귀사가 준수해야 하는 모든 규정—GDPR, HIPAA 또는 해당 산업에 적용되는 기타 규정을 포함하여—은 난해한 법률 문서로 존재합니다. 이러한 문서를 실질적인 거버넌스 프로그램으로 전환한다는 것은, 누군가가 수작업으로 요구 사항을 통제 수단에 매핑하고, 스프레드시트에 그 매핑 내용을 기록하며, 규정과 환경이 모두 변화하는 상황에서도 그 해석이 유효하기를 바라는 것을 의미합니다. 이러한 과정에는 허점이 숨어 있습니다. 감사는 특정 시점의 상황을 점검할 뿐입니다. 근본적인 거버넌스 프로그램이 실제로 제대로 작동하고 있는지 여부는 측정하지 않습니다.
RSA는 이를 ‘클린 감사 역설(Clean Audit Paradox)’이라고 부릅니다. 즉, 조직이 감사에서 합격점을 받지만, 감사 과정에서 전혀 드러나지 않는 거버넌스상의 결함과 위험을 안고 있는 경우를 말합니다.
‘컴플라이언스 어드바이저(Compliance Advisor)’는 RSA가 제시하는 해결책입니다. 이는 규정을 귀사의 거버넌스 프로그램에 직접 연계하고 지속적으로 성과를 측정하는 AI 기반 기능입니다.
현재 이 시스템은 일반 데이터 보호 규정(GDPR), 형사 사법 정보 서비스 보안 정책(CJIS), 건강보험 이동성 및 책임법(HIPAA), 미국 국립표준기술연구소(NIST) 프레임워크, 개인정보보호법(POPIA) 등 5가지 주요 규정을 요구사항 수준까지 세분화하여 지원하며, 향후 릴리스에서 더 많은 규정이 추가될 예정입니다.
각 요구사항에 대해 Compliance Advisor는 귀사의 프로그램이 해당 요구사항의 절차를 얼마나 잘 준수하고 있는지 측정하는 KPI를 추적하며, 미흡한 부분에 대해서는 일회성으로 보고서를 생성해 보관하는 방식이 아닌, 지속적으로 개선 방안을 제안합니다. 매핑된 모든 요구사항은 실제 규정 문구와 직접 연결되어 있으므로, 귀사의 팀은 공급업체의 말만 믿지 않고 매핑 내용을 직접 확인할 수 있습니다.
RSA의 능동적 방어 거버넌스 (ADG) 논문은 주기적인 거버넌스, 분기별 검토, 연간 인증이 더 이상 주요 통제 수단 역할을 할 수 없는 이유를 설명합니다. 검토 주기 사이에는 접근 권한이 끊임없이 변화하지만, 검토 주기는 변함없이 유지됩니다. 조직의 정적인 정책 문서에 명시된 내용과 동적인 시스템이 실제로 수행하는 행위 사이의 괴리를, 본 논문에서는 ‘소홀함의 격차(Negligence Gap)’라고 정의합니다. 이는 접근 권한이 변경되는 순간부터 존재하는 위험 노출이지만, 다음 검토 시기가 되어서야 비로소 포착될 때까지 눈에 띄지 않는 상태를 말합니다. RSA 거버넌스 및 수명 주기 조직이 그 격차를 해소할 수 있도록 돕습니다.
컴플라이언스 어드바이저는 이러한 사고방식을 컴플라이언스 매핑에도 적용합니다. 한 번 매핑된 후 검토 주기마다 대조하여 확인하는 규제는 동일한 사각지대를 갖게 됩니다. 컴플라이언스 어드바이저는 지난 감사 주기의 단편적인 정보가 아닌, 해당 매핑에 비추어 귀사의 거버넌스 프로그램이 실제로 어떻게 운영되고 있는지에 대한 지속적인 가시성을 제공함으로써 이러한 사각지대를 해소합니다.
