정책 문서보다 증거의 연속성
통제-증빙 매트릭스, SEV 대응, ALE·ROI와 이사회 결정 요청
감사는 정책의 존재가 아니라 통제가 실행되어 증빙으로 이어지는 evidence chain을 봅니다. 사고는 Detect→Triage→Contain→Eradicate→Recover→Postmortem으로 운영하고, 경영 보고는 활동 목록이 아니라 사업 영향과 요청할 결정을 담습니다.
| 영역 | 핵심 지표 | 의사결정 |
|---|---|---|
| 감사 | Evidence Coverage·Gap Closure | CAP·보완 통제 |
| 사고 | MTTD·MTTR·SEV | 격리·통지·복구 |
| 재무 | ALE=SLE×ARO·보안 ROI | 투자·보험·risk acceptance |
| 경영 | 성숙도·잔여 위험·추세 | 예산·owner·deadline |
- 통제-증빙 연결각 통제의 owner·주기·artifact·hash를 매핑합니다.
- 사고 SLASEV별 워룸·격리·통지·복구 시간을 정합니다.
- Gap CAP미해소 위험에 목표일·담당자·보완 통제를 붙입니다.
- 결정 보고사업 영향·금액·요청 결정을 한 페이지로 압축합니다.