정보시스템 감리 점검 프레임워크

왜 배우는가: 정보시스템 감리는 공공 정보화사업의 품질·성과를 독립적으로 점검하는 제도이며, 감리 점검 프레임워크는 사업유형·감리시점·감리영역을 한 틀로 묶어 평가 기준을 제공한다. 기술사 시험에서는 개발 방법론별 감리시점과 감리영역을 비교하는 문항과 감리 프레임워크·절차를 묻는 문항으로 반복 출제되어 개념의 전체 구조를 먼저 잡아 두어야 한다.

출제 이력: 제125회 2교시 4번, 제98회 3교시 2번

1. 한 줄 정의와 핵심 키워드

정보시스템 감리 점검 프레임워크는 사업유형·감리시점·감리영역·감리관점을 한 틀로 묶어, 정보시스템 사업의 산출물과 성과를 독립된 감리인이 점검하도록 정한 표준 기준이다.

• 핵심 키워드: 정보시스템 감리, 감리시점, 감리영역, 감리관점, 사업유형, 상주감리, 단계별감리, 감리 점검 가이드

2. 개념 풀이

쉽게 말하면 정보시스템 감리는 발주기관을 대신해 사업이 설계대로, 정해진 품질로 진행되는지 제3자가 들여다보는 활동이다. 감리 대상 사업은 시스템 개발, 운영, 유지보수 등으로 나뉘고, 사업유형마다 어느 시점에 무엇을 볼지가 달라진다.

정식 정의는 다음과 같다. 정보시스템 감리는 감리대상에서 독립된 감리인이 정보시스템의 신뢰성, 정확성, 보안성, 효율성, 경제성, 준거성을 자료 수집과 분석으로 점검하고 관계자에게 조언·권고하는 활동이다. 이 정의는 국내 감리 기준과 일본·미국의 시스템 감사 정의에서 공통으로 나타나는 요소를 따른 것이다.

감리시점은 사업 단계 중 감리를 실시하는 시점이다. 시스템 개발 사업이라면 분석, 설계, 구현, 이행 같은 단계가 감리시점이 된다. 감리영역은 그 시점에서 무엇을 점검하는지를 뜻하며, 시스템 아키텍처, 응용시스템, 데이터베이스, 인터페이스, 시험활동, 운영준비, 품질보증활동, 사업관리 등이 해당한다. 감리관점은 성과, 산출물, 절차라는 세 가지 시선으로 같은 영역을 본다는 뜻이다.

핵심은 감리시점과 감리영역을 짝으로 묶어 기억하는 것이다. 같은 시스템이라도 분석 단계에서는 요구사항의 완결성을, 구현 단계에서는 코드와 시험의 적정성을 본다. 개발 방법론이 구조적이냐 객체지향이냐에 따라 산출물의 종류가 달라지므로 감리 초점도 함께 달라진다.

3. 등장 배경과 필요성

공공 정보화사업은 규모가 크고 이해관계자가 많으며, 사업 실패의 비용이 크다. 발주기관이 사업자의 자가 점검에만 의존하면 요구사항 누락, 일정 지연, 품질 미달이 늦게 드러나는 문제가 있었다. 이 때문에 독립된 제3자가 단계마다 점검하는 제도가 필요해졌다.

전자정부법 제57조는 행정기관등의 장이 정보시스템의 특성 및 사업 규모 등이 대통령령으로 정하는 기준에 해당하는 정보시스템에 대해 감리법인으로 하여금 정보시스템 감리를 하게 하도록 정한다. 다만, 제64조의2에 따라 전자정부사업관리를 위탁한 경우로서 대통령령으로 정하는 전자정부사업은 제외한다. 감리 대상 기관은 행정기관과 공공기관을 포함하며, 국가기관과 대부분의 공공기관이 여기에 해당한다. 따라서 해당 기준에 해당하는 정보시스템은 감리 의무 대상이 되며, 대통령령으로 정하는 예외가 적용된다.

