[CISA 이론 정리 - 4장] 07 IT 운영 실무

1. 컴퓨터 운영

(1) 대표적인 IT 운영 기능

① IT 운영 환경에 활동하는 대표적인 운영 기능은 다음과 같다.

운영자

• 컴퓨터를 사용하여 실제 작업, 매크로, 프로그램을 실행한다.

• 비정상 종료 후 컴퓨터 응용을 다시 시작한다.

• 파일 백업 촉진, 작업 일정을 감시한다.

• 재해 복구 계획 테스트에 참여한다.

• 무인(Light out) 운영은 비용 절감과 지속적 운영이 가능하다.

입출력 통제 기능

• 데이터 통제 기능이라고도 한다.

• 데이터 입력의 무결성을 보증하고 제 때 처리되도록 지원한다.

• 출력의 형식과 배포의 적절성을 책임진다.

데이터 입력

• 컴퓨터 단말기로 원시 문서에서 이차 저장 매체로 데이터를 입력한다.

• 데이터 입력에 대한 통제는 키 검증, 직무 분리, 입력 로그 등이 있다.

② 이외에도 다양한 운영 기능이 상호 협력/보완하며 활동한다.

(2) IT 운영 관리

① IT 운영 업무를 효과/효율적으로 관리하려면 다음과 같은 관리 업무가 중요하다.

자원 할당

• 계획한 작업들을 원활하게 수행할 수 있도록 자원을 할당해야 한다.

• 인력 및 컴퓨터 처리 시간이 우선 순위에 맞게 투입되어야 한다.

표준/절차 수립

• 전반적인 경영 전략 및 정책과 일치하는 표준과 절차를 수립해야 한다.

• 심각한 불일치나 위반 사항은 시기적절하게 탐지 및 수정해야 한다.

② 이러한 관리 실무는 효율적인 자원 활용과 일관성 있는 업무에 필수적이다.

(3) IT 서비스 관리

① IS 서비스가 사전에 합의한 서비스 수준을 만족하는 것을 보장해야 한다.

② 이를 위해 비정상 작업 종료 보고서, 운영자 문제점 보고서, 출력물 배포 보고서, 콘솔 로그, 운영자 업무 일정표 등을 사용하여 성과를 측정/관리/보고한다.

③ SLA(서비스 수준 협약)는 아웃소싱 환경은 물론 인소싱 환경에서도 작성하여 사용하는데 객관적이고 명확한 기준으로 서비스 수준을 통제하는 중요한 수단이다.

④ 또한, 사용자들이 IT 서비스의 품질에 만족하는지 주기적으로 평가하고 문제를 조기에 처리하는 것이 중요하다.

⑤ EA(전사적 아키텍처)를 정의/구현하는 것은 IT 서비스 관리를 일관성 있고 체계적으로 수행하는 데 큰 도움을 준다.

(4) 작업 회계, 작업 일정 수립, 자원 사용 감시

작업 회계(Job Accounting)

• 작업 회계란 자원의 사용 주체 및 사용량을 측정하는 것이다.

• 자원 이용도 정보는 비용 청구와 시스템 성능 최적화에 활용된다.

작업 일정 수립(Job Scheduling)

• 작업의 처리 일정/순서 및 프로그램 실행 조건들을 정의해야 한다.

• 작업 일정을 수립하는 작업 스케쥴러를 둘 수도 있다.

자원 사용 감시

• 자원 사용에 대한 통제는 일반 통제로서 효과적 통제가 중요하다.

• 자원이 효율적으로 사용되고 있으며 오남용되지 않는지 감시한다.

(5) 사고 및 문제점 관리

① 비정상적인 상황을 탐지하고 신속하게 대응하고 문제를 해결하기 위한 절차가 필요하다. 

② 이를 위해 각종 오류의 로그를 유지/검토/분석하고 근본 원인을 분석해야 한다.

③ 오류 로그에는 각종 오류, 오류의 발생 일시/코드/내용/원인/이관 일자/현재 상황 담당자 등의 정보가 포함해야 하며 누구도 수정 권한을 가져서는 안 된다.

④ 사고 및 문제점들의 탐지/대응/해결 과정은 철저히 문서화 및 보고해야 한다.

⑤ SIEM(Security Information and Event Management): 보안 관련 정보를 통합적으로 수집/관리하여 공격을 조기에 발견하고 사고를 효과적으로 대응하기 위한 접근법이다.

