1장. 내부 IT 감사 기능의 효율적 구축 __내부 감사 부서의 임무(우리가 여기에 있는 이유?) __독립성: 위대한 신화 __공식 감사 이외의 가치 추가 __비즈니스 자문 감사 __비즈니스 자문 감사를 위한 4가지 방법 ____조기 참여 ____비공식 감사 ____지식 공유 ____자체 평가 __계속 감사 ____공식 감사 이외의 가치 창출에 대한 최종 생각 __관계의 구축: 협력 파트너가 될 것인가? 치안 경찰이 될 것인가? ____협력 파트너십 구축을 위한 학습 __IT 감사팀의 역할 ____애플리케이션 감사인(또는 통합 감사인) ____데이터 추출과 분석 전문가 ____IT 감사인 __효과적인 IT 감사팀의 구성과 유지 ____경력직 IT 감사인 ____IT 전문가 ____경력 IT 감사인과 IT 전문가: 최종 생각 ____공동 소싱 __전문 지식의 유지 ____학습의 원천 __외부 감사인과 내부 인증 기능의 관계 __요약
2장. 감사 업무의 진행 과정 __내부 통제 ____내부 통제의 유형 ____내부 통제의 예 __감사 대상의 결정 ____감사 모집단의 정의 ____감사 모집단의 순위 정하기 ____감사 대상의 결정: 최종 생각 __감사의 진행 단계 ____계획 수립 ____감사 현장 업무의 실시와 문서화 ____문제점의 발견과 타당성 검증 ____해법의 개발 ____보고서 초안 작성과 발행 ____문제점의 추적 __기준 __요약
2부. 감사 기법
3장. 전사적 수준 통제 __배경 지식 __전사적 수준 통제 감사를 위한 테스트 단계 __지식 기반 __종합 체크리스트
4장. 사이버 보안 프로그램 __배경 지식 __사이버 보안 프로그램 감사 단계 __지식 기반 __종합 체크리스트
5장. 데이터센터와 재해 복구 감사 __배경 지식 __데이터센터 감사의 필수 사항 ____물리적 보안과 환경 통제 ____시스템과 사이트 복구 ____데이터센터 운영 ____재해 대비 상태 __데이터센터 감사를 위한 테스트 단계 ____주변과 외부의 위험 요소 ____물리적 접근 통제 ____환경 관리 ____전력과 전기 ____화재 진압 ____데이터센터 운영 ____시스템 복원력 ____데이터 백업과 복원 __재해 복구 계획 __기술 자료 __종합 체크리스트
6장. 네트워킹 장치 감사 __배경 지식 __네트워크 감사의 요점 ____프로토콜 ____OSI 모델 ____라우터와 스위치 ____LAN, VLAN, WAN, WLAN ____방화벽 __스위치, 라우터, 방화벽의 감사 ____네트워크 장비에 대한 일반적 감사 단계 ____추가 스위치 통제: 계층 2 ____추가 라우터 통제: 계층 3 ____추가 방화벽 통제 ____무선 네트워크 장비에 대한 추가 통제 __도구와 기술 __지식 자료 __종합 체크리스트
7장. 윈도우 서버 감사 __배경 지식 __윈도우 감사 기본 사항 ____커맨드라인 ____기본적인 커맨드라인 도구 ____공통적인 명령 ____서버 관리 도구 ____감사의 실시 __윈도우 감사를 위한 테스트 단계 ____초기 단계 ____계정 관리 ____사용 권한 관리 ____네트워크 보안과 통제 ____보안 모니터링과 기타의 일반 통제 __도구와 기술 __지식 기반 자료 __종합 체크리스트
8장. 유닉스와 리눅스 운영체제 감사 __배경 지식 __유닉스와 리눅스 감사 기본 사항 ____주요 개념 ____파일 시스템 레이아웃과 내비게이션 ____파일 시스템의 사용 권한 ____사용자와 인증 ____네트워크 서비스 __유닉스와 리눅스 감사를 위한 테스트 단계 ____계정 관리 ____사용 권한 관리 ____네트워크 보안과 통제 ____보안 모니터링과 기타 일반 통제 __도구와 기술 ____네트워크 취약점 스캐너 ____NMAP ____악성코드 탐지 도구 ____패스워드 강도의 유효성 검증 도구 ____호스트 기반 취약점 스캐너 ____Shell/Awk/etc __지식 기반 자료 __종합 체크리스트
9장. 웹 서버와 웹 애플리케이션 감사 __배경 지식 __웹 감사의 기본 사항 ____다중 구성 요소에 대한 일회 감사 __1부: 호스트 운영체제 감사를 위한 테스트 단계 __2부: 웹 서버 감사를 위한 테스트 단계 __3부: 웹 애플리케이션 감사를 위한 테스트 단계 ____웹 애플리케이션에 대한 추가적 감사 단계 __도구와 기술 __지식 기반 자료 __종합 체크리스트
