AP26 시스템 감사·내부통제·보안 리스크와 인시던트 대응
응용정보기술자시험 과목 A에 필요한 시스템 감사의 독립성과 감사 증거, 내부통제 6요소와 직무 분장, 리스크 평가와 ALE 계산, 보안 인시던트 처리와 증거 보전을 사례와 오리지널 연습 문제 5문항으로 익힙니다.
AP 과목 A 제26편 · 2026년도·실라버스 Ver.7.2 기준의 독립 학습 자료입니다. IPA와 제휴하지 않으며 합격을 보장하지 않습니다. 시리즈 허브 보기
2026년 기준 · 합격 보장 없음
학습 인덱스
- 시스템 감사의 목적과 흐름
- 내부통제와 IT 통제
- 보안 리스크의 평가와 대응
- 보안 인시던트 처리와 증거 보전
- 오리지널 4지선다 5문제
- 출처·범위·면책
공통 용어표
아래 표는 세 언어판에서 같은 바이트로 유지하는 기준표다. 시험에서는 일본어 용어를 그대로 알아보는 것이 중요하다.
| 日本語 | English | 한국어 |
|---|---|---|
| システム監査 | system audit | 시스템 감사 |
| 独立性 | independence | 독립성 |
| 客観性 | objectivity | 객관성 |
| 監査証拠 | audit evidence | 감사 증거 |
| 監査調書 | audit working papers | 감사 조서 |
| 内部統制 | internal control | 내부통제 |
| 職務分掌 | segregation of duties | 직무 분장 |
| リスクアセスメント | risk assessment | 리스크 평가 |
| リスク対応 | risk treatment | 리스크 대응 |
| 残留リスク | residual risk | 잔여 리스크 |
| インシデントハンドリング | incident handling | 인시던트 처리 |
| トリアージ | triage | 트리아지 |
| 証拠保全 | evidence preservation | 증거 보전 |
1. システム監査: 경영을 대신하지 않는 독립적 평가
시스템 감사의 목적은 정보시스템과 관련 통제가 조직의 목적에 맞게 유효한지를, 충분하고 적합한 監査証拠에 근거해 독립적·객관적으로 평가하고 개선에 도움을 주는 것이다. 표준 흐름은 리스크 기반 감사계획 → 감사 절차의 실행 → 충분성·적합성을 갖춘 증거 수집 → 監査調書에 절차·증거·판단·결론 기록 → 감사보고 → 후속조치 확인이다. 예비조사로 대상과 위험을 좁히고 본조사에서 인터뷰, 관찰, 문서 열람, 재수행, 표본검사 또는 CAAT 같은 절차를 조합한다.
独立性에는 감사 기능의 조직상 독립성과 감사인의 정신적·실질적 독립성이 있다. 감사 책임자가 감사 대상 부서의 성과평가나 운영 책임에 종속되면 범위와 보고가 왜곡될 수 있다. 客観性은 선입견·이해관계를 배제하고 검증 가능한 사실로 판단하는 태도다. 감사인은 자기 설계나 자기 업무를 스스로 감사하지 않고, 필요한 전문성과 정당한 주의(due care)를 갖추며, 알게 된 정보를 목적 밖으로 누설하지 않아야 한다.
증거의 충분성은 양과 범위, 적합성은 관련성과 신뢰성에 관한 개념이다. 일반적으로 독립된 외부 원천의 원본, 감사인이 직접 관찰·재수행한 결과, 통제가 신뢰되는 환경에서 생성된 기록이 단순 구두 설명보다 강하다. 그러나 출처 하나만 맹신하지 말고 로그, 승인 기록, 설정값, 인터뷰 결과를 상호 대조(corroboration)한다. 상충하면 추가 절차를 수행하고 그 판단을 조서에 남긴다.
시정조치의 소유자는 경영진이다. 통제를 설계·운영하고 자원과 위험수용을 결정하는 책임까지 감사인이 맡으면 자기검토 위협이 생긴다. 감사인은 발견사항과 권고를 보고하고, 경영진의 개선계획·기한·리스크 수용을 평가하며, 후속감사에서 이행과 효과를 확인한다.
2. 内部統制: 경영진이 운영하는 시스템
내부통제는 감사인의 제도가 아니라 경영진이 조직 목표 달성을 위해 설계·운영하는 시스템이다. 여섯 기본요소는 통제환경, 리스크 평가와 대응, 통제활동, 정보와 전달, 모니터링, IT에 대한 대응이다. 윤리와 책임 구조가 통제환경을 만들고, 위험을 찾아 평가·처리하며, 승인·대사·접근통제 같은 활동을 수행하고, 필요한 정보를 전달하고, 상시 또는 독립 평가로 작동 여부를 확인하며, IT 의존성과 변화를 통제한다.
