개념
이 레슨의 범위
심사 제도의 요건을 가르치지 않는다. 어느 인증이 누구에게 의무이고, 심사 항목이 몇 개이고, 주기가 어떻게 되는지는 제도마다 다르고 개정된다. 그리고 그 대응의 총괄은 정보보호·준법 조직이 맡는다.
이 레슨이 다루는 것은 QA·시험 조직이 무엇을 증거로 내는가 다. 실무에서 이 준비가 빠지면, 심사 몇 주 전에 정보보호 담당이 와서 "시험했다는 증거를 주세요" 라고 하고, 그때 산출물을 찾고 다듬느라 몇 주가 날아간다.
제도 전반과 적용 범위는 레슨 1(금융 IT 규제) 과 모듈 50 레슨 6(국내 규제 대응) 이 다룬다. 적용되는 심사의 종류·주기·요건은 감독 규정과 각 제도 운영 기관의 공개 안내에서 확인하고, 우리 조직에 무엇이 적용되는지는 정보보호·준법 담당에게 확인받아 문서로 갖는다(원문 확인). 모듈 33 레슨 7 에서 세운 원칙과 같다 — 제도가 바뀌는 영역에서는 암기가 아니라 확인 경로가 역량이다.
심사는 세 가지만 묻는다
제도가 여러 개여도 QA 에게 오는 질문의 구조는 거의 같다. 모듈 32 레슨 8 의 질문 세 겹, 모듈 35 레슨 8 의 체계 심사 성격과 같은 모양이다.
1) 정해져 있는가. 절차·기준이 문서로 있는가. 양식이 있는가.
2) 그대로 했는가. 그 절차대로 수행한 기록 이 있는가. 말이 아니라 기록 이다.
3) 일관되게 했는가. 최근 몇 건을 뽑아도 같은 방식인가. 담당자가 달라도 같은가. 작년과 올해가 같은가.
그래서 QA 가 준비할 것은 세 가지 짝 이다.
| 질문 | 준비물 |
|---|---|
| 정해져 있는가 | 시험 절차서·기준·양식(판본 관리됨) |
| 그대로 했는가 | 그 양식으로 작성된 실제 기록 |
| 일관되게 했는가 | 여러 건·여러 담당자·여러 시점의 기록이 같은 모양 |
세 번째가 가장 어렵고 가장 자주 걸린다. 한 건은 잘 되어 있는데 세 건을 뽑으면 서로 다르다. 그것이 "체계가 없다" 는 판정으로 이어진다.
금융 심사가 QA 산출물에서 보는 것
공통적으로 확인되는 영역은 다섯이다. 구체적 심사 항목 번호는 제도마다 다르므로 성격 으로 정리한다.
1) 변경 통제. 운영 시스템에 들어가는 변경이 승인을 거쳤는가. 그리고 그 변경이 시험되었는가. QA 산출물이 여기서 가장 직접적으로 쓰인다 — 변경 건마다 시험 결과가 붙어 있고, 승인자와 분리되어 기록되어 있는가.
2) 개발과 운영의 분리. 개발자가 운영에 직접 배포하지 않는가. 시험 환경과 운영 환경이 분리되어 있는가. QA 관점에서는 시험 환경에서 검증한 것과 운영에 들어간 것이 같은 형상인가 가 질문이 된다 — 모듈 40 레슨 7 의 이관 확인, 모듈 33 레슨 7 의 버전 대장과 같은 문제다.
3) 시험 데이터 관리. 운영 데이터를 시험에 썼는가. 썼다면 어떤 절차로 가명·익명 처리했는가. 시험 후 어떻게 폐기했는가. 이것이 QA 에게 가장 자주 지적되는 항목이고, 아래에서 따로 다룬다.
4) 접근 권한. 시험 환경과 시험 데이터에 누가 접근하는가. 권한 부여·회수 기록이 있는가. 퇴사·전보자의 권한이 회수되었는가.
5) 보안 요구의 검증. 설계된 보안 통제가 실제로 동작하는지 확인한 기록 이 있는가. 인증·권한·암호화·로그 같은 통제별로 시험 결과가 연결되는가.