10장. 데이터베이스 감사 __배경 지식 __데이터베이스 감사의 기본 사항 ____일반적인 데이터베이스 공급업체 ____데이터베이스 구성 요소 ____NoSQL 데이터베이스 시스템 __데이터베이스 감사를 위한 테스트 단계 ____초기 단계 ____운영체제 보안 ____계정 관리 ____사용 권한 관리 ____데이터 암호화 ____보안 로그 모니터링과 관리 __도구와 기술 ____감사 도구 ____모니터링 도구 ____암호화 도구 __지식 기반 자료 __종합 체크리스트
11장. 빅데이터와 데이터 리포지터리 감사 __배경 지식 __빅데이터와 데이터 리포지터리 감사의 기본 사항 __빅데이터와 데이터 리포지터리 감사를 위한 테스트 단계 __지식 기반 자료 __종합 체크리스트
12장. 스토리지 감사 __배경 지식 __스토리지 감사 기본 사항 ____주요 스토리지 구성 요소 ____스토리지 핵심 개념 __스토리지 감사를 위한 테스트 단계 ____초기 단계 ____계정 관리 ____스토리지 관리 ____암호화와 권한 관리 ____보안 모니터링과 기타의 일반 통제 __지식 기반 자료 __종합 체크리스트
13장. 가상화 환경 감사 __배경 지식 ____상용과 오픈소스 프로젝트 __가상화 감사 기본 사항 __가상화 감사를 위한 테스트 단계 ____초기 단계 ____계정 관리와 자원의 설치/제거 ____가상 환경의 관리 ____보안 모니터링과 추가적인 보안 통제 __지식 기반 자료 ____하이퍼바이저 ____도구 __종합 체크리스트
14장. 최종 사용자 컴퓨팅 기기 감사 __배경 지식 __1부: 윈도우와 맥 클라이언트 시스템 감사 ____윈도우와 맥 감사 기본 사항 ____윈도우와 맥 클라이언트 시스템 감사를 위한 테스트 단계 ____도구와 기술 ____지식 기반 자료 __2부: 모바일 장치 감사 ____모바일 장치 감사 기본 사항 ____모바일 장치 감사를 위한 테스트 단계 ____추가 고려 사항 __도구와 기술 __지식 기반 자료 __종합 체크리스트
15장. 애플리케이션 감사 __배경 지식 __애플리케이션 감사의 기본 사항 __애플리케이션 감사를 위한 테스트 단계 ____입력 통제 ____인터페이스 통제 ____감사 증적과 보안 모니터링 ____계정 관리 ____사용 권한 관리 ____소프트웨어 변경 통제 ____백업과 복구 ____데이터 보존, 분류, 사용자 참여 ____운영체제, 데이터베이스, 기타 인프라 통제 __종합 체크리스트
16장. 클라우드 컴퓨팅과 아웃소싱 운영 감사 __배경 지식 __클라우드 컴퓨팅, 아웃소싱 운영 감사의 기본 사항 ____IT 시스템, 소프트웨어, 인프라 아웃소싱 ____IT 서비스 아웃소싱 ____IT 서비스 아웃소싱의 기타 고려 사항 ____제3자 보고서와 증명 __아웃소싱 운영, 클라우드 컴퓨팅 감사를 위한 테스트 단계 ____초기 단계 ____공급업체의 선정과 계약 ____계정 관리와 데이터 보안 ____운영과 거버넌스 ____법적 고려 사항과 법규 준수 __도구와 기술 __지식 기반 자료 __종합 체크리스트
17장. 회사 프로젝트 감사 __배경 지식 __프로젝트 감사의 기본 사항 ____높은 수준의 프로젝트 감사 목표 ____프로젝트 감사의 기본 접근법 ____워터폴과 애자일 소프트웨어 개발 방법론 ____프로젝트 감사의 7가지 주요 부분 __회사 프로젝트 감사를 위한 테스트 단계 ____프로젝트 전반 관리 ____프로젝트 시작, 요구 사항의 수집과 초기 설계 ____상세 설계와 시스템 개발 ____테스트 ____구현 활동 ____교육 훈련 ____프로젝트 마무리 __지식 기반 자료 __종합 체크리스트
18장. 신기술과 기타 기술 감사 __배경 지식 __신기술과 기타 기술 감사의 기본 사항 ____범용 프레임워크 ____모범 실무 __신기술과 기타 기술 감사를 위한 테스트 단계 ____초기 단계 ____계정 관리 ____사용 권한 관리 ____네트워크 보안과 통제 ____보안 모니터링, 기타 일반 통제 __종합 체크리스트
3부 프레임워크, 표준, 정규화, 위험 관리
