CISA - 공인 정보시스템 감사사 교육 과정

영역 1—정보시스템 감사 프로세스 (14%)

IT 감사 기준에 따라 감사 서비스를 제공함으로써 조직이 정보시스템을 안전하게 보호하고 관리할 수 있도록 지원합니다.

• 1.1 IT 감사 기준과 부합하도록 리스크 중심의 IT 감사 전략을 수립 및 시행하여 핵심 분야에 대한 점검 보장
• 1.2 정보시스템이 보호되고 효과적으로 운영되며 조직 가치 창출에 기여하는지 확인하기 위한 구체적 감사 계획 마련
• 1.3 IT 감사 목표 달성을 위해 정해진 표준에 따라 실제 감사 수행
• 1.4 감사 결과를 이해관계자에게 전달하고 필요한 변경 사항을 권고하며 보고서 작성
• 1.5 경영진이 조속히 적절한 대응 조치를 이행하도록 후속 점검 및 현황 보고 수행

영역 2—IT 거버넌스 및 관리 (14%)

조직의 전략 실현과 비전 달성을 위한 리더십 체계, 조직 구조 및 절차가 제대로 갖춰져 있는지 확인하여 신뢰도를 제공합니다.

• 2.1 IT 의사결정 및 성과가 기업 목표에 부합하도록 거버넌스 체계의 효율성 검토
• 2.2 인적 자원 운영이 조직 전략 실현에 기여하는지 조직 구조 및 인력 관리 평가
• 2.3 IT 전략 수립, 승인, 실행 및 유지관리 프로세스가 기업 비전과 정렬되는지 검토
• 2.4 보안 규제 기준을 준수하면서도 IT 전략 목적 달성에 부합하도록 관련 정책·절차의 적정성 판단
• 2.5 품질 관리 체계가 비용 효율적인 방식으로 조직 목표 지원하는지 평가
• 2.6 각종 통제 기준을 준수하며 지속적인 모니터링 및 QA 활동이 제대로 수행되는지 검토
• 2.7 우선순위 결정 체계를 바탕으로 IT 자원 투자·활용 및 분배가 전략 목적과 부합하는지 점검
• 2.8 계약 관리 절차 및 대외 협업 방식이 조직 비전 달성에 기여하는지 검토
• 2.9 IT 관련 리스크 예방 및 관리가 충분히 이뤄지는지 확인
• 2.10 경영진과 이사회에서 IT 운영 현황을 파악할 수 있도록 정보 제공 체계의 적절성 판단
• 2.11 시스템 장애 발생 시 비즈니스 연속성을 보장하기 위한 재해복구 계획 실효성 평가

영역 3—정보시스템 도입·개발 및 구현 (19%)

시스템의 기획, 개발, 테스트 및 도입 과정이 기업 전략 목표에 부합하는지 확인합니다.

• 3.1 IT 자산 투자안이 사업 목표 달성에 기여할 수 있는지 비즈니스 타당성 검토
• 3.2 예산 및 리스크 관리 관점에서 프로젝트 계획 이행 여부 평가
• 3.3 일정 준수와 정확한 문서화 여부, 실제 현황 보고의 신뢰성 확인을 위한 주기적 검토 수행
• 3.4 설계 단계부터 기준 충족 및 규제 준거성을 보장하기 위해 요구사항·개발·테스트 과정 내 통제 체계 평가
• 3.5 생산 환경 전환을 위한 시스템 준비도를 점검하여 계획 목적 달성 여부 확인
• 3.6 구현 완료 후에도 목표와 조직 기준 부합성이 지속적으로 유지되는지 사후 검토 진행

영역 4—정보시스템 운영·유지 및 지원 (23%)

시스템 운영, 보수 및 서비스 지원 체계가 기업 목표 실현에 기여하는지 평가합니다.

• 4.1 시스템이 지속적으로 기업 목적 달성에 부합하는지 주기적 점검 수행
• 4.2 내외부 서비스 제공자와의 서비스 수준 협약 이행 여부 및 관리 절차 평가
• 4.3 제3자 통제 체계가 계약 기준대로 유지되고 있는지 외주관리 방식 검토
• 4.4 일상 업무 처리 과정이 규정에 따라 진행되는지 사용자 운영 절차 확인
• 4.5 지속적인 시스템 유지를 통해 조직 목적 달성이 원활한지 평가
• 4.6 데이터 관리 방식이 DB의 무결성과 최적화 상태를 유지하는지 점검
• 4.7 성능 측정 도구 활용을 통해 IT 서비스 품질이 목표치에 부합하는지 확인
• 4.8 장애 및 문제 발생 시 신속히 기록·분석·해결되는 관리 프로세스 평가
• 4.9 변경관리 체계가 계획 외 변화까지 충분히 제어되고 문서화되었는지 검토
• 4.10 데이터 복구 체계가 가동 중단 시 필요 정보 회복을 완벽히 지원하는지 판단
• 4.11 재해 발생 시에도 IT 운영 기능이 빠르게 복구될 수 있는 대비 상태 확인

영역 5—정보 자산 보호 (30%)

보안 정책과 절차가 정보 자산의 기밀성·무결성·가용성을 완벽히 보장하는지 검증합니다.

• 5.1 각종 보안 지침이 국제 표준 및 모범 관행에 부합하도록 체계적인 점검
• 5.2 물리적·논리적 보호 수단이 정보 자산의 기밀성·무결성·가용성을 충실히 보장하는지 평가
• 5.3 데이터 분류 시스템이 정책과 법규 요건에 부합하게 구현되고 운영되는지 확인
• 5.4 물리적 시설 관리와 환경 통제 체계가 정보 자산을 효과적으로 보호하는지 검토
• 5.5 저장·전송·폐기 과정까지 정보 보안이 유지되도록 하는 운영 프로세스 점검