# 정책 문서보다 증거의 연속성

> 통제-증빙 매트릭스, SEV 대응, ALE·ROI와 이사회 결정 요청

- Canonical: https://learning.reopt.ai/courses/ai-security-compliance/lessons/as-m4-concept
- Language: ko-KR
- HTML: https://learning.reopt.ai/courses/ai-security-compliance/lessons/as-m4-concept

---

[AI 보안·컴플라이언스](/courses/ai-security-compliance) 4. 감사·사고·경영 보고 7 / 9

# 정책 문서보다 증거의 연속성

통제-증빙 매트릭스, SEV 대응, ALE·ROI와 이사회 결정 요청
개념 학습 45 XP 9분

감사는 정책의 존재가 아니라 통제가 실행되어 증빙으로 이어지는 evidence chain 을 봅니다. 사고는 Detect→Triage→Contain→Eradicate→Recover→Postmortem으로 운영하고, 경영 보고는 활동 목록이 아니라 사업 영향과 요청할 결정을 담습니다.
기술 조치와 커뮤니케이션을 동시에 SEV-1은 15분 내 워룸, 60분 안에 범위·격리·증거 보존·통지 판단을 진행합니다. 보고에는 So What·How Much·What Now가 모두 있어야 합니다.

| 영역 | 핵심 지표 | 의사결정 |
| 감사 | Evidence Coverage·Gap Closure | CAP·보완 통제 |
| 사고 | MTTD·MTTR·SEV | 격리·통지·복구 |
| 재무 | ALE=SLE×ARO·보안 ROI | 투자·보험·risk acceptance |
| 경영 | 성숙도·잔여 위험·추세 | 예산·owner·deadline |

- 1 통제-증빙 연결 각 통제의 owner·주기·artifact·hash를 매핑합니다.

- 2 사고 SLA SEV별 워룸·격리·통지·복구 시간을 정합니다.

- 3 Gap CAP 미해소 위험에 목표일·담당자·보완 통제를 붙입니다.

- 4 결정 보고 사업 영향·금액·요청 결정을 한 페이지로 압축합니다.

실무에 남길 기준

- 여러 프레임워크는 통합 통제 매트릭스로 중복 증빙을 줄인다
- 사고 대응은 완벽한 예측보다 빠른 격리와 신뢰 회복이 목적이다
- 경영진 보고는 지표보다 결정 요청이 선명해야 한다

[이전](/courses/ai-security-compliance/lessons/as-m3-checklist) 이해했어요 · 계속

---

에이전트용 사이트 안내: https://learning.reopt.ai/llms.txt · 사이트맵: https://learning.reopt.ai/sitemap.xml · 문의: https://learning.reopt.ai/contact