1번과 3번이 QA 의 주된 전장 이다. 2·4·5 는 다른 조직과 공동이고, QA 는 자기 몫의 증거를 댄다.
시험 데이터 — 가장 자주 지적되는 항목
이 항목이 지적되는 이유는 단순하다. 운영 데이터를 쓰는 것이 편하기 때문 이다. 실제 계좌, 실제 거래, 실제 고객 정보로 시험하면 현실적이고 데이터 만들기가 쉽다. 그래서 관행이 되고, 심사에서 걸린다.
QA 가 준비할 것은 절차와 기록 이다.
| 항목 | 준비물 |
|---|---|
| 운영 데이터 사용 가능 여부 | 조직 규정과 법령에 따른 판정. 원칙은 쓰지 않는다 |
| 불가피한 경우의 절차 | 승인 주체, 가명·익명 처리 방법, 사용 범위, 기간 |
| 처리 결과 검증 | 가명화가 실제로 되었는지 확인한 기록 |
| 폐기 | 시험 종료 후 폐기 절차와 그 기록 |
| 대체 데이터 전략 | 운영 데이터를 안 쓰고 시험하는 방법 |
세 번째가 자주 빠진다. 가명화 스크립트를 돌렸다는 기록은 있는데, 결과에 실제로 식별 정보가 남아 있지 않은지 확인한 기록 이 없다. 확인 방법은 간단하다 — 가명화 후 데이터에서 식별자 패턴을 검색해 0건임을 보이는 검사다. 모듈 61 레슨 2 의 정합성 조회를 그대로 쓴다.
다섯 번째가 근본 해법 이다. 대체 데이터 전략이 있으면 앞의 네 항목이 거의 필요 없어진다. 전략의 축은 셋이다.
- 생성 — 규칙에 따라 만든다. 금액·날짜·식별자를 규칙으로 생성
- 마스킹된 구조 복제 — 운영의 구조와 분포 만 가져오고 값은 생성
- 합성 시나리오 — 시험하려는 조건을 역산해 그 조건을 만족하는 데이터를 만든다
세 번째가 QA 가 가장 잘할 수 있는 작업이다. "경과 10년, 연체 상태, 구간 경계일" 같은 조건(레슨 8) 은 운영 데이터에서 찾기보다 만드는 것이 빠르고 정확하다.
변경 통제 — 시험 결과가 변경 건에 붙어 있어야 한다
심사에서 가장 많이 확인되는 흐름이다.
[변경 요청] → [영향 분석] → [시험] → [승인] → [배포] → [배포 후 확인]
↑ ↑
QA 산출물 승인자는 시험 수행자와 분리확인되는 질문은 이렇다.
- 변경 건마다 시험 결과가 연결 되어 있는가
- 시험 범위가 영향 분석에 근거 하는가
- 긴급 변경 은 어떻게 처리되었는가. 사후 승인 기록이 있는가
- 승인자와 수행자가 분리 되어 기록되어 있는가
- 배포 후 확인 기록이 있는가
세 번째가 약점이 되기 쉽다. 장애 대응 중의 긴급 변경은 절차를 건너뛰고 들어가는 경우가 있고, 사후 기록이 남지 않으면 심사에서 지적된다. 긴급 변경 절차 자체를 미리 정의해 두는 것 이 대응이다 — "긴급 시에는 무엇을 생략하고 무엇을 사후에 반드시 남기는가" 를 평시에 합의한다.
다섯 번째도 자주 빠진다. 배포 후 정상 동작을 확인한 기록이 없으면, "배포했다" 와 "배포가 성공했다" 를 구분할 수 없다.
평시 양식이 증거가 되게 설계한다
이것이 이 레슨의 핵심 산출물이고, 모듈 35 레슨 8 에서 세운 원칙과 같다 — 심사는 주기적으로 돌아오므로, 심사 직전에 만드는 증거는 매번 같은 고생을 반복하게 한다.
