|
IT거버넌스와 CobiT4.0
삶아진 개구리 증후군과 IT거버넌스
연·재·목·차
제1회 IT거너넌스와 CobiT 4.0
제2회 CobiT 4.0 계획수립 및 조직화(PO)
제3회 CobiT 4.0 도입 및 구축(AI)
제4회 CobiT 4.0 운영 및 지원(DS)
제5회 CobiT 4.0 모니터링 및 평가(ME)
제6회 CobiT 4.0 실무 활용
올해도 예외 없이 새로운 기술들이 회자되고 있다. Web2.0이 온라인 비즈니스 모델을 변혁시킬 것이라는 소식과 함께 SOA니, RTE니, 정신없이 기업체 IT담당자들 앞으로 쏟아져 들어오고 있다. 이런 기술들과 더불어 최근 기술만으로는 IT가 ‘온전’할 수 없다며, 서비스니 프로세스니 인사조직이니 하며 함께 비중 있게 확산일로로 소개되고 있는 것이 있는데 그 중 ‘IT거버넌스(IT Governance)’라는 것이 있다.
신 성 |
굿모닝신한증권 시스템지원부 과장
shinsung@goodi.com
수 년전 ‘IT지배구조’라는 명칭으로 소개되었다가 한 때 주춤했었는데, 최근 들어와 ‘IT거버넌스’라는 용어로 새롭게 소개되고, IT서비스 관리인 ITIL처럼 빠르게 확산되는 모습을 보면서, 우리 사회가 그 동안 IT경영부문에 어떤 목마름이 한편 컸던 것이 아닌가 싶다. 또 이를 대하는 인식의 전환과 접근태도가 예전의 그것과 사뭇 다르다는 생각과 어느새 세계적인 흐름과 우리의 움직임이 궤를 같이 하고 있지 않나 하는 생각이 같이 든다. 그러면 그 동안 우리의 모습은 어떠했을까. 적지 않은 비용과 시간, 그리고 만만치 않은 노력을 들여서 구축한 IT시스템들, 수년간 관습처럼 해온 IT업무 방식들, 쌓여 늘어만 가는 유지보수업무들과 그 고정비용들, 등등.
이런 모습은 어렵지 않게 우리 주변 기업체에서 볼 수 있는 평범한 자화상이다. 그런데 문제는 이런 모습이 지속되어 온 것은 나름대로의 메커니즘이 존재했기 때문인데, 이 메커니즘(Mechanism) 자체에 대한 의구심이 여기저기에서 생기면서 다른 시각으로 쳐다보기 시작하게 되었고, 오랫동안 안착 해온 이 메커니즘을 새로운 잣대로 평가하려는 시도들이 현실적으로 일어나고 있으면서, 조직의 일각에서는 스스로에게 ‘삶아진 개구리 증후군(Boiled frog synd-rome)’에 걸려있던 것이 아닌가 하는 질문을 조심스럽게 던져보고 있다 한다.
이런 현상뿐만 아니라 그동안 해결되지 않고 쌓여만 온 여러 묵은 문제들을 여러 차례 해결하려고 노력해보았지만 별다른 성과가 없던 것은 어찌 보면 근본적인 ‘틀’에 기인한 문제일 수 있다는 생각에 다다르고, 이런 생각의 흐름을 따라가다 보면, ‘IT거버넌스’라는 것을 이제는 자연스럽게 만나는 시대가 되었다. 물론 이런 ‘문제의식’에서 시작할 수도 있지만, 현재의 수준을 보다 향상시키겠다는 ‘개선 의식’에서도 생각의 흐름을 따라가도 ‘IT거버넌스’를 만날 수 있다.
그럼, IT거버넌스가 무엇인지 그 정의를 살펴보자. IT거버넌스에 대한 정의는 기관마다, 학자마다 다소 다르다. 이 글에서는 ITGI(IT Governance Institute)라는 국제기관에서 정의한 내용을 보도록 하자.
CobiT 프레임워크의 발전
이 정의에서 특히 주목하고자 하는 바는 바로 ‘프로세스’라는 것이다. IT거버넌스를 구성하는 데에 필요하다는 프로세스. 이를 ITGI는 전략적 연계(alignment), 가치제공(value delivery), 위험관리(risk management), 자원관리(resource management), 성과측정(performance measurement) 이라는 다섯 가지 IT거버넌스 도메인과 연관지어, 34개의 프로세스로 구성된 CobiT(Control Objectives for Information and Related Technology)이라는 프로세스 프레임워크를 정립하였다. 그럼 CobiT이 무엇인지 이 글에서 전체적인 모습을 살펴보도록 하자.
