ISO 27001 준비 얘기를 보다가, 보안팀의 일이 ‘보안’보다 증빙 조립에 더 가까워지는 순간이 보였다. r/sysadmin에 올라온 글은 점수 10점, 댓글 14개 정도의 작은 대화였는데, 자산 목록, 리스크 평가, 감사 요청을 따라가느라 사람들이 스프레드시트에 묻혀 있다는 말이 바로 나왔다. 댓글에는 ISO 27001 준비와 리스크 분석, 내부 감사를 풀타임으로 한다는 사람이 “자산 관리, BCM, 리스크 관리 등 거대한 툴 묶음을 쓴다”고 했고, 30번 넘게 감사를 해본 사람은 isms.online 같은 도구를 언급했다. 흥미로운 건 다들 완전한 새 플랫폼을 찾기보다 이미 있는 것들을 억지로 이어 붙이고 있다는 점이다. Lansweeper 같은 자산 가시성 도구, Confluence나 Drupal Wiki 같은 문서 저장소, 리스크 관리 툴, 스프레드시트, 감사인이 던지는 요청 목록이 따로 돈다. 어떤 댓글에서는 Atlassian Cloud를 못 써서 내부 문서 도구를 바꿨다는 얘기까지 나왔다. 임시 해결책이 “툴 하나 더 사기”가 아니라 “감사 때마다 최신 캡처와 목록을 다시 모아 설명하기”로 굳어지는 느낌이었다. 작게 만들 제품은 거창한 GRC 전체 교체가 아니라, 감사 증빙 패킷을 자동으로 묶어주는 얇은 레이어에 가까워 보인다. 자산 스캔 결과가 바뀌면 관련 통제 항목에 붙이고, 리스크 매트릭스와 승인 로그를 같이 잡아두고, 감사 요청이 오면 “이번 분기 기준으로 보여줄 수 있는 증빙”만 뽑아주는 도구. 보안팀이 원하는 건 또 하나의 대시보드가 아니라, 같은 질문을 받을 때마다 스프레드시트와 위키와 스크린샷 폴더를 뒤지는 시간을 줄이는 쪽에 더 가까워 보였다.