「정보시스템 감사통제 세미나」 주제발표 요약

본사가 후원하고 한국정보시스템감사통제협회(ISACA)가 주최하는 「제1회 정보시스템 감사통제 세미나」가 20일 프레스센터에서 개최된다. 이번 세미나는 정보시스템 감사통제에 관한 인식확산을 위해 개최되는 행사로 정보시스템 감사통제의 기본개념과 기법, 보안감사 등이 소개될 예정이다. 이날 발표될 주요내용을 간추려 소개한다.

<편집자주>

▲전자상거래 보안과 정보시스템

박성준(정보보호센터 팀장)

전자상거래 보안이란 전자상거래의 안전성과 신뢰성을 확보하는 것이다. 이를 위해서는 법·제도적 장치인 전자인증제도와 이러한 제도를 시행할 수 있는 기술적 환경인 초고속인증망이 요구된다.

전자인증제도란 사이버공간상의 전자문서, 전자상거래 등 관련 전자업무에서의 당사자 신분확인 기능, 전자업무 내용의 정보보호 및 무결성 기능, 전자행위에 대한 부인봉쇄 기능 등으로 전자업무의 인증과 관련해 신뢰할 만한 제3자(인증기관)가 확인 및 증명해 주는 제도를 말한다.

전자인증제도와 관련한 정보보호기술의 실체화가 바로 초고속인증망 구축이다. 초고속인증망이란 전자인증의 책임기관인 인증기관들을 서로 통신망으로 연결한 것으로, 전자인증을 위한 논리적 네트워크를 말한다.

감사 대상으로서의 정보보호는 정보보호기술의 올바른 사용과 안전한 관리하고 말할 수 있다. 향후에는 정보시스템 감사보다는 정보보호시스템 감사가 더욱 중요한 위치를 차지하리라 생각된다. 전자상거래를 꽃피우기 위해서는 정보보호 기술의 효율적 활용과 이를 뒷받침해 주는 정보보호시스템 감사에 대한 인식확산, 제도정립 및 기술개발에 부단히 노력해야 한다.

▲정보화 사회와 정보시스템

김궁헌(경희대 교수)

정보사회로 들어가면서 정보의 대량 생산시대에서 대량 주문시대로 급속하게 변화를 거듭하고 있다.

또 가상기업이 출현하기 시작하고 전자상거래(EC)가 점차 확대되면서 온라인 식별 · 인증 · 서명 등이 문제가 되고 모든 조직의 시스템통지에 큰 변화가 일고 있다. 이러한 움직임은 모두 정보시스템 감사 및 통제에 영향을 미친다. 최근 수년 동안 미국에서는 전통적인 정보시스템 감사 기능만으로는 모든 발전을 담을 수 없게 돼 과거의 정보시스템 감사인들이 정보안전, 재난복구 계획, 데이터베이스 관리 등 좀더 세분화된 분야로 진출하는 현상들이 나타났다.

정보시스템 감사방법론에서도 CSA(Control/Risk Self Assessment)와 같은 새로운 것들이 출현, 과거 정보시스템 감사인의 주도적인 역할에서 다른 형태로 변모를 시도하고 있다. 공통적인 것은 모든 조직체에서 정보시스템의 무결성 및 신뢰성에 대한 요구가 급증하고 있다. 따라서 전통적인 감사 및 통제의 개념과 접근방법은 더 이상 효과적이지 못하다.

정보시스템 감사의 패러다임이 근본적으로 변하고 있는 것이다. 과거 일정 시점에서 사후적 감사만으로도 이해관계자들의 욕구를 충족시키던 것이 이제는 전체 조직의 정보시스템이 신뢰성 있고 적절한 정보를 생산하도록 디자인되고 통제들이 적절히 작동되는가 하는 것을 지속적으로 확인해야 하는 부담을 안게 된다.

▲감사통제의 국제동향

이동수(감사통제협회장)

감사통제는 통제자체평가(법) (CSA:Control Self-Assessment) 또는 통제위험자체평가(법) (CRSA:Control/Risk Self-Assessment), 정보시스템 (기술) 통제자체평가 (법) (ITCSA:Information Technology Control Self-Assessment)으로 요약된다.

CSA 또는 CRSA의 출현은 경영진이 이해관계자나 감독기관(또는 당국)에 내부통제에 대한 책임있는 답변을 하기 위해 통제관리 또는 통할(Control Governance)을 해야한다는 것을 의미한다. 때ㄸ로 이러한 책임에 대하여 최고경영자가 소송의 대상이 되고 있기도 하다.

그러나 전통적인 감사통제의 접근방법은 여러가지 문제점을 드러내고 있다.

즉 전통적 감사통제에 있어서 통제란 감사인이나 다른 전문가의 영역이며 현업 부서 관리자나 실무자는 전혀 무관하다는 개념을 가진 것이다. 따라서 고급관리자들이나 임원의 가시적 통제가 미흡하고 고비용 저효율이며, 위험의 솔직한 노출을 기피하며 지엽적인 문제에 과잉집착한다는 것이다.

그래서 품질경영과 통제를 통합한 프로세스가 등장하게 된다.

이것은 문을 사용하는 사람이 문단속을 해야하는 것처럼, 현업관리자와 실무자가 그 자체통제를 책임지고, 또 평가도 한다는 것이다.