정보시스템감사 (Information Systems Audit)
쉽게 풀면
회사의 정보시스템이 안전하고 정확하게, 규정대로 잘 운영되고 있는지 독립적으로 점검하는 활동이다.
왜 중요한가
정보시스템의 통제가 자산 보호, 데이터 무결성, 효율적 목표 달성을 보장하는지 독립적으로 검증하는 활동으로, 회계감사에서 IT 일반통제 평가가 필수화되고 사베인스-옥슬리법 이후 내부통제 연구와 실무에서 중요성이 커졌습니다. 실무에서는 CISA 자격과 COBIT 프레임워크가 감사 기준의 표준으로 쓰입니다.
논문에서는 이렇게 쓰입니다
감사인은 접근통제, 변경관리, 백업복구 절차 등을 점검해 통제 미비점을 식별하고 개선권고안을 경영진에 보고한다.
감사 빈도와 보안 사고 발생 사이의 관계를 다룬 연구이다.
조금 더 깊게 보면
감사는 통제의 설계와 운영을 확인하지만 통제가 우회될 가능성을 모두 검출하지는 못하며, 표본 기반 검증의 한계가 있습니다. 클라우드와 외부 서비스 의존이 커지면서 감사 범위가 조직 경계 밖으로 확장되어 서비스 제공자의 보증 보고서에 의존하는 문제가 새 쟁점입니다. 정보시스템감사는 통제 설계 자체가 적절한지를 보는 설계평가와 그 통제가 실제로 작동했는지를 보는 운영평가로 나뉘며, 사베인스-옥슬리법 이후 상장기업 회계감사에서는 운영평가까지 요구하는 것이 표준이 되었다. 감사인은 접근통제, 변경관리, 백업복구 절차 등 통제 항목별 증빙을 표본 추출해 확인하는 방식으로 감사를 수행한다. 클라우드와 외부 서비스 의존이 커지면서 감사 범위가 조직 경계 밖으로 확장되어, 서비스 제공자가 발급하는 제3자 보증 보고서에 의존해 통제 수준을 확인하는 관행이 늘고 있다.
주의할 점
정보시스템감사는 일회성 점검이 아니라 정기적으로 수행되어야 통제 체계의 지속적 유효성을 확보할 수 있다.
정보시스템감사는 일회성 점검이 아니라 정기적으로 수행되어야 통제 체계의 지속적 유효성을 확보할 수 있으며, 표본 기반 검증이라는 한계상 모든 통제 우회를 적발하지는 못한다는 점도 함께 고려해야 한다. 감사 결과 발견된 통제 미비점을 경영진이 개선권고안대로 실제 이행하지 않으면 동일한 결함이 다음 감사에서도 반복 지적되는 경우가 흔하다.