IT 일반통제는 여러 시스템이 의존하는 기반—계정·권한, 변경, 개발·운영 분리, 백업, 운영 및 물리 보안—을 다룬다. 응용통제는 특정 업무의 입력 완전성, 계산 정확성, 처리 승인, 출력 대사처럼 개별 애플리케이션 거래를 다룬다. 일반통제가 약하면 응용통제의 지속적 신뢰성도 흔들린다.
職務分掌은 요청·승인·실행·기록·검토 같은 상충 직무를 한 사람에게 집중시키지 않는 통제다. 인원이 적어 분리가 어렵다면 독립적인 사후 검토, 로그 알림, 경영자 승인 같은 보완통제가 필요하다. 예방통제는 사전 차단(최소권한, 승인), 적발통제는 발생 발견(대사, 경보), 시정통제는 복구·재발방지(백업 복원, 설정 수정)를 맡는다.
어떤 내부통제도 합리적 보증만 제공한다. 사람의 실수, 공모, 경영진의 무시, 환경 변화, 비용·효익 제약 때문에 실패할 수 있다. 그러므로 통제는 문서의 존재가 아니라 실제 설계·운영 효과와 지속적 모니터링으로 평가한다.
3. 보안 リスクアセスメント와 リスク対応
과정은 식별 → 분석 → 평가 → 대응이다. 자산·위협·취약점·기존 통제를 식별하고, 발생 가능성과 영향을 정성 또는 정량 분석한다. 분석값을 사전에 정한 수용 기준과 비교해 우선순위를 평가한다. 대응은 회피(원인을 없앰), 감소(가능성·영향을 낮춤), 공유(보험·계약 등으로 일부 이전), 보유(인지하고 수용) 중에서 고른다. 각 위험과 조치에는 책임자(owner), 기한, 지표를 지정한다.
예를 들어 단일 손실액이 4,000,000엔이고 연간 발생률이 0.25이면 연간예상손실(ALE)은 4,000,000 × 0.25 = 1,000,000엔이다. 연 300,000엔의 통제가 발생률을 0.05로 낮추면 잔여 ALE는 4,000,000 × 0.05 = 200,000엔이다. 총 감소액은 800,000엔, 순연간편익은 800,000 − 300,000 = 500,000엔이다. 그래도 법적 의무, 안전, 평판 같은 비재무 요소를 검토하고, 승인 권한자가 残留リスク를 수용해야 한다.
리스크 등록부에는 설명, 원인, 자산, 가능성·영향, 기존 통제, 대응, 책임자, 목표일, 잔여 위험과 수용 결정을 기록한다. 중요한 변화와 수용 결정은 이해관계자에게 전달하고 정기적으로 재평가한다.
4. 보안 インシデントハンドリング
가상 사례: 개인 데이터가 없는 사내 빌드 서버에서 새벽에 비정상 관리자 로그인과 미승인 실행 파일이 발견되었다.
- 탐지·보고: SOC 경보를 접수하고 시각, 계정, 자산, 최초 관찰을 기록해 정해진 연락망으로 보고한다.
トリアージ와 범위: 심각도, 영향받은 호스트·계정, 시간 범위, 확산 징후를 확인한다. 추측을 사실처럼 쓰지 않는다.- 봉쇄와
証拠保全: 확산을 막되 먼저 승인된 절차로 메모리·프로세스·연결 같은 휘발성 자료를 수집하고, 이어 디스크 이미지·로그 같은 비휘발성 자료를 보전한다. 원본을 변경하지 않고 해시, 수집자, 시각, 전달자를 연속 기록해 chain of custody를 유지한다. - 제거: 악성 파일, 지속성 수단, 탈취 계정을 제거하고 침입 원인을 수정한다.
- 복구·모니터링: 검증된 상태에서 서비스를 단계적으로 복구하고 재침입 지표를 감시한다.
- 보고·공개: 법령, 계약, 내부 규정에 따라 필요한 기관·고객·경영진 보고와 공개를 판단하고 기록한다.
- 교훈: 근본원인, 대응 성과와 빈틈을 검토해 통제, 플레이북, 교육, 리스크 등록부를 갱신한다.
증거를 삭제·변조하거나 성급한 재부팅으로 휘발성 증거를 잃어서는 안 된다. AP26의 보안 인시던트 처리는 공격 범위 규명, 봉쇄, 포렌식 증거, 보고와 재발방지가 중심이다. AP25의 서비스관리 인시던트는 정상 서비스의 신속한 복구가 우선이므로 목적과 판단 기준이 다르다.