⑥ KEDB(Known Error Database): 컴퓨터 운영 및 보안 관련 사고, 문제점, 오류에 대한 정보를 체계적으로 정리한 데이터베이스이다.

(6) 데이터 관리

데이터 품질 관리

① 전략적 목적 달성을 지원할 수 있도록 데이터 품질(data quality)를 확보해야 한다.

본질적 품질(Intrinsic Quality)

• 정의: 실제 또는 참 값과 일치하는 정도

• 목표: 정확성, 객관성, 신빙성(believability), 평판

상황적 품질(Contextual Quality)

• 정의: 데이터의 작업 활용도, 지혜롭고 명확한 데이터 표현, 정보 활용 상황의 적합도

• 목표: 관련성, 완전성, 최신성, 양적 적정성, 간략한 표현, 일관성 있는 표현, 해석 가능성, 이해 가능성

보안/접근 가능성(Security/Accessibility)

• 정의: 정보를 사용/확보할 수 있는 정도

• 목표: 가용성(Availability), 제한된 접근(restricted access)

② 데이터 품질은 데이터 기획, 설계, 획득, 사용/운영, 감시, 폐기 등의 모든 과정, 다시 말해 데이터 수명 주기(data life cycle) 전체에 걸쳐 유지되어야 한다.

데이터 관리(Data management)

① 데이터 관리자(DA: Data Administrator)는 조직의 전략적 목적을 달성하는 데 필요한 데이터의 논리적 아키텍처를 설계/관리한다.

② DA는 상위 수준(senior level)의 관리자로서 기술과 경영에 대한 식견이 있어야 한다.

데이터베이스 관리(Database administration)

① 데이터베이스 관리자(DBA: Database Administrator)는 데이터의 논리적 아키텍처에 근거하여 DB의 물리적 구조를 정의하고 튜닝(tuning, DB 성능을 최적화하는 과정)한다.

② DB에 접근 통제 및 무결성 통제 대책을 수립/실행한다.

(7) 품질 보증

① 시스템 개발 및 유지보수 과정에서 표준 준수 및 문서화 상태를 검증한다.

② 품질 통제 활동이 적절히 이루어지는지 확인한다.

③ QA(Quality Assurance)와 QC(Quality Control) 업무로 나누기도 한다.

(8) 보안 관리

① 보안 정책, 절차, 표준이 준수되는지 감시하고 적절한 조치를 취한다.

② 보안 의식 교육 프로그램을 개발/시행하고 보안 정책을 주기적으로 검토한다.

(9) 프로그램 변경 통제

① 프로그램 변경 통제는 시스템 변경이 승인 받았으며 적절한 통제 아래 이루어지고 테스트되고 구현되었음을 보증하는 실무이다.

② 문서화, 작업 지시, 테스트 검토, 데이터 파일 변환, 시스템 변환이 적절하게 이루어질 수 있도록 일정한 절차가 수립/준수되어야 한다.

③ 프로그램 개발/변경이 완료되면 라이브러리안이나 변경 관리자 또는 개발에 참여하지 않은 담당자(QA 또는 운영자)가 소스 코드를 운영 환경으로 가져 와서 소스 코드 라이브러리에 보관한 다음 이를 컴파일하여 목적 코드 라이브러리로 보낸다.

④ 패치 관리(Patch management): 기능/성능/보안 개선을 위해 최신의 패치에 대한 지식을 확보하고 패치 전후에 적절히 테스트하고 문서화하는 등의 관리가 필요하다.

⑤ 릴리스 관리(Release management): 새로운 또는 변경된 소프트웨어를 실제 생산 환경에 반영하는 과정에서 체계적인 일정 계획과 복귀 계획(fallback plan)이 필요하다.

(10) 지원 및 헬프 데스크

① 사용자들이 접하는 문제들을 문서화하고 해결책을 제시한다.

② 특정 직급에서 해결하지 못한 문제들은 적절한 관리자에게 의뢰하는 이관(escalation) 절차가 존재해야 하며 이레 따라 문제가 시기적절하게 해결되도록 해야 한다.

(11) IT 자산 관리

① IT 자산 관리의 출발점은 자산의 완전한 목록을 작성하고 정보를 수집하는 것이다.

② 자산의 위치, 소유자, 가치, 분류, 복구 우선 순위 등을 명확히 파악해야 한다.

③ 자산의 획득/투자 관리를 위해서는 적절한 비용 편익 분석이 필수적이다.