어떤 거버넌스 솔루션도 모든 규정의 모든 조항을 완벽하게 충족시킬 수는 없으며, Compliance Advisor 역시 그렇지 않다는 점을 분명히 밝히고 있습니다. 이 솔루션은 RSA Governance & Lifecycle이 어떤 요구 사항을 정확히 다루는지, 그리고 물리적 보안 요구 사항과 같이 IGA 프로그램의 일반적인 적용 범위를 벗어난 요구 사항이 무엇인지 명확히 보여줍니다. 적용 대상과 비적용 대상을 명확히 파악함으로써, 귀사의 팀은 별도의 통제 조치가 여전히 필요한 부분이 무엇인지 정확히 알 수 있습니다.
‘청렴 감사 역설’을 해소한다는 것은 다음 감사가 와서야 현재 상황을 파악하기를 기다리는 것을 의미하지 않습니다. 이는 감사관이 방문하는 당일뿐만 아니라 그 전후의 모든 날에도 이미 상황을 정확히 파악하고 있다는 것을 의미합니다. 이것이 바로 1년에 한 번만 규정 준수 여부를 확인하는 방식에서, 그 사이 언제든지 업무 수행 상황을 입증할 수 있는 방식으로의 전환입니다.
데모 영상 보기 RSA 거버넌스 및 라이프사이클 규정 준수 어드바이저를 통해 규정 매핑, KPI 추적 및 권장 사항이 실제로 어떻게 적용되는지 확인해 보세요.
주기적인 거버넌스만으로는 상황을 따라잡을 수 없는 이유와 그 격차를 해소하기 위해 필요한 조치에 대한 전체적인 개요를 보시려면, ‘능동적 방어 거버넌스’ 백서를 받아보세요.
‘청정 감사 역설’이란 규정 준수 감사를 통과하는 것과 실제로 건전한 거버넌스 프로그램을 운영하는 것 사이의 격차를 말합니다. 감사는 특정 시점만을 점검하기 때문에, 조직은 모든 감사 질문에 만족스러운 답변을 내놓을 수 있지만, 감사에서는 전혀 드러나지 않는 거버넌스상의 결함과 접근 권한 관련 위험을 안고 있을 수 있습니다. 이러한 결함은 다음 검토 주기가 될 때까지 눈에 띄지 않은 채 남아 있습니다.
RSA Compliance Advisor는 다음 내에 포함된 AI 기반 기능입니다. RSA 거버넌스 및 수명 주기 규정을 귀사의 거버넌스 프로그램에 직접 매핑하고, 해당 프로그램이 각 요구 사항을 얼마나 잘 준수하고 있는지 지속적으로 측정합니다. 프로그램에서 미흡한 부분이 발견되면 구체적인 개선 사항을 제안하며, 매핑된 모든 요구 사항에는 실제 규정 전문이 링크되어 있어 귀사 팀이 매핑 내용을 직접 확인할 수 있습니다.
Compliance Advisor는 현재 GDPR, CJIS 보안 정책, HIPAA, NIST 프레임워크, POPIA 등 5가지 주요 규정을 지원하며, 각 규정은 요구 사항 수준에 따라 매핑되어 있습니다. 향후 릴리스에서는 추가 규정이 지원될 예정입니다. Compliance Advisor는 지원되는 각 규정에 대해 분기별 또는 연간 검토 주기가 아닌, 프로그램 준수 여부를 지속적으로 측정하는 KPI를 추적합니다.
전통적인 감사는 특정 시점의 규정 준수 여부를 측정하기 때문에, 감사가 종료된 후 접근 권한이 변경되는 순간 그 결과는 이미 구식이 되어버립니다. 지속적인 규정 준수 모니터링은 거버넌스 프로그램이 각 규제 요건을 얼마나 잘 충족하고 있는지 지속적으로 추적하여, 감사관이 직접 와서 문제를 찾아내기 전에 이미 발생한 격차를 즉시 파악할 수 있게 해줍니다.
‘과실 격차(Negligence Gap)’란 검토 주기 사이에 존재하는 위험 노출을 말하며, 이는 접근 권한이 변경되었으나 이를 포착하기 위한 다음 접근 권한 검토가 아직 진행되지 않은 기간을 의미합니다. RSA의 능동적 방어 거버넌스 이 프레임워크는 이를 주기적 거버넌스 모델의 핵심적인 한계로 지적하며, RSA 거버넌스 및 수명 주기 지속적인 신원 모니터링을 통해 이를 차단하도록 설계되었습니다.
포함