평시 양식에 미리 넣어 둘 칸은 이렇다.
| 칸 | 어느 질문에 답하는가 |
|---|---|
| 대상 형상 식별(버전·빌드) | 시험한 것과 배포한 것이 같은가 |
| 연결된 변경 건 번호 | 변경 통제 |
| 시험 범위와 그 근거 | 영향 분석에 근거하는가 |
| 수행자·검증자(분리) | 독립성 |
| 사용한 시험 데이터의 출처 | 시험 데이터 관리 |
| 시험 환경 식별 | 환경 분리 |
| 미실행 항목과 사유 | 범위의 완전성 |
| 잔여 위험 | 판정의 정직성 |
다섯 번째 칸 하나가 시험 데이터 지적을 크게 줄인다. "생성 데이터", "가명 처리된 복제본(승인 번호 N)", "운영 데이터(승인 번호 N, 폐기일 N)" 중 무엇인지가 매 건에 적혀 있으면, 심사에서 표본을 뽑아도 즉시 답이 된다.
일곱 번째 칸도 중요하다. 미실행 항목이 없다고 적는 것보다, 미실행과 사유가 적혀 있는 것이 신뢰를 얻는다. 모듈 40 레슨 7 의 "알려진 이상" 과 같은 논리다 — 요구되는 것은 "없음" 이 아니라 "파악되고 평가된 상태" 다.
여러 심사에 같은 증거를 쓴다
금융사는 심사를 여러 번 받는다. 정보보호 관련 인증, 감독 당국 검사, 외부 감사, 고객사 실사. 매번 다른 형태로 증거를 만들면 일이 몇 배가 된다.
해법은 모듈 33 레슨 7 에서 쓴 것과 같다 — 원천 하나 + 심사별 추출.
[QA 산출물 원천] ──추출──→ [심사 A 양식]
(평시 양식, ──추출──→ [심사 B 양식]
위 여덟 칸) ──추출──→ [고객사 실사 양식]이 구조가 성립하려면 원천이 충분한 칸 을 갖고 있어야 한다. 그래서 위 여덟 칸을 평시 양식에 넣는 것이 투자다. 심사마다 요구 형태가 달라도 원천에 정보가 있으면 추출 이고, 없으면 다시 만들기 다.
그리고 대조표 를 둔다 — 심사 항목과 우리 증거를 연결한 표. 모듈 40 레슨 8 의 요구-증거 매핑, 모듈 63 레슨 2 의 목표-증거 매핑과 같은 구조다. 심사 항목 번호는 제도마다 다르므로 각 제도의 현행 항목 목록으로 채운다(원문 확인).
탐지·심사 기록도 증거다
레슨 9 에서 다룬 탐지 규칙과 심사(review) 기록이 여기서 증거로 쓰인다. 확인되는 것은 이렇다.
- 탐지 규칙이 정의되고 승인된 문서가 있는가
- 규칙 변경 이력 과 각 변경의 승인 기록이 있는가
- 탐지된 건이 처리된 기록 과 처리 기한이 있는가
- 처리 판정의 근거 가 기록되는가
- 전 과정이 추적 가능 한가
마지막이 레슨 9 에서 짚은 추적 가능성 이고, 여기서 증거 요구로 다시 나타난다. 한 건이 어느 규칙에서 시작해 어떻게 끝났는지 되짚을 수 없으면 심사에서 답할 수 없다.
심사 당일 — QA 가 하는 일과 하지 않는 일
모듈 32 레슨 8 의 원칙이 그대로 적용된다. 요약하면 이렇다.
하는 일
- 요청받은 기록을 빠르게 꺼내 온다. 꺼내 오는 시간 자체가 평가된다
- 질문에 문서를 가리켜 답한다. 말로 설명하는 것은 1겹을 통과하지 못한다
- 모르는 것은 확인 경로를 제시 하고 실제로 확인해 돌아온다
- 발견 사항을 그 자리에서 기록 한다. 사실 관계와 범위를 확인한다
하지 않는 일
- 추측해서 답하지 않는다. 한 번의 틀린 추측이 다른 모든 답의 신뢰를 떨어뜨린다
- 현장에서 변론하지 않는다. 이견은 정식 절차로 제기한다
- 즉석에서 조치를 약속하지 않는다. 근본 원인 분석 뒤에 설계한다
- 심사 중에 문서나 기록을 고치지 않는다. 가장 심각한 금지 사항이다. 선의로 "정리" 하려는 행동이 기록 조작으로 다뤄질 수 있다
마지막 항목을 조직 전체에 미리 공지 해 둔다. 심사 기간에 급하게 산출물을 보완하려는 움직임이 실제로 일어나고, 그것이 가장 큰 사고로 번진다.
