기관 보안 요구사항을 제품 통제와 운영 증거에 연결하는 방법

보안 요구사항을 기능 목록에 연결하는 것과 실제 충족 여부를 확인하는 것은 다른 작업입니다. 각 요구사항에 적용 범위, 담당자, 제품 기능과 검증 증거를 함께 적어야 다음 검토자가 판단할 수 있습니다.

기관에서 사용하는 지침과 내부 정책은 해당 담당자가 적용 문서와 버전을 확인합니다. 이 글은 특정 지침의 조항 수나 준수 점수를 제시하지 않고 실무 매핑 방법을 설명합니다.

2026-10-06 개정: 이전 글의 통제 수와 자체 점수는 현행 제품 전체의 준수 증거로 사용하지 않습니다. 현재 공개 기능과 현장 책임을 연결하는 방식으로 개정했으며 기존 글 주소는 유지합니다.

요구사항 하나에 함께 적을 항목

항목	작성할 내용
기준과 범위	적용 문서·버전, 해당 요구사항, 대상 시스템
구현 위치	제품 기능, 조직 운영 절차 또는 선택 연동
책임	설정 담당자, 실행 담당자, 검토·승인 담당자
확인 방법	정상 동작, 거부 동작, 장애·복구의 검사 방법
증거	설정 요약, 검사 결과, 산출물 버전과 승인 기록
현재 상태	확인 완료, 보완 필요, 미실행, 적용 제외 사유

“지원함”만 적는 대신 어떤 구성에서 무엇을 확인했는지 남깁니다. 적용 제외는 편의상 생략한 항목과 구분하고 이유와 승인 책임자를 기록합니다.

아이언마인드에 적용하는 매핑 예시

아래 표는 제품과 운영 업무의 관계를 설명하는 예시입니다. 특정 지침 조항의 충족 판정이나 고객 감사 결과가 아닙니다.

검토 주제	제품에서 확인할 기능	조직이 준비할 일
사용자 접근	로컬 계정과 역할별 접근	사용자 승인·변경·회수 기준
산출물 관리	파일 버전과 해시, QA 증거 연결	제출 버전과 보관 기간
판정과 승인	QA 사유, 게이트 승인 기록	검토자와 승인 책임
감사와 복구	감사 기록과 백업·복원 도구	보관·복구 담당자와 실제 복원 검사
외부 연동	계약에 포함한 연결 기능	연결 승인과 정상·실패 요청 확인

트루에이아이(TRUE AI)의 아이언마인드(IRON MIND)는 하드웨어·소프트웨어 통합 구성 위에서 이러한 프로젝트 업무를 지원합니다. 현장 장비와 보안 정책, 사용한 연동이 다르면 확인할 증거도 달라집니다.

기본 기능과 선택 연동을 구분합니다

SSO, 외부 악성코드 검사 서버와 외부 SCM은 선택 연동입니다. 사용하지 않은 연동의 검사 결과를 완료로 적지 않습니다. 기본 파일 제한 검사는 외부 백신 검사와 구분합니다.

씨크랩 CDS Guard는 향후 연동 예정입니다. 실제 장비 전송 검증은 별도로 필요합니다. 계획된 연동을 현재 현장의 검증 완료 항목으로 포함하지 않습니다.

검토 회의에서는 무엇을 확인하나요?

담당자는 먼저 적용 범위와 미실행 항목을 설명합니다. 검토자는 증거가 실제 대상 버전과 연결되는지 확인합니다. 보완할 항목에는 담당자와 다음 확인 방법을 정합니다. 제품 설정을 바꾸거나 선택 연동을 추가했다면 관련 검사를 다시 수행합니다.

자체 점검표는 조직의 준비 상황을 정리하는 자료입니다. 외부 인증, 기관 심사와 고객 인수의 결과는 해당 절차에서 별도로 확인합니다.

아이언마인드 기능과 실제 업무 화면을 먼저 살펴보고, 보안·운영 검토 항목과 납품 환경의 인수 범위를 연결해 매핑표를 작성하세요.