CobiT은 우리에게 CISA자격증으로 널리 알려진 ISACA(Information Systems Audit and Control Association)라는 기관에서 1996년에 IT프로세스 통제와 감사 가이드라인을 위한 프레임워크로 출간된 이래, 1998년 제2판을, 2000년에 제3판을 출간하면서 ISACA에서 ITGI로 그 주관기관이 변경되었다. 그리고 드디어 2005년 11월 CobiT 제4판이 발간되었다. 특히, 제3판에서는 경영자를 위한 요약(Executive Summary), 프레임워크(Framework), 통제목적(Control Objectives), 관리 지침서(Management Guidelines), 감사 지침서(Audit Guidelines), 적용도구 및 사례집(Implementation Tool Set) 등 총 6권으로 구성 된데 반면, 제4판에서는 한 권으로 묶어 출판하였으며, IT거버넌스 내용, 다른 국제표준, 즉 ITIL(Information Techno-logy Infrastructure Library), CMM (Capability Maturity Model), COSO (Committee of Sponsoring Organiza-tions of the Treadway Commission), PMBOK(Project Management Body of Knowledge), ISF(Information Security Forum), ISO/IEC 17799 등을 적극 수용하였으며, 관리 지침 내용을 보다 확대시킨 점이 두드러진다. 그 한 예로 ‘운영 및 지원(DS)’에서 ‘인시턴트’, ‘서비스데스크’ 등 ITIL 용어를 쉽게 찾아 볼 수 있다.
CobiT프레임워크의 구성
CobiT은 다음과 같이 네 개의 그룹으로 34개 프로세스를 편성하였다.
- 첫째, 계획 수립 및 조직화(PO: Plan and Organize)
IT가 경영목적의 달성에 기여할 수 있는 최선의 방법과 계획을 수립하고, 의사소통하고 관리하며, 적절한 조직과 기술 인프라를 수립하는 업무를 다룬다.
- 둘째, 도입 및 구축 (AI: Acquire and Implement)
IT전략을 실현하기 위해서는 IT솔루션을 개발하거나 구입하며, 비즈니스 프로세스 구현 및 통합시키고, 기존시스템의 변경이나 유지보수를 하는 일을 다룬다.
- 셋째, 운영 및 지원(DS: Deliver and Support)
필요한 서비스를 실제로 제공하는 것으로 서비스 제공, 보안 및 연속성 관리, 사용자에 대한 서비스 지원, 데이터 및 운영 설비의 관리 등을 다룬다.
- 넷째, 모니터링 및 평가(ME: Monitor and Evaluate)
IT프로세스가 제대로 수행되고 있는지 품질과 및 통제 준수 측면에서 주기적으로 평가해야하는데, 이를 성과관리, 내부 통제의 모니터링, 법규준수, 거버넌스 제공 등으로 다룬다.
CobiT의 특성
CobiT은 ‘CobiT프레임워크의 구성’에서 처럼 프로세스 지향적이다. IT활동들을 ‘계획수립 및 조직화’, ‘도입 및 구축’, ‘운영 및 지원’, ‘모니터링 및 평가’라는 4개의 업무영역으로 나눈 CobiT은 하나의 참조 프로세스 모델이자 조직 내 공통의 언어를 제공하기에 모범적인 거버넌스를 만들어나가는데 좋은 출발점을 제공한다고 할 수 있다.
- CobiT은 측정 주도적(Measurement-driven)이다.
성과에 대한 객관적인 시각을 확보하고, 측정하고 평가하여 현재 어느 위치에 있는지 파악하며, 무엇을 개선해야 할지 발견하여 그 개선활동을 모니터링하는 것은 사실상 쉬운 일이 아니기에 많은 기업에서는 수동적으로 접근하는 경우가 많다. CobiT은 관리지침 내용을 보다 확대하여 기본적으로 CMM처럼 다섯 단계로 프로세스의 성숙도를 설명하는 성숙도 모델을 마련하여 어느 위치에 해당 조직이 와있는지 알려주며, 또 핵심목표지표(KGI: Key Goal Indicator), 핵심수행지표(KPI: Key Performance Indicator) 등으로 무엇이 중요한 활동인 지 알려주며 더불어 성과 측정할 수 있는 수단도 제공해 준다.
- CobiT은 비즈니스 지향적이다.
CobiT에서 제시한 프로세스를 IT직무자나 IT감사자만 보는 것이 아니라 경영자나 현업 담당자들도 보고 업무에 참고한다는 점에서 각 프로세스가 어떤 경영 목표와 IT목표에 부합하는지, 또 IT자원을 응용(Application), 정보(Information), 인프라(Infrastructure), 인력(People) 으로 구분하여 해당 프로세스가 성과를 내기 위해 사용하는 것이 어떤 것인지 나타내며, 정보가 경영목적을 충족시키기 위해 어떠해야 하는지를 ‘정보에 대한 경영상의 요구사항’ 혹은 ‘정보 기준’이라 하여 효과성, 효율성, 기밀성, 무결성, 가용성, 준거성, 신뢰성 등으로 나타내고 있다.
- CobiT은 통제 기반적이다.
