핵심 인사이트 (3줄 요약)

  1. 본질: 보완 통제(Compensating Controls)는 기본 통제를 그대로 적용할 수 없을 때, 다른 수단을 조합해 같은 수준의 위험 감소를 만드는 대체 통제다.
  2. 가치: 레거시 시스템이나 특수 장비처럼 바꾸기 어려운 환경에서 보안과 운영을 동시에 살릴 수 있다.
  3. 판단 포인트: 정당한 제약, 동등한 위험 감소, 원래 통제의 의도 충족, 추가 위험 미발생이 인정 조건이다.

Ⅰ. 개요 및 필요성

현실의 시스템은 규정집처럼 깔끔하지 않다. 오래된 장비, 특수 목적 시스템, 벤더 종속 소프트웨어는 기본 통제를 그대로 넣기 어렵다.

이때 완전히 포기하는 대신, 다른 통제를 조합해 같은 수준의 안전을 확보하는 것이 보완 통제다.

  • 📢 섹션 요약 비유: 원래 자물쇠를 못 달면, 문 앞 경비와 CCTV, 출입 기록으로 같은 효과를 내는 방식이다.

Ⅱ. 성립 조건

보완 통제가 인정받으려면 단순한 편법이면 안 된다.

  • 정당한 제약: 왜 기본 통제를 못 쓰는지 이유가 명확해야 한다.
  • 동등한 위험 감소: 대체 수단이 원래 통제와 비슷한 수준의 보호를 제공해야 한다.
  • 의도 충족: 원래 통제가 막고자 한 위험을 실제로 줄여야 한다.
  • 추가 위험 금지: 대체 수단 때문에 새로운 취약점이 생기면 안 된다.

예를 들어 PCI DSS (Payment Card Industry Data Security Standard) 요구사항을 바로 만족하지 못해도, 대체 로깅과 접근 통제로 같은 효과를 입증할 수 있다.

  • 📢 섹션 요약 비유: 열쇠를 못 바꾸면 경비원, 잠금 기록, 문단속을 함께 써서 같은 목적을 달성해야 한다.

Ⅲ. 대표적인 구현 방식

보완 통제는 보통 여러 통제를 묶어서 만든다.

  • 네트워크 분리와 접근 제한
  • 강화된 감사 로그와 모니터링
  • 물리적 잠금과 출입 통제
  • 추가 승인과 이중 확인 절차
  • 주기적 수동 점검과 예외 관리

단일 기술보다 운영 절차와 함께 있어야 효과가 난다.

  • 📢 섹션 요약 비유: 한 개의 자물쇠 대신, 여러 명이 순서대로 확인하는 문지기 시스템이다.

Ⅳ. 실무 적용과 증빙

감사관은 "왜 원래 통제를 못 했는가"와 "왜 이 대체 수단이 충분한가"를 묻는다. 따라서 문서화가 필수다.

실무 증빙에는 다음이 포함된다.

  • 예외 사유와 승인 기록
  • 대체 통제 설계서
  • 위험 평가 결과
  • 운영 로그와 모니터링 결과
  • 재검토 일정과 종료 조건

보완 통제는 영구 면책이 아니라, 상황이 바뀌면 다시 기본 통제로 돌아가야 할 수도 있다.

  • 📢 섹션 요약 비유: 임시 보강재를 쓰더라도, 나중에 진짜 벽으로 바꿀 계획을 같이 적어 두는 것과 같다.

Ⅴ. 한계와 비교

보완 통제는 유용하지만 만능은 아니다. 기본 통제를 대신할 수는 있어도, 항상 더 간단하거나 더 저렴한 것은 아니다.

특히 다음을 조심해야 한다.

  • 대체 통제가 너무 복잡해져 운영 부담이 커지는 경우
  • 감사 증빙이 약해서 인정받지 못하는 경우
  • 시간이 지나며 보완 통제가 사실상 새로운 기본 통제가 되는 경우

그래서 보완 통제는 "예외"로 쓰되, 예외가 끝나면 원래 통제로 돌아갈 계획까지 가져가야 한다.

  • 📢 섹션 요약 비유: 보완 통제는 우산이 없을 때 우비를 입는 것이지, 우비가 영원한 집이 되는 건 아니다.

관련 개념 맵

기본 통제 불가
   ↓
대체 수단 조합
   ↓
동등한 위험 감소
   ↓
감사 증빙 / 예외 승인

관련 키워드 및 발전 흐름도

  1. 기본 통제 → 이상적인 보안 기준
  2. 적용 불가 상황 → 레거시와 특수 장비 등장
  3. 보완 통제 → 대체 수단 조합
  4. 감사 증빙 → 예외의 정당성 확보
  5. 재검토와 종료 → 예외를 줄이고 표준화로 복귀

어린이를 위한 3줄 비유 설명

보완 통제는 정문 자물쇠가 고장 났을 때 쓰는 임시 안전장치예요.
경비원, 기록장, 문지기를 같이 쓰면 비슷하게 안전해져요.
하지만 나중에는 진짜 자물쇠로 바꾸는 게 더 좋아요.