예약된 보안 통제 검증
Zero가 설정한 주기에 따라 보안 구성을 점검하고, 각 통제가 제대로 적용되어 있는지 확인하며, 감사 주간이 오기 전에 편차를 보고합니다.
Zero가 연결합니다:
Zero가 제공하는 것
무엇이 문제인가
감사는 늘 분기마다 전 직원이 매달리는 소방 훈련이었습니다. 모든 방화벽 규칙, 모든 IAM 정책, 모든 접근 검토를 스크린샷으로 찍어 감사관이 도착하기 전 주에 손으로 모아두는 식이었죠. 아무도 모르는 사이 통제가 어긋나 있었고, 시정 작업은 위기 모드에서 이루어졌습니다. 지속적 통제 검증은 일정한 주기로 점검을 실행하므로, 편차는 감사 전 주가 아니라 발생한 그 주에 잡힙니다. 컴플라이언스 팀은 모든 점검에 대한 날짜가 찍히고 서명된 기록을 얻고, 엔지니어링은 무언가 어긋날 때 알림을 받으며, 감사관은 이미 정리된 증거를 받습니다.
Zero가 해결하는 방법
1단계: 도구 연결하기
2단계: Zero에게 요청하기
@Zero 매주 월요일 오전 7시에 보안 통제를 검증해 줘. 방화벽 규칙이 Notion의 기준선과 일치하는지, `main`에 필요한 GitHub 브랜치 보호가 활성화되어 있는지, 2FA가 비활성화된 저장소가 없는지 확인해 줘. 결과는 Controls 데이터베이스에 기록하고, 편차가 있으면 #compliance에 알려 줘.
Zero가 현재 보안 구성을 가져옵니다
Zero는 통제가 실제로 존재하는 시스템에서 신뢰할 수 있는 출처(브랜치 보호, IAM, 방화벽 규칙, 접근 검토)를 읽어옵니다. 표본 추출 없이, 범위 내 모든 통제가 매 실행마다 점검됩니다.
Zero가 정의한 기준선과 비교합니다
예상 구성은 Notion 데이터베이스에 저장됩니다. Zero는 현재 상태를 기준선과 비교하고, 모든 편차를 표시하며, 통제별 통과/실패를 타임스탬프 및 증거 링크와 함께 기록합니다.
Zero가 결과를 기록하고 편차에 대해 알립니다
매 실행은 날짜가 찍힌 기록을 Controls 데이터베이스에 작성합니다. 편차가 발생하면 컴플라이언스 채널과 해당 통제를 담당하는 엔지니어를 태그하는 Slack 알림이 발송됩니다. 감사관은 변경 불가능한 이력을 얻습니다.
3단계: 한 걸음 더 나아가기
더 나은 결과를 위한 팁
기준선은 한 곳에 보관하세요: Notion, Drata, 또는 자체 CMDB. 흩어진 기준선은 조용히 어긋나며, Zero는 문서화되지 않은 것을 점검할 수 없습니다.
'편차'와 '예외'를 구분하세요. 편차는 승인 없이 변경된 통제이고, 예외는 팀이 승인한 일탈입니다. Zero는 이 둘을 다르게 다뤄야 합니다.
요약을 감사 시즌까지 이어가세요. 감사관은 지속적인 로그를 좋아하며, '지난주에 점검했다'보다 '2년 동안 매주 해왔다'가 훨씬 강력한 이야기입니다.