프로세스 속성 중 하나는 통제를 필요로 한다는 것이다. 즉, 통제는 바람직하지 못한 사건의 발생을 예방, 적발, 수정하여 목적을 달성할 수 있도록 하는데 있다. 그래서, 비즈니스 통제 및 IT통제, IT일반통제 및 응용통제, 데이터 생성·승인 통제, 데이터 입력 통제, 데이터 처리 통제, 데이터 출력통제, 주변통제를 포함한다. 또 기본적으로 프로세스가 갖는 속성, 즉 어떤 프로세스 가 다른 프로세스의 입력이 되기도 하고, 또 출력이 되기도 하는 그런 관계로 엮여 있다. 이런 점을 제4판에서는 ‘일반적인 입력물 및 출력물(Process Inputs and outputs)’이라는 이름으로 그 관계를 제시해주어 프로세스 다이어그램을 작성하고 실무에 적용시키기 위한 노력을 한결 수월하게 해주고 있다. 또 프로세스는 수행에 있어 누가 어떤 역할과 책임을 가지는지 정의되어야 하는데, 제4판에서는 새롭게 RACI 차트를 제공해줘서 직무에 따른 역할과 책임(R&R: Role & Responsibility)을 설정하는데 도움을 주고 있다. RACI는 Responsible (수행책임)의 R, Accoun-table (전결권한)의 A, Consulted(협의)의 C, Informed(통보)의 I란 약자를 모아 만든 용어이다.
IT거버넌스는 고위 경영진과 이사회의 책임이고, 이것은 조직의 IT가 조직의 전략과 목적을 지원하고 확장하도록 하기 위한 리더쉽, 조직구조 및 프로세스로 구성된다.
책자나 PDF로 CobiT 내용 보는 방법
이제 CobiT내용을 책자나 PDF로 볼 때 어떤 내용을 어떤 구성으로 담고 있는지 살펴보자. 34개 프로세스가 4개의 업무영역으로 배열되어 있으며 각 프로세스는 기본적으로 네 면으로 내용이 설명되어 있다. 첫번째 면은 ‘상위통제목적’이라는 제목으로 해당 프로세스에 대한 설명과 부합된 경영목표와 IT목표 등을 설명하고, 두 번째 면은 ‘세부통제목적’이라는 제목으로 해당 프로세스에 필요한 통제사항을 상세히 기술하고 있다. 세 번째 면은 ‘관리지침서’라는 제목으로 일반적인 입력물 및 출력물, RACI차트, KPI, KGI 등을 설명하고 있으며, 네 번째 면은 ‘성숙도 모델’이란 제목으로 해당 프로세스를 5가지 단계로 각각 성숙도를 설명해주고 있다.
그렇다면, 기본적으로 34개 프로세스에 각각 네 면으로 내용이 이런 식으로 기술되어 있다고 한다면, 총 136면 (=34 x 4)이란 계산이 나오므로 CobiT책자에서 프로세스 설명에 최소 136페이지 가 할당되었음을 짐작할 수 있을 것이다. 그러면, 한 번 34개 프로세스에 각각 속해있는 세부 통제의 개수가 모두 몇 개 있는지 세어보는 것은 어떨까.
이상에서 본 것처럼, ISACA/ITGI에서 IT조직 활동을 34개 프로세스로 설명하고 이를 CobiT 프레임워크라고 발표했다. CobiT을 참조하여 이제 여러분이 소속한 IT조직의 IT활동들을 정리해 비교해본다면 흥미롭지 않을까. 그런 과정에서 무엇을 IT조직이 놓치고 있는지도 파악하고, IT조직의 현재 자화상도 ‘제대로’ 살펴볼 수 있다면, CobiT을 통해 IT거버넌스를 구상하고 구현한다는 말이 실제적이라는 것을 알 수 있을 것이다.
끝으로 이 글은 사단법인 한국정보시스템감사통제협회(www.isaca.or.kr)가 발행한 한글판CobiT 4.0을 참조하였고, 영문판 CobiT은 ISACA(www.isaca.org) 홈페이지에서 참조하였다. 여러분도 자유롭게 영문판 CobiT 4.0 자료를 ISACA 혹은 ITGI 홈페이지를 통해 내려 받아 볼 수 있음을 아울러 밝히며, 보다 많은 분들이 CobiT에 관심을 가지고 실제 IT업무에 활용해 보길 기대해본다.
ISACA(www.isaca.org)에 대해
미국 시카고에 국제본부를 두고 있는 국제정보시스템감사통제협회(ISACA: Information System Audit and Control Association)는 1969년에 비영리법인으로 설립되어, IT거버넌스, IT감사, 통제 및 보안에 있어 전세계적으로 인정받는 글로벌 리더로서 역할을 다하고 있으며, 전세계 140여 개 국에 47,000명 이상의 회원을 거느리고 있으며 , 감사분야의 CISA와 보안분야의 CISM 자격시험을 주관해 전세계에 CISA 약40,000여명, CISM 약5,200여명을 배출하였다.
|
