8. 최종 개인 인사이트

A. 이 논문이 나의 컨설팅 역량에 기여한 점

기대치 설정의 언어를 얻었다 H2 기각이라는 발견은 단순한 학술적 결과가 아니다. 고객사 경영진이나 이사회가 감사를 강화하면 해킹을 막을 수 있다고 기대할 때, 이를 실증 근거에 기반해 현실적으로 재조정할 수 있는 언어를 갖게 되었다. 과도한 기대를 설정하지 않는 것이 컨설팅의 정직함이고, 그 정직함이 장기적 신뢰를 만든다.

감사 품질을 수치로 진단하는 틀을 얻었다 CSA Index의 3개 차원과 12개 CS 영역은 고객사 감사팀과 대화할 때 구체적인 질문 목록이 된다. 어떤 영역을 감사하는가, 어떤 절차를 사용하는가, 이사회에 무엇을 보고하는가. 이 세 가지 질문만으로도 감사 역량의 전체 윤곽을 파악할 수 있다.

보고의 단절이라는 조용한 위험을 인식했다 계획과 수행이 충실해도 보고가 이를 반영하지 않는 경우가 있고, 반대로 계획과 수행이 부실해도 이사회에 종합 의견이 제출되는 경우가 있다. 이 단절은 표면적으로 드러나지 않기 때문에 더 위험하다. 진단 시 반드시 보고서의 내용과 감사 조서의 실질을 함께 검토해야 한다는 교훈을 얻었다.

B. 5편의 논문을 읽고 나니

통합적 이해: 5편의 논문은 보안 컨설팅의 수직 구조를 구성한다. Gashgari가 전사 거버넌스 아키텍처를 설계하고, Foorthuis가 컴플라이언스 전략을 결정하며, Santos-Olmo가 리스크를 동적으로 관리하고, Bulgurcu가 개인 수준의 준수 행동을 유도하면, Slapničar가 이 모든 레이어가 실제로 작동하는지 감사로 검증한다. 이 구조를 이해하는 컨설턴트는 고객사의 어느 레이어에서 문제가 발생했는지를 진단하고, 어느 레이어에 먼저 개입해야 하는지를 설명할 수 있다.

C. 다음 학습 방향

우선순위 1: 이사회 거버넌스와 CS의 연결

• Gale, Bongiovanni & Slapničar (2022): Governing cybersecurity from the boardroom
• 학습 목표: 이사회가 CSA 결과를 어떻게 이해하고 의사결정에 반영하는지, 그리고 이사회의 CS 역량 부족이 보고 단절에 어떻게 기여하는지 이해

우선순위 2: 1·2선 협력 구조 분석

• Steinbart et al. (2018): CISO와 IAF 협력이 사이버보안에 미치는 영향
• 학습 목표: 이 논문이 통제하지 못한 1·2선 효과를 보완하여, 3선 협력 구조 전체의 컨설팅 설계 역량 강화

우선순위 3: 사이버 리스크의 재무적 정량화

• 사이버 리스크를 비용으로 환산하는 방법론(FAIR 모델 등)
• 학습 목표: 감사 효과성을 경영진에게 재무적 언어로 설명하는 역량 확보

장기 목표:

• 6개월 후: 5편의 논문에서 도출한 프레임워크를 통합하여, 고객사 보안 진단 시 거버넌스-컴플라이언스-리스크-개인준수-감사 5개 레이어를 구조적으로 점검하는 진단 방법론 초안 작성
• 1년 후: 실제 컨설팅 프로젝트에서 CSA Index 구조를 활용한 감사 역량 진단을 수행하고, 그 결과를 업종 평균과 비교하여 고객사에 벤치마킹 보고서 제공

9. 최종 결론

A. Slapničar et al. (2022)의 의의

학술적 의의: 사이버보안 감사 효과성을 최초로 종합적으로 개념화하고 측정 가능한 지수로 운영화했다. 특히 감사 효과성이 성숙도에는 기여하지만 공격 예방과는 무관하다는 역설적 발견은 이후 CSA 연구의 출발점이 되었다.

실무적 의의: 내부 감사인이 자신의 CSA 수준을 업종 평균과 비교하고 개선 방향을 도출할 수 있는 자가 진단 도구를 제공했다. 이사회에 허위 안도감이 제공될 수 있다는 경고는, 감사 품질 관리에 대한 실무적 인식을 높이는 데 기여했다.

나에게 주는 의의: 감사를 진단의 대상으로 바라보는 시각을 갖게 되었다. 감사가 이루어지고 있다는 사실과 감사가 효과적으로 이루어지고 있다는 사실은 다르다. 이 차이를 인식하고 고객사에 설명할 수 있는 것이 이 논문이 내게 준 가장 중요한 역량이다.

B. 보안 컨설턴트로서의 다짐

알고 있다에서 설명할 수 있다로

단순한 기술 이해자가 아닌, 원리를 설명할 수 있는 컨설턴트. 고객 상황에 맞는 조언을 할 수 있는 자문가. 기술과 비즈니스를 연결할 수 있는 전문가. 이것이 5주간의 논문 학습이 향해온 방향이다.

5일간 리뷰 완료

이제 이 지식을 컨설팅 현장에서 활용할 준비가 되었다.

References

[1] Slapničar, S., Vuko, T., Čular, M., & Drašček, M. (2022). Effectiveness of cybersecurity audit. International Journal of Accounting Information Systems, 44, 100548. https://doi.org/10.1016/j.accinf.2021.100548

[2] Foorthuis, R., & Bos, R. (2011). Compliance with enterprise architecture standards and policies: a review of compliance tactics. Proceedings of the 19th European Conference on Information Systems (ECIS).

[3] Santos-Olmo, A., Sánchez, L. E., Rosado, D. G., Serrano, M. A., Blanco, C., Mouratidis, H., & Fernández-Medina, E. (2024). Towards an integrated risk analysis security framework according to a systematic analysis of existing proposals. Frontiers of Computer Science, 18(3), 183808.

[4] Bulgurcu, B., Cavusoglu, H., & Benbasat, I. (2010). Information security policy compliance: An empirical study of rationality-based beliefs and information security awareness. MIS Quarterly, 34(3), 523–548.

[5] Gashgari, G., Walters, R., & Wills, G. (2017). A proposed best-practice framework for information security governance. Proceedings of the 2nd International Conference on Internet of Things, Big Data and Security (IoTBDS).

Tags

#보안컨설팅 #SecurityConsulting #CybersecurityAudit #InternalAudit #AuditEffectiveness #CSAIndex #RiskMaturity #PaperReview #SKShieldusRookies