5. 오리지널 문제
문제 1 — 감사인 독립성
감사인이 독립성과 객관성을 가장 잘 유지하는 배치는 무엇인가?
- ア: 감사 대상 시스템을 설계한 사람이 단독 감사한다.
- イ: 운영부서와 분리되어 이사회 감사기구에 보고하는 감사인이 평가한다.
- ウ: 운영 책임자가 범위와 결론을 최종 수정한다.
- エ: 감사인이 시정조치를 직접 운영하고 이후 그 효과를 감사한다.
정답: イ. ア는 자기검토 위협, イ는 조직상 독립성과 보고경로를 확보, ウ는 범위·결론 간섭, エ는 경영 책임을 맡아 독립성을 훼손한다.
문제 2 — 증거의 충분성과 적합성
접근권한 통제의 감사 결론을 가장 강하게 뒷받침하는 방법은?
- ア: 담당자의 구두 설명 하나만 기록한다.
- イ: 표본 수만 크게 하고 출처 신뢰성은 확인하지 않는다.
- ウ: 승인 원본, 시스템 설정과 로그를 대조하고 일부 거래를 재수행한다.
- エ: 관련 없는 최신 보안 기사를 첨부한다.
정답: ウ. ア는 corroboration이 없고, イ는 양만으로 적합성을 보완하지 못한다. ウ는 관련 있고 신뢰할 수 있는 자료를 독립 절차로 대조하며, エ는 감사목적과 관련이 없다.
문제 3 — 직무 분장
지급 업무의 내부통제를 가장 잘 강화하는 설계는?
- ア: 공급업체 등록, 지급 요청, 승인, 대사를 서로 다른 권한으로 분리한다.
- イ: 한 직원에게 모두 맡기고 비밀번호만 자주 바꾼다.
- ウ: 승인 절차를 없애 처리 속도를 높인다.
- エ: 같은 사람이 지급 후 자신의 거래만 검토한다.
정답: ア. ア는 상충 직무를 분리한다. イ의 비밀번호 변경은 권한 집중을 해소하지 못하고, ウ는 예방통제를 제거하며, エ의 자기검토는 독립된 적발통제가 아니다.
문제 4 — ALE와 통제 편익
단일 손실 4,000,000엔, 기존 연간 발생률 0.25이다. 연 300,000엔 통제로 발생률이 0.05가 된다. 순연간편익은?
- ア: 200,000엔
- イ: 300,000엔
- ウ: 800,000엔
- エ: 500,000엔
정답: エ. ア는 잔여 ALE, イ는 통제비용, ウ는 총 손실감소액이다. エ는 (1,000,000−200,000)−300,000=500,000엔이다.
문제 5 — 증거 보전
침해 의심 서버를 봉쇄할 때 가장 적절한 행동은?
- ア: 즉시 모든 로그와 의심 파일을 삭제한다.
- イ: 확산을 제한하면서 휘발성 자료를 우선 수집하고 해시와 인계기록을 남긴다.
- ウ: 증거 기록 없이 공장초기화한다.
- エ: 범위 확인 전 외부에 확정적 원인을 발표한다.
정답: イ. ア와 ウ는 증거를 파괴하고, イ는 봉쇄와 휘발성 우선순위 및 chain of custody를 함께 지킨다. エ는 검증·보고 절차를 건너뛴다.
정답 순서: [2, 3, 1, 4, 2] = [イ, ウ, ア, エ, イ]. 모든 문항은 자체 작성했으며 IPA 기출문제를 사용·번역·각색하지 않았다. 사용한 기출문제: 없음.
6. 공식 출처·범위·면책
- IPA, 応用情報技術者試験（レベル3）シラバス Ver.7.2: PDF 56/인쇄 꼬리말 52, PDF 57/인쇄 꼬리말 53, PDF 59/인쇄 꼬리말 55; PDF 98/인쇄 꼬리말 94, PDF 99/인쇄 꼬리말 95, PDF 100/인쇄 꼬리말 96, PDF 101/인쇄 꼬리말 97, PDF 102/인쇄 꼬리말 98.
- IPA 현행 실라버스·개정 개요 및 개정 관련 정보
- 출처 확인일: 2026-10-21. PDF 페이지와 문서 하단 인쇄 페이지는 서로 다른 번호 체계다.
이 자료는 IPA와 제휴하거나 IPA의 보증을 받은 자료가 아니며 합격을 보장하지 않는다. 개인 데이터를 포함하지 않는다. AP26은 감사·내부통제·보안관리·리스크·보안 인시던트 대응까지 다룬다. AP27은 시스템 전략, 업무 프로세스, 조달로 넘어간다. 제3자 해설은 사용하지 않았다.