오늘은 드디어 내부감사를 받았다.
그동안 컨설팅을 진행하면서 수많은 문서를 확인하고, 각 부서와 인터뷰하고, 정보자산과 보안 프로세스를 하나씩 점검해 왔다. 그리고 이번에는 그동안 준비한 내용이 실제로 어느 정도 수준인지 외부 전문가의 시선으로 확인받는 시간이 찾아왔다.
ISO 27001에는 내부감사 과정이 필요하고, 그 결과와 감사 활동을 입증할 수 있는 기록도 남겨야 한다.
우리 회사는 컨설팅을 진행하고 있었기 때문에 심사원 자격을 가진 외부 전문가를 하루 초빙해 내부감사를 진행하는 방식으로 준비했다.
말로만 듣던 내부감사를 실제로 경험하게 된 것이다.
내부감사도 생각보다 준비할 것이 많았다
이번 내부감사는 하루 일정으로 진행됐다.
먼저 컨설팅 과정에서 준비했던 자료를 정리하고, 심사원이 확인할 수 있도록 준비해야 했다. 다행히 자료 정리와 감사 준비의 상당 부분은 컨설팅 업체에서 지원해 주었다.
물론 그렇다고 해서 아무것도 하지 않아도 되는 것은 아니었다.
심사원이 필요한 자료를 확인할 수 있어야 했고, 인터뷰가 진행될 부서와 담당자도 정해져 있어야 했다. 짧은 시간 안에 필요한 내용을 확인해야 하므로 일정과 동선을 사전에 조율하는 것도 중요했다.
회의실을 준비하고, 주차와 식사, 간식과 음료까지 챙겼다.
처음에는 이런 준비가 부수적인 일이라고 생각했다. 하지만 하루 동안 감사가 진행되는 것을 생각하면 심사원이 본연의 업무에 집중할 수 있도록 환경을 마련하는 것도 필요했다.
특히 시간이 넉넉하지 않았기 때문에 주요 미팅 담당자를 정하고, 정해진 시간에 맞춰 인터뷰가 진행될 수 있도록 준비했다.
접근통제부터 인사 프로세스까지, 실제 업무를 확인하다
본격적으로 내부감사가 시작되자 주요 담당자들과의 미팅이 진행됐다.
접근통제와 관련된 내용부터 인사 프로세스, 인증 대상 범위에 대한 부분까지 준비한 자료와 실제 업무가 어떻게 연결되는지 확인하는 시간이었다.
문서를 갖추고 있는지만 살펴보는 것이 아니라, 실제로 회사에서 해당 절차가 운영되고 있는지, 담당자가 자신의 업무를 이해하고 있는지, 필요한 기록과 증적이 남아 있는지 등을 확인하는 과정이었다.
지금까지 컨설팅을 받으면서 여러 차례 들었던 내용들이었지만, 막상 심사원이 직접 질문하고 확인하는 모습을 보니 느낌이 달랐다.
우리가 준비했다고 생각했던 자료도 다시 들여다보게 됐고, 당연히 잘되고 있을 것이라고 생각했던 부분도 실제로는 부족할 수 있다는 점을 느꼈다.
그리고 정해진 일정에 따라 인터뷰가 진행된 뒤에는 종료보고까지 이어졌다.
하루라는 시간이 짧게 느껴질 정도로 여러 가지를 확인해야 했다.
심사원의 모습을 보면서 나도 모르게 다른 생각을 했다
사실 오늘 가장 인상 깊었던 부분은 감사 결과만이 아니었다.
심사원이 업무를 진행하는 모습을 가까이에서 볼 수 있었다는 점도 흥미로웠다.
어떤 순서로 질문하는지, 어떤 자료를 먼저 확인하는지, 담당자의 답변에서 무엇을 중요하게 보는지, 문제가 있다고 판단되는 부분을 어떻게 바라보는지 등을 자연스럽게 관찰하게 됐다.
같은 회사의 업무를 보더라도 내부에서 일하는 사람의 관점과 외부에서 기준에 따라 확인하는 사람의 관점은 다를 수밖에 없었다.
우리는 평소 업무를 처리하면서 익숙하다는 이유로 당연하게 생각했던 부분들이 있었다.
하지만 심사원은 그런 관행보다는 정해진 기준에 맞게 관리되고 있는지, 실제로 실행되고 있다는 근거가 있는지를 확인하고 있었다.
그 모습을 보면서 문득 이런 생각이 들었다.
‘나도 나중에 인증심사원이 된다면 이런 일을 할 수 있겠지?’
회사를 다니면서 정보보안을 관리하는 것도 중요하지만, 여러 회사를 방문해 각 조직의 보안체계를 살펴보고 개선점을 찾아주는 일도 나쁘지 않겠다는 생각이 들었다.
물론 실제 심사 업무에는 전문지식과 경험, 객관적인 판단 능력이 필요하고, 생각했던 것보다 어려운 일도 많을 것이다.
그렇지만 오늘 직접 경험해 보니 조금은 매력적인 분야로 느껴졌다.
심사 결과는 솔직히 처참했다
다만 우리 회사의 결과가 좋았던 것은 아니다.
그동안 나름대로 준비한다고 했지만, 실제로 확인해 보니 부족한 부분이 많았다.
정보보안을 중요하게 생각하고 있다고 믿었지만, 막상 기준에 맞춰 하나씩 확인해 보면 제대로 정리되어 있거나 운영되고 있다고 자신 있게 말할 수 있는 부분이 많지 않았다.
