시나리오 4: 브랜딩은 미국에서 가장 유명한 기업들과 협력하는 마케팅 회사입니다.
내부 비용 절감을 위해 브랜딩(Branding)은 2년 이상 소프트웨어 개발 및 IT 헬프데스크 운영을 테크볼로지(Techvology)에 아웃소싱해 왔습니다. 필요한 전문성을 갖춘 테크볼로지는 브랜딩의 소프트웨어, 네트워크 및 하드웨어 요구 사항을 관리합니다. 브랜딩은 정보 보안 관리 시스템(ISMS)을 구축하고 ISO/IEC 27001 인증을 획득하여 높은 수준의 정보 보안 유지를 위한 노력을 입증하고 있습니다. 또한, 아웃소싱 운영의 보안이 ISO/IEC 27001 인증 요건을 준수하는지 확인하기 위해 테크볼로지에 대한 감사를 적극적으로 실시하고 있습니다.
지난 감사에서 브랜딩의 감사팀은 감사 대상 프로세스와 감사 일정을 정의했습니다. 특히 지난 한 해 동안 테크볼로지가 보고한 두 건의 정보 보안 사고를 고려하여 증거 기반 접근 방식을 채택했습니다. 감사의 초점은 이러한 사고에 대한 대응 방식과 아웃소싱 계약 조건 준수 여부를 평가하는 것이었습니다. 감사는 테크볼로지의 아웃소싱 운영 품질 모니터링 방식에 대한 종합적인 검토로 시작되었으며, 제공된 서비스가 브랜딩의 기대치와 합의된 기준을 충족하는지 평가했습니다. 감사팀은 또한 테크볼로지가 양사 간에 체결된 계약 요건을 준수했는지 여부를 확인했습니다. 이를 위해 아웃소싱 계약의 조항을 철저히 검토하여 정보 보안 조치를 포함한 모든 측면이 준수되고 있는지 확인했습니다.
또한, 이번 감사에는 테크놀로지(Techvology)가 아웃소싱 운영 및 기타 조직을 관리하는 데 사용하는 거버넌스 프로세스에 대한 심층적인 평가가 포함되었습니다. 이는 브랜딩(Branding)이 아웃소싱 계약과 관련된 잠재적 위험을 완화하기 위한 적절한 통제 및 감독 메커니즘이 마련되어 있는지 확인하는 데 매우 중요합니다.
감사팀은 테크볼로지의 다양한 직급 직원들을 대상으로 인터뷰를 진행하고 사고 해결 기록을 분석했습니다. 또한, 테크볼로지는 직원들을 대상으로 사고 관리 관련 인식 교육을 실시했다는 증거 자료를 제출했습니다. 수집된 정보를 바탕으로 감사팀은 두 건의 정보 보안 사고 모두 담당 직원의 역량 부족으로 인해 발생했다고 판단했습니다. 따라서 감사팀은 해당 사고에 연루된 직원들의 인사 파일을 열람하여 관련 경력, 자격증, 교육 이수 기록 등 역량을 입증할 수 있는 자료를 검토하고자 했습니다.
브랜딩의 감사팀은 확보된 증거의 타당성을 면밀히 평가하고, 문서화된 정보의 신뢰성을 의심하게 하거나 모순될 수 있는 증거가 있는지 주의 깊게 살폈습니다. 테크볼로지 감사 과정에서도 감사팀은 이러한 접근 방식을 유지하며, 사건 해결 기록을 면밀히 검토하고 다양한 직급과 직무의 직원들을 대상으로 심층 인터뷰를 진행했습니다. 감사팀은 테크볼로지 담당자의 말을 그대로 사실로 받아들이지 않고, 사건 관리 프로세스에 대한 담당자의 주장을 뒷받침할 구체적인 증거를 적극적으로 모색했습니다.
위 시나리오를 바탕으로 다음 질문에 답하시오.
질문:
감사인은 아웃소싱 운영에 대한 감사 절차를 성실히 준수했습니까?

• A. 네, 그들은 감사 업무에서 성실성과 판단력을 보여주었습니다.
• B. 아니요, 감사팀은 감사 과정에서 테크놀로지의 최고 경영진을 인터뷰하지 않았습니다.
• C. 아니요, 감사인은 감사가 끝날 때까지 고용 계약서 샘플을 요청하지 않았습니다.

귀하는 ISMS 감사원 교육에 대한 지침을 제공하는 숙련된 ISMS 감사팀 리더입니다. 그들은 외부 공급업체에 대한 평가를 수행하라는 요청을 받았으며 다음 활동을 포함하는 체크리스트를 준비했습니다. 그들은 귀하에게 체크리스트를 검토하여 제안하는 조치가 적절한지 확인하도록 요청했습니다.
그들이 참여하도록 초대받은 감사는 데이터 센터에 대한 제3자 감시 감사입니다. 데이터 센터 에이전트는 더 광범위한 통신 그룹의 일부입니다. 그룹 내의 각 데이터 센터는 자체 ISMS를 운영하고 자체 인증서를 보유하고 있습니다.
외부 공급자에 관한 ISO/IEC 27001:2022 요구 사항과 관련된 세 가지 옵션을 선택하세요.