그리고 빠진 기록을 소급 작성하지 않는다. 빠졌다는 사실과 사유를 기록하는 쪽이 낫다. 소급 작성이 발견되면 단순 누락보다 훨씬 무겁게 처리된다.
지적을 받은 뒤
지적 사항 처리는 시정조치 절차 로 들어간다. 모듈 32 레슨 5 에서 다룬 구조다. QA 관점에서 추가로 할 것이 둘 있다.
1) 범위를 확인한다. 한 건의 문제인지 체계의 문제인지. 체계 문제면 같은 원인이 다른 곳에도 있는지 찾아야 한다.
2) 재발 방지를 장치로 만든다. "주의하겠습니다" 는 조치가 아니다. 양식에 칸을 추가하거나, 검사를 자동화하거나, 절차에 확인 단계를 넣는다. 사람의 주의가 아니라 장치 로 — 모듈 31 레슨 6 에서 쓴 원칙이다.
그리고 지적을 받은 항목은 다음 심사에서 반드시 다시 확인된다. 조치 기록을 추적 가능하게 남겨 두면 다음 심사가 수월해진다.
실무에서 왜 필요한가
금융사 QA 조직에서 심사 시즌은 예측 가능한 과부하 다. 그리고 그 부하의 대부분이 증거를 찾고 다듬는 일 이다 — 시험은 했는데 그 결과가 변경 건에 연결되어 있지 않고, 어떤 데이터를 썼는지 적혀 있지 않고, 수행자와 검증자가 구분되어 있지 않다.
이 부하는 평시 양식 설계 한 번으로 크게 줄어든다. 위 여덟 칸이 평시 기록에 들어 있으면, 심사 준비가 표본을 꺼내 오는 일 로 바뀐다. 그리고 그 효과는 심사마다 반복된다.
두 번째 가치는 시험 데이터 관행을 바꾸는 것 이다. 운영 데이터 사용은 편해서 관행이 되고, 심사에서 지적되고, 지적 뒤에 급하게 고친다. 대체 데이터 전략을 먼저 만들어 두면 이 순환을 피하고, 부수적으로 시험 조건을 만들기도 쉬워진다 — 레슨 8 의 경계 조건은 운영 데이터에서 찾기보다 만드는 것이 빠르다.
세 번째는 긴급 변경 절차 다. 장애 대응 중의 변경은 반드시 발생하고, 평시에 "무엇을 생략하고 무엇을 사후에 남기는가" 를 합의해 두지 않으면 매번 기록이 비어 있게 된다.
채용시장에서의 위치
이 영역은 금융사 IT·정보보호·준법 조직, 금융 전산 수탁사, 금융 솔루션 기업 의 QA 자리에서 요구된다. 공고에는 "감독 규정 대응", "인증 심사 대응", "변경 관리", "산출물 관리", "내부통제" 같은 말이 적힌다.
특징은 QA 와 내부통제의 경계에 있다 는 점이다. 시험을 설계하는 역량과 증거를 관리하는 역량이 함께 요구되고, 둘을 모두 하는 사람은 조직에서 오래 쓰인다.
경쟁력이 되는 것은 셋이다. 첫째, 평시 양식을 증거로 설계하는 능력 이다. 면접에서 "심사 준비를 어떻게 하십니까" 에 "평시 기록에 형상·변경 번호·데이터 출처·수행자/검증자 칸이 들어 있어 표본을 꺼내 오면 됩니다" 로 답하면 다르게 들린다. 둘째, 대체 시험 데이터 전략 이다. 셋째, 심사 당일의 태도 다 — 추측하지 않고 확인 경로를 제시하는 것, 심사 중 문서를 고치지 않는 것.
이 역량은 금융 밖에서도 쓰인다. 모듈 32(KOLAS)·모듈 33(GS·보안 인증)· 모듈 35 레슨 8(R155·R156)·모듈 40(의료기기)·모듈 63 레슨 6(CC) 이 같은 구조 를 다룬다. 하나를 제대로 익히면 나머지의 문법이 읽힌다.