PE Notes · 경영
IT 컴플라이언스
IT 운영이 법령·표준·내부 정책을 지키게 하는 체계와, 거버넌스·보안과의 차이, GRC·RegTech, 클라우드·AI·공공 의무를 정리합니다.
시스템을 잘 막아도 법이 요구하는 증빙이 없으면 제재가 옵니다. 는 시스템·프로세스·데이터가 법령·규정·업계 표준·내부 정책을 지키도록 설계하고 증명하는 일입니다. 보안이 위협을 줄이면, 컴플라이언스는 지켜야 할 목록을 채웁니다.
정의와 규제 지도
범위는 정보보호와 개인정보에 그치지 않습니다. 금융 내부통제, 의료 기록, 공공 전자정부, 클라우드 인증, 고영향 AI까지 IT가 닿는 규제 면이 넓습니다. 위반은 과징금·영업 제한·형사 책임·평판 손실로 이어지고, 그 자체가 경영 제약입니다.
| 묶음 | 대표 | IT가 지는 의무 |
|---|---|---|
| 정보보호·프라이버시 | , , 개인정보보호법 | 관리체계, 수집·파기, 이전 |
| 금융·결제 | 전자금융, , SOX류 내부통제 | 인증, 로그, 카드 데이터 |
| 산업·공공 | HIPAA류, 전자정부법, , | 등급, 인증, 고영향 신고 |
IT 거버넌스는 “어떻게 결정할 것인가”이고, 컴플라이언스는 “무엇을 반드시 이행할 것인가”입니다. 주체도 이사회·CIO와 법무·감사로 갈립니다. 정보보호 컴플라이언스 토픽이 제도 지도를 그리면, 여기서는 IT 운영 전체의 준수 체계입니다.
관리 체계와 GRC
프로그램은 정책·교육·모니터링·내부 감사로 돌립니다. 위험을 먼저 재서 고위험 항목에 통제를 몰고, 정기 점검 보고서를 남깁니다. 기술·관리·물리 세 층이 같이 있어야 갭이 안 납니다.
는 규정 변경 감시, 보고 자동화, 이상 거래 탐지를 도구로 붙입니다. 는 거버넌스(방향)·리스크(식별·대응)·컴플라이언스(의무)를 한 운영으로 묶습니다. 요건 매핑, 통제 점검, 증거 보관, 경영 보고가 한 화면에 모입니다.
정보시스템 감리는 개별 사업이 절차를 지켰는지를 제3자가 보고합니다. 컴플라이언스는 그 전에 조직이 적용 법령을 스스로 목록화하는 층입니다.
클라우드·AI와 공공 의무
학습 데이터의 적법성, 이전 제한, 국가별 데이터 주권이 클라우드·AI에서 겹칩니다. 는 위험 등급을 나누고, 과 국내 개인정보법은 학습 원천을 다시 묻습니다. 공공은 전자정부법의 보안·접근성, ISMS-P, 취약점 점검, 국정감사에 쓸 문서화가 붙습니다.
유출은 과징금으로 끝나고, 채용·대출 AI의 편향은 공정성 의무를 키웁니다. 대응은 사후 점검이 아니라 과 Security by Design입니다.
답안은 정의, 거버넌스≠준수≠보안, 국내·국제 목록 한 표, GRC 세 글자, 클라우드·AI에서 새로 생긴 의무를 한 장에 올립니다.