• A. 조직이 외부 공급자를 평가하고 가장 높은 평가를 받은 공급자에게 대부분의 작업을 할당하도록 하겠습니다.
• B. 조직이 외부 공급자 성과를 정기적으로 모니터링, 검토 및 평가하도록 하겠습니다.
• C. 외부 ISMS 프로세스와 내부 ISMS 프로세스를 제공하는 사람들에 대해 최고 경영진이 역할과 책임을 할당하도록 하겠습니다.
• D. 조직이 ISMS와 관련하여 외부 공급자와 통신할 필요성을 결정하도록 하겠습니다.
• E. 조직이 정보의 기밀성, 무결성 및 접근성을 유지하는 데 중요하다고 식별한 각 프로세스에 대해 예비 외부 공급자를 확보하도록 하겠습니다.
• F. 외부에서 제공하는 제품이나 서비스를 감사할 필요가 없으므로 외부에서 제공하는 프로세스에 대한 감사 활동을 제한하겠습니다.
• G. 외부 공급업체가 제품이나 서비스 사용으로 인해 발생하는 모든 위험을 조직에 알리는 문서화된 프로세스를 갖추도록 하겠습니다.
• H. 동일한 통신 그룹에 속해 있더라도 다른 데이터 센터가 외부 공급자로 처리되는지 확인하겠습니다.

시나리오 3: NightCore는 미국에 본사를 둔 다국적 기술 회사로, 전자상거래, 클라우드 컴퓨팅, 디지털 스트리밍, 인공지능에 중점을 두고 있습니다. 8개월 이상 정보 보안 관리 시스템(ISMS)을 구현한 후, ISO/IEC 27001 인증을 받기 위해 제3자 감사를 실시하는 인증 기관과 계약을 맺었습니다.
인증 기관은 7명의 감사원 팀을 구성했습니다. 가장 경험이 많은 감사원인 잭이 감사팀 리더로 지정되었습니다. 그는 수년에 걸쳐 ISO/IEC 27001 리드 감사원, CISA, CISSP, CISM 등 많은 유명한 자격증을 취득했습니다.
Jack은 NightCore에서 구현한 모든 정보 보안 요구 사항과 통제를 연구하고 평가하여 ISMS 감사의 각 단계에 대한 철저한 분석을 수행했습니다. 2단계 감사 동안 Jack은 여러 가지 불일치 사항을 발견했습니다. 소프트웨어 라이선스에 대한 구매 송장 수를 소프트웨어 인벤토리와 비교한 후 Jack은 회사가 많은 컴퓨터에 소프트웨어의 불법 버전을 사용하고 있다는 것을 알아냈습니다. 그는 최고 경영진에게 이 불일치 사항에 대한 설명을 요청하고 이를 알고 있는지 확인하기로 결정했습니다. 그의 다음 단계는 NightCore의 IT 부서를 감사하는 것이었습니다. 최고 경영진은 NightCore의 시스템 관리자인 Tom을 가이드 역할을 맡고 Jack과 감사팀을 시스템 내부 작동과 디지털 자산 인프라로 안내하도록 지정했습니다.
재무부 직원을 인터뷰하는 동안 감사원들은 회사가 최근에 컨설턴트 중 한 명에게 비정상적으로 큰 거래를 했다는 사실을 발견했습니다. 거래에 대한 모든 필요한 세부 정보를 수집한 후, 잭은 최고 경영진을 직접 인터뷰하기로 결정했습니다.
첫 번째 불일치에 대해 논의할 때, 최고 경영진은 잭에게 더 저렴하기 때문에 원본 소프트웨어 대신 복사된 소프트웨어를 사용하기로 기꺼이 결정했다고 말했습니다. 잭은 NightCore의 최고 경영진에게 불법 버전의 소프트웨어를 사용하는 것은 ISO/IEC 27001 및 국가 법률 및 규정의 요구 사항에 어긋난다고 설명했습니다. 하지만 그들은 그것에 대해 괜찮은 듯했습니다.
감사가 끝난 지 몇 달 후, 잭은 감사 기간 동안 수집한 나이트코어의 정보 중 일부를 나이트코어의 경쟁사에게 엄청난 금액에 판매했습니다.
이 시나리오를 바탕으로 다음 질문에 답하세요.
잭은 소프트웨어에 대한 첫 번째 불일치를 식별했을 때 어떤 유형의 감사 증거를 수집했습니까? 시나리오 3을 참조하십시오.

• A. 수학적 증거
• B. 분석 증거
• C. 구두 증거

다음 진술을 검토하고 거짓인 두 가지를 판별하십시오.

• A. 가상 감사 중에 인터뷰에 참여하는 감사 대상자는 웹캠을 활성화해 두는 것이 강력히 권장됩니다.
• B. 현장, 가상 또는 조합 감사를 선택할 때는 과거 실적과 이전 감사 결과를 고려해야 합니다.
• C. 현장 감사를 실시하도록 승인된 감사원은 가상 감사에 대해 추가 교육을 요구하지 않습니다. 필요한 기술 세트에 큰 차이가 없기 때문입니다.
• D. 기밀성 및 보안 문제로 인해 가상 감사 중 화면 공유는 감사팀이 감사 대상자의 문서를 검토할 수 있는 한 가지 방법입니다.
• E. 제3자 감사에 할당되는 일수는 감사 대상자의 가용성에 따라 결정됩니다.
• F. 가상 감사에 앞서 기술 점검을 실시하면 감사의 효과성과 효율성을 개선할 수 있습니다.

다음 중 두 가지 진술은 사실입니까?

• A. 감사 프로그램을 관리하는 책임은 감사팀 리더에게 있습니다.
• B. 감사 프로그램은 특정 기간 동안 계획되고 특정 목적을 향해 진행되는 하나 이상의 감사에 대한 준비를 설명합니다.
• C. 감사 프로그램은 감사 활동과 준비를 설명합니다.
• D. 감사 계획은 특정 기간 동안 계획되고 특정 목적을 향해 지시되는 하나 이상의 감사에 대한 준비를 설명합니다.
• E. 감사 계획은 감사 활동과 준비를 설명합니다.
• F. 감사 계획은 합의되면 확정되며 감사 실시 중에는 변경할 수 없습니다.