문서가 있더라도 실제 업무와 일치하지 않는 부분이 있을 수 있고, 절차가 있더라도 담당자가 이를 제대로 이해하거나 실행하지 못할 수 있다. 필요한 증적이 충분히 남아 있지 않은 부분도 문제가 될 수 있다.
결국 정보보안을 중요하게 생각한다는 것과 정보보안이 실제로 잘 관리되고 있다는 것은 다른 이야기였다.
이번 내부감사를 통해 그 차이를 확실히 느꼈다.
한편으로는 아쉬웠다.
그동안 계속 자료를 만들고, 담당자들을 만나고, 부족한 부분을 정리해 왔는데도 결과가 기대에 미치지 못했기 때문이다.
하지만 다른 한편으로는 다행이라는 생각도 들었다.
인증을 위한 본심사 전에 부족한 부분을 발견하고 개선할 기회가 생겼기 때문이다.
문제가 있다는 사실을 알게 됐다면 이제는 무엇을 개선해야 할지 구체적으로 고민할 수 있다.
중요한 것은 부족한 부분을 감추는 것이 아니라, 정확히 파악하고 개선 계획을 세워 실제로 바꿔 나가는 것일 것이다.
올해의 아쉬움을 내년의 목표로
이번 경험을 계기로 개인적인 목표도 다시 생각하게 됐다.
올해는 ISMS-P 심사원 시험에 도전했지만 아쉽게 원하는 결과를 얻지 못했다.
당시에는 아쉬움이 컸지만, 이번에 실제 내부감사가 진행되는 모습을 보면서 내년에는 다시 도전해 보고 싶다는 생각이 강해졌다.
단순히 자격증 하나를 더 취득하고 싶다는 의미만은 아니다.
내가 지금 회사에서 경험하고 있는 정보보안 업무를 더 깊이 이해하고, 기준을 해석하고, 부족한 부분을 찾아내고, 개선 방향을 제시할 수 있는 사람이 되고 싶다.
지금은 우리 회사의 인증 준비를 위해 자료를 만들고 절차를 정리하는 입장이지만, 언젠가는 다른 조직의 정보보안 관리체계를 객관적으로 바라볼 수 있는 역량도 갖추고 싶다.
ISO 인증심사원 자격증에도 관심이 있다. 하지만 우선은 ISMS-P 분야를 더 공부하고 관련 경험을 쌓으면서 차근차근 준비해 보고 싶다.
오늘 심사원이 질문하는 방식이나 자료를 바라보는 관점, 담당자와 소통하는 태도를 유심히 살펴본 것도 그래서였다.
나중에 내가 비슷한 일을 하게 된다면 오늘의 경험이 분명 도움이 될 것 같았다.
회사를 챙기는 과정에서 나도 성장하고 있었다
ISO 27001 인증 준비를 시작했을 때는 회사의 부족한 부분을 찾아서 개선하는 일이 가장 중요하다고 생각했다.
물론 지금도 그 점은 변하지 않았다.
하지만 15일차까지 경험하면서 한 가지를 더 느끼게 됐다.
회사의 정보보안 체계를 하나씩 정리하는 과정에서 나 자신도 함께 배우고 성장하고 있다는 점이다.
처음에는 정보보안 정책서와 절차서가 왜 필요한지, 왜 그렇게 많은 증적을 남겨야 하는지 막연하게 느껴졌다.
하지만 지금은 각각의 문서가 어떤 역할을 하는지, 담당 부서의 업무와 어떻게 연결되는지, 외부 심사에서는 어떤 관점으로 확인하는지 조금씩 이해하게 됐다.
물론 아직 모르는 것도 많고, 회사가 개선해야 할 부분도 많다.
이번 내부감사 결과를 보면서 앞으로 더 노력해야 한다는 사실도 확실히 알게 됐다.
그렇지만 부족한 점을 하나씩 알아가는 것 역시 성장의 과정이라고 생각한다.
회사를 위해 준비한다고 시작한 일이었지만, 결국 그 과정에서 나의 경험과 지식도 쌓이고 있었다.
내부감사는 끝났지만, 진짜 개선은 이제부터다
이번 내부감사는 우리 회사가 현재 어느 정도 수준에 있는지 확인하는 계기가 됐다.
기대했던 결과와는 거리가 있었지만, 오히려 현실을 정확히 마주할 수 있었다는 점에서 의미가 있었다.
이제는 발견된 부족한 부분을 정리하고, 우선순위를 정하고, 실제 개선으로 연결해야 한다.
문서를 수정하는 것만으로 끝내지 않고 담당자가 절차를 이해하고 실행할 수 있도록 해야 하며, 그 결과가 증적으로 남도록 관리해야 한다.
그리고 이 모든 과정이 일회성으로 끝나지 않도록 회사의 관리체계 안에 정착시켜야 한다.
오늘은 내부감사를 받으면서 회사의 부족한 점을 확인한 날이기도 했지만, 개인적으로는 새로운 가능성을 발견한 날이기도 했다.
나중에 인증심사원으로 현장을 다니는 나의 모습도 잠시 상상해 봤다.
아직은 가야 할 길이 멀다.
올해 아쉬웠던 결과도 다시 준비해야 하고, 현장에서 배우고 익혀야 할 것도 많다.
그래도 이번 경험을 통해 다음에 도전하고 싶은 목표가 조금 더 분명해졌다.
회사의 정보보안을 개선하는 과정에서 나 자신도 함께 성장하고, 언젠가는 다른 회사의 정보보안 체계를 객관적으로 바라볼 수 있는 전문가가 되는 것.
내부감사는 끝났지만, 나에게는 또 다른 공부와 도전이 시작된 하루였다.