COBIT(Control Objectives for Information and Related Technologies)은 ISACA(정보시스템 감사통제협회)가 개발한 IT 관리 프레임워크로, 기업이 정보 관리와 거버넌스 관련 전략을 수립하고 조직화하며 실행할 수 있도록 지원합니다.
COBIT 프레임워크란?
COBIT는 비즈니스 프로세스 소유자에게 업무 수행에 영향을 미치는 통제 도구를 제공합니다. 사용자, 기업, 감사인에게 IT 통제를 설계·구현·테스트하는 표준적인 접근 방식을 제공하도록 설계된 IT 중심 프레임워크로, 빅4(Big N) 회계법인들이 IT 감사, 컴플라이언스, 통제 관련 문제에 대한 해결책으로 개발하고 채택한 것이기도 합니다.
이 프레임워크는 성숙도 모델(Maturity Model), 핵심 성공 요인(Critical Success Factors), 주요 목표 지표, 구현 지표 등을 제공하여 정보 및 관련 기술을 체계적으로 관리하는 데 활용됩니다. 또한 COBIT는 통제 목표와 감사 지침을 정의하여 실행을 뒷받침하며, 이러한 실무 지침은 IT 또는 감사 실무자가 프레임워크를 가장 효과적으로 구현하는 방법을 익힐 수 있을 만큼 상세하게 작성되어 있습니다.
COBIT의 작동 방식
COBIT는 프로세스 흐름(process flow)으로 표현됩니다. 비즈니스 요구 사항을 충족하는 IT 프로세스의 통제는, 통제 관행(Control Practices)을 가능하게 하는 통제 명세(Control Statements)를 통해 이루어집니다.
즉, COBIT는 IT 통제를 정의하고, 실행하고, 검토하기 위한 체계적인 프레임워크입니다. 내부 또는 외부 감사 조직처럼 주요 시스템(SOX 용어로 '재무적으로 중요한(finance-significant)' 시스템)에 효과적인 통제가 마련되어 있는지 확인해야 하는 까다로운 임무를 맡은 조직에게 COBIT는 바로 필요한 솔루션이 될 수 있습니다.
COBIT 도입 시 유의할 점
다만 COBIT는 그 자체로 정보 보안 프레임워크는 아닙니다. 또한 조직 내에서 COBIT를 실행하려면 상당한 규모의 리소스를 투입해야 합니다. 기능 예산은 줄어들고 위협과 부담은 커지는 최근의 환경에서, 조직이 손쉽게 COBIT를 도입할 수 있으리라고 기대하는 것은 현실적이지 않습니다.
COBIT의 구성 요소와 발전 과정
COBIT는 민감한 정보의 통제와 보안에 대한 요구 사항을 담은 글로벌 공개 표준으로, 참조 프레임워크 역할을 합니다. 1990년대 IT 거버넌스 협회(ITGI)가 개발했으며, 다음과 같은 요소로 구성됩니다.
- 경영진 요약(Executive Summary)
- 관리 지침(Management Guidelines)
- 프레임워크(Framework)
- 통제 목표(Control Objectives)
- 구현 도구 세트(Implementation Toolset)
- 감사 지침(Audit Guidelines)
보안 프로그램의 효과성을 측정하기 위한 핵심 성공 요인 목록과 감사 목적의 기준 등 폭넓은 지원 자료가 함께 제공됩니다. COBIT는 탄생 이후 여러 차례 개정되었으며, 현재도 정기적으로 업데이트가 이루어지고 있습니다.
COBIT의 목적과 역할
COBIT의 궁극적인 목적은 경영진과 비즈니스 프로세스 소유자에게 IT 거버넌스 모델을 제공함으로써, IT로부터 가치를 창출하고 IT와 관련된 위험을 인식하고 관리할 수 있도록 돕는 것입니다. COBIT는 비즈니스 요구 사항, 통제 요구 사항, 기술적 문제 사이의 간극을 메워주는 다리 역할을 하며, IT 거버넌스의 요구를 충족하고 데이터와 정보 시스템의 신뢰성을 보장하는 통제 모델입니다.
누가 COBIT를 사용하는가?
COBIT는 전 세계적으로 다음과 같은 이들에 의해 활용되고 있습니다.
- 비즈니스 프로세스와 기술에 대한 핵심 책임을 맡고 있는 이해관계자
- 적절하고 신뢰할 수 있는 정보를 확보하기 위해 기술에 의존하는 조직과 개인
- 정보 기술의 품질, 신뢰성, 관리 체계를 제공하는 전문가 및 서비스 제공자