통합 컴플라이언스

담당 역할: 보안/컴플라이언스 담당자, CCoE, CAIO실

SOC 2, ISO 27001과 그 밖의 주요 정보보안 프레임워크는 기저 통제의 60~80%를 공유한다. 각 프레임워크를 별도 프로젝트로 다루지 말고, 하나의 통제를 여러 프레임워크에 동시에 매핑하는 통합 통제 전략으로 감사 부담을 줄여라.

“SOC 2 CC6.1(논리적 접근 통제)을 충족하는 통제 하나가 동시에 ISO 27001 A.9, HITRUST CSF 01.b, NIST CSF 2.0 PR.AC-1, PCI DSS 요건 7.1을 함께 충족하는 경우가 많다.” (AmpcusCyber, ISO 27001 Mapping with Security Standards)

AI 규제도 이 원리를 그대로 따른다. ISO/IEC 42001은 ISO 27001의 AIMS 확장판에 가깝다 — 리더십·데이터거버넌스·영향평가·계속 모니터링이라는 같은 관리 체계 언어를 AI 리스크에 적용한다. NIST AI RMF와 ISO/IEC 42001은 함께 거론되는 경우가 많고, 6프레임워크 횡단 매핑처럼 하나의 통제·스킬을 MITRE ATT&CK·NIST CSF 2.0·MITRE ATLAS·MITRE D3FEND·NIST AI RMF·MITRE F3 여섯 프레임워크의 ID에 동시에 묶는 설계도 이미 업계에 등장했다. 이런 매핑은 “우리 보안 운영이 어느 영역에 손이 안 닿는가”를 기계적으로 추적하는 데 실무적으로 쓰인다.

접근 통제 하나로 여러 프레임워크를 동시에 충족하는 사례는 구체적이다. ISO 27001의 접근 통제 요건은 PCI DSS 요건 7과 GDPR의 무결성·기밀성 원칙에 정렬되고, ISO 27001이 요구하는 인시던트 관리 프로세스는 PCI DSS 요건 12.10과 GDPR의 침해 통지 요건을 동시에 충족시킬 수 있다.

감사는 거버넌스가 문서로만 존재하는지, 실제로 작동하는지를 검증하는 과정이다. 다음을 상시 준비 상태로 유지하라.

• 계정/조직 구조도와 각 계정의 소유자·용도 문서(Part 3.6)

• 권한 부여 이력과 정기 검토 기록(Part 4.6)

• 비용 배분 근거 — 태그 커버리지 리포트(Part 5.6), 토큰 사용량 리포트(Part 9.6)

• 보안 기준선 준수 현황 리포트와 예외 승인 이력(Part 6.6)

• AI 자산 카탈로그와 사용 형태 분류 기록(Part 7.6)

• 에이전트 신원·스폰서·위임 체인 감사 로그(Part 8.6)

• AIIA·모델카드·데이터시트·승인기록(Part 10.6)

• 정책 변경 이력 — 누가, 언제, 왜 변경했는지에 대한 감사 로그

증거는 감사 시점에 만들지 마라. 평소 운영에서 자동으로 쌓이게 하라. 이 가이드의 8개 카테고리 체크리스트를 상시 운영 루틴에 포함시키면, 감사 준비는 별도 프로젝트가 아니라 일상 운영의 부산물이 된다.