[기고] 정보보호 거버넌스와 BMIS-확장

효과적 리스크 관리 위한 정보보호 프로세스의 통합 및 확장 필요성

정보보호 거버넌스의 프레임워크 - BIMS

전사적인 차원에서 전략을 달성하기 위한 공공기관과 기업의 노력은 지속적인 경영(Sustainable Management)에 있을 것이다. 하루나 한달을 비즈니스를 영위하고 끝내고자 하는 조직은 없을 것이다.

전사적인 미션과 비전, 목표를 달성하기 위해서는 정보자산은 보호되어야 하고 정보보호에 대한 모든 것은 이러한 조직의 전략에 연계되어 있어야 하고 정보보호의 활동과 노력은 조직에 가치를 제공해야 한다.

또한 정보보호를 위한 기초로써 리스크는 관리되고 지속적으로 모니터링해야 하며 정보보호에 소요되는 자원은 효율적으로 사용되어야 한다. 또한, 정보보호에 대한 결과는 측정되어야 한다.

BMIS는 프레임워크

측정되지 않는 결과(성과)는 그 자체로서 잘한 것과 못한 것의 기준이 없으므로 교정조치나 시정조치, 개선을 이룰 수 없게 되기 때문이다. 정보보호에 대한 관리적, 기술적, 물리적 조치는 부서별로 별도로 진행하거나 부분적으로 시행할 경우 그 효과 측면에 있어 만족스러운 결과를 산출하지 못하므로 정보보호에 대한 프로세스는 통합되어야 한다.

이러한 내용들을 BMIS를 통해 구체적으로 실현할 수 있는 기반이 형성된다고 할 수 있다. 정보보호 거버넌스를 이루기 위한 BMIS의 4요소와 6개 동적 접속자가 소통과 유기적인 관계를 가지게 됨은 그 동안의 기고를 통해서 확인할 수 있다.

BMIS의 확장

BMIS는 프레임워크라는 속성을 갖고 있으므로 모두 프레임워크와 연동되어 시너지 효과를 볼 수 있다. 대표적으로 궁합이 잘 맞는 프레임워크는 COBIT과 Val IT, Risk IT이다. 정보보호는 그 자체만으로는 목적일 수 없듯이 다른 프레임워크와 연동하여 공공기관과 기업의 조직 목적달성에 기여한다.

COBIT과의 확장

COBIT(코빗)은 IT 거버넌스의 프레임워크이다. 정보보호와 정보기술(IT)과는 같지는 않지만 공통점을 가지고 있다. COBIT Cube로 불리는 코빗 프레임워크는 다음과 같다.

COBIT 프레임워크

Val IT와의 확장

Val IT는 IT 거버넌스의 프레임워크 중의 하나이며 COBIT이 구현하는 정보에 대한 가치제공에 대해 특화되어 확장된 프레임워크이다. 정보보호에 대한 투자는 그 규모와 복잡성이 방대해지는 만큼 연계가 꼭 필요한 프레임워크이다. Val IT 프레임워크는 다음과 같다.

Val IT 프레임워크

Risk IT와의 확장
Risk IT는 IT 리스크는 더 이상 IT만의 리스크가 아니고 비즈니스 리스크라는 관점에서 출발한 프레임워크이다. 정보보호가 보호하고자 하는 정보자산의 식별은 리스크 관리를 통해 도출되었으므로 많은 연계성을 가지고 있다. Risk IT 프레임워크는 다음과 같다.

Risk IT 프레임워크

이번 연재를 통해서 정보보호를 도구나 기술로만 보는 차원에서 기업이나 공공기관의 중요한 전략으로 끌어올리는 기회가 되기를 바란다.

[글_ 조희준 IT거버넌스/컨설팅/감리법인 ㈜씨에이에스 컨설팅 이사(josephc@chol.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)