ISO 27001 준비 얘기를 보다가 익숙한 장면을 또 봤다. 어떤 IT팀은 자산 목록, 리스크 평가, 감사 요청을 맞추느라 결국 스프레드시트 더미에 파묻힌다고 했다. 글은 r/sysadmin에서 10포인트, 댓글 14개 정도였는데, 댓글에 “풀타임으로 ISO 27001 준비와 내부감사를 한다, 자산관리·BCM·리스크 관리 도구를 한 세트로 쓴다”는 사람이 있었고, 또 다른 사람은 “나는 그 상황이다. 거칠다. 1년 내내 파트타임 컨설턴트 도움을 받는다”고 했다. 여기서 불편한 건 인증 자체보다 ‘증거를 계속 최신 상태로 유지하는 일’이다. 임시방편은 자산 인벤토리는 한 시트에, 리스크 레지스터는 다른 시트에, 패치 상태는 보안툴 리포트에, 내부감사 코멘트는 컨설턴트 문서에 흩어놓는 방식이다. 그러다 감사 시즌이 오면 누가 소유자인지, 어떤 노트북이 퇴사자에게서 회수됐는지, 어떤 라이선스가 만료됐는지, 지난 리스크 조치가 닫혔는지 다시 사람 손으로 맞춘다. 댓글 중에는 보안 산업이 거대한 컴플라이언스 기계가 되어 팀을 숨 막히게 한다는 푸념도 있었다. 작게 만들 제품은 거창한 GRC 스위트가 아니라, 이미 쓰는 자산관리·MDM·티켓·문서도구 위에 얹는 ‘감사 증거 동기화 레이어’에 가까워 보인다. 자산 하나마다 소유자, 접근권한, 패치 상태, 리스크, 관련 통제, 마지막 증거 파일을 묶고, 감사 요청이 오면 “이 통제에 필요한 최신 증거 5개”를 자동으로 모아주는 식. ISO를 잘 모르는 작은 IT팀에게는 인증 컨설팅보다, 매주 30분씩 증거가 썩지 않게 청소해주는 제품이 더 현실적인 구매 이유가 될 것 같다.