또 개발 방법론이 다양해지면서 기존 감리기준의 적용 한계가 드러났다. 폭포수 모델 중심의 전통적 감리기준은 컴포넌트기반 개발(CBD)의 재사용, 인터페이스 계약, 조립 검증을 충분히 다루지 못했다. 그래서 방법론별로 감리시점과 감리영역을 나누는 프레임워크가 요구되었고, 이것이 V3.0 프레임워크로 정리되었다.

여기서 따로 짚을 점은 감리 기준이 법령 조문과 고시로 나뉘어 있다는 사실이다. 법률 자체는 감리 의무와 대상을 정하고, 세부 점검 항목은 행정안전부 고시와 점검 가이드가 정한다. 답안에서는 이 상하 관계를 함께 적어야 한다.

전자정부법 제57조에 따른 감리 의무 규정이 법적 출발점이다. 감리 세부 기준은 고시와 가이드로 현행화되므로, 수험에서는 법률과 고시를 구분해 쓰는 것이 안전하다.

4. 구성요소·원리·절차

정보시스템 감리는 감리 대상 사업을 감리 시점과 감리 영역으로 나누어 점검하는 활동이다. 구성요소는 감리 대상, 감리 주체, 감리 기준, 점검 산출물로 나뉜다. 감리 주체는 독립성과 기술적 적격성을 갖춘 감리법인과 감리원이다.

표의 구성요소는 서로 연결된다. 감리 기준이 감리 영역을 정하고, 감리 영역이 감리 시점에서 점검할 산출물을 정한다. 감리 주체는 이 기준에 따라 증거를 수집하고 판단한다.

원리는 세 가지다. 첫째, 독립성을 확보해 피감리인의 이해에서 벗어난 판단을 한다. 둘째, 감리 시점마다 산출물을 확인하는 단계별 점검으로 결함을 조기에 찾는다. 셋째, 점검 결과를 문서로 남겨 추적성을 확보한다. 감리 시점과 감리 영역을 함께 정해야 점검 범위가 확정된다.

감리 절차는 다음과 같다.

• 감리계획 수립: 사업유형, 감리시점, 감리영역, 점검항목을 정한다.
• 감리 실시: 예비감리와 현장감리에서 산출물과 시스템을 점검한다.
• 점검 결과 분석: 지적사항을 근거와 함께 도출하고 위험도를 나눈다.
• 감리 보고서 작성: 감리의견과 개선 권고를 기록한다.
• 결과 통보와 조치: 피감리인이 지적사항에 대한 조치 계획을 낸다.
• 시정조치확인: 조치 이행 여부를 다시 확인하고 종결한다.

5. 관련 법령·기준·표준

정보시스템 감리의 법적 근거는 전자정부법이 가장 상위에 있다. 전자정부법 제57조는 행정기관등의 장이 정보시스템의 특성 및 사업 규모 등이 대통령령으로 정하는 기준에 해당하는 정보시스템에 대해 감리법인으로 하여금 감리를 하게 하도록 정한다. 다만, 제64조의2에 따라 전자정부사업관리를 위탁한 경우로서 대통령령으로 정하는 전자정부사업은 제외한다. 세부 사항은 시행령과 고시가 정한다. 감리 기준은 행정안전부 고시 정보시스템감리기준과 정보시스템 감리 점검 프레임워크가 담는다.

기준 수치는 감리 대상 규모 기준이다. 보안약점 진단은 감리법인이 수행하는 항목으로 정해져 있다. 이 진단에 쓰는 도구는 국가보안기술연구소장이 인증한 도구, 한국인터넷진흥원장이 확인한 도구, 또는 국가정보원장 고시에 따른 보안기능 확인서가 발급된 도구 중 어느 하나를 써야 한다.

개정 이력은 사업 시점에 따라 달라질 수 있다.

6. 유형과 비교

정보시스템 감리 점검 프레임워크 V3.0은 사업유형, 감리시점, 감리영역의 세 축으로 점검 대상을 나눈다. 시스템 개발 사업은 개발 방법론에 따라 점검 초점이 달라지므로 방법론별 비교가 필요하다. 아래 표는 구조적/정보공학적 모델과 객체지향/컴포넌트기반 모델을 비교한다.