19장. 프레임워크와 표준 __내부 IT 통제, 프레임워크, 표준의 소개 __COSO ____COSO의 내부 통제 정의 ____내부 통제의 주요 개념 ____내부 통제 통합 프레임워크 ____전사적 위험 관리 통합 프레임워크 ____내부 통제와 기업 위험 관리 간행물 사이의 관계 __IT 지배 구조 ____IT 지배 구조 성숙도 모델 __COBIT __ITIL ____ITIL 개념 __ISO 27001 ____ISO 27001 개념 __NIST 사이버 보안 프레임워크 __NSA INFOSEC 평가 방법론 ____NSA INFOSEC 평가 방법론 개념 ____사전 평가 국면 ____현장 활동 국면 ____평가 후 국면 __프레임워크와 표준의 동향 ____지식 기반 자료
20장. 규제 법규 __내부 통제 관련 입법 소개 ____법규의 IT 감사에 대한 영향 ____기업 재무 규제의 역사 __2002년 제정된 사베인-옥슬리법 ____사베인-옥슬리법이 상장기업에 미치는 영향 ____SOX법의 핵심 포인트 ____IT 부서에 대한 SOX법의 영향 ____여러 위치에 있는 회사의 SOX법 고려 사항 ____SOX법 규정 준수에 대한 제3자 서비스의 영향 ____SOX법 규정 준수에 필요한 특정 IT 통제 ____SOX법 준거가 회사에 미치는 재무적 영향 __그램-리치-블리리 법 ____GLBA 요구 사항 ____연방 금융기관 검사협의회 __일반 데이터 보호 규정 __기타 프라이버시 규정 ____캘리포니아 보안 침해 정보법(SB 1386) ____캘리포니아 소비자 프라이버시법 ____캐나다 개인정보 보호 및 전자 문서법 ____프라이버시 법규의 동향 __병원 진료기록 보호법 ____HIPAA 개인정보 보호와 보안 규칙 ____하이테크법 ____적용 대상에 대한 HIPAA의 영향 __EU와 바젤 II ____바젤 II 자본 협약 __결제 카드업계 데이터 보안 표준 ____결제 카드 산업에 대한 PCI의 영향 __기타 규제 법규의 동향 ____지식 기반 자료
21장. 위험 관리 __위험 관리의 이익 __경영진의 시각에서 본 위험 관리 ____정량적 위험 분석과 정성적 위험 분석 __정량적 위험 분석 ____위험의 구성 요소 ____실제 적용 예 ____위험에 대한 대책 ____부정확성의 일반적 원인 ____정량적 위험 분석의 실무 __정성적 위험 분석 __IT 위험 관리 순환 사이클 ____국면 1: 정보자산의 식별 ____국면 2: 위협의 정량화와 정성화 ____국면 3: 취약점 평가 ____국면 4: 통제 갭의 개선 ____국면 5: 잔여 위험 관리 __제3자 위험 ____위험의 식별 ____위험 평가 ____개선책 ____모니터링과 보고 __수식의 요약 ____지식 기반 자료
지은이의 말
기술은 계속 발전하고 있으며, 감사 기법도 발전해야 한다. 이 책의 2판이 발간된 2011년 이후 몇 년 동안 사이버 보안과 빅데이터 같은 영역이 성숙해지고 주류에 들어섰다. 이번 3판에서는 사이버 보안 프로그램, 빅데이터, 데이터 리포지토리, 새로운 기술(이 책에서 구체적으로 다루지 않은 기술)에 대한 지침을 제공하는 완전히 새로운 장을 만날 수 있다. 또한 모든 장에 최근 동향과 발전을 반영해 업데이트하고 개선했다. 도움이 될 수 있는 무언가를 만들어내려고 셀 수 없이 많은 시간과 엄청난 노력을 기울였다. 이 책을 끝까지 읽은 다음, 자습서로 사용하려 한다면 참고 자료로 계속 옆에 두고 보기를 추천한다. 감사는 상세지향의 업무이므로 압도당하고 무언가를 간과하기 쉽다. 또한 이해 능력을 넘어선 상태로 들어가기가 쉽다. 이 책은 여러분이 아는 것에서 시작해 새로운 것을 배우고 확장하기에 좋다. 저자들이 즐거운 마음으로 이 책을 저술한 것처럼 여러분도 이 책을 재미있게 읽어주길 바란다. 모든 감사 업무에 행운이 함께 하길 바란다.
옮긴이의 말
정보기술 IT 분야의 기본 역량을 갖추려는 학부 학생, IT 감사 업무를 일상적으로 수행하는 내부/외부 감사인과 기업 내 IT 부서 구성원에게 이해하기 쉽고 실용적인 IT 관련 지침서를 제공하려는 취지로 번역을 하게 됐다. 감수자를 포함해 저술에 참여한 9명은 미국 IT업계의 최고 베테랑이다. 독자들은 이 책에서 최신 IT 용어와 관련 개념을 포괄적으로 접할 수 있다. 역자들은 가독성을 고려해 다수의 해설을 각주로 추가했다. 이 책은 IT와 인접 분야(법규, 경영 조직, 인적 자원 관리, 마케팅, 프로젝트 분석, 정보시스템, 회계 감사 등) 지식을 접목시킨 융합 개론서라 할 수 있다. 또한 해커용 안내서가 아니라 감사인이 회사의 IT 시스템, 업무 프로세스에 대한 내부 통제 IC와 보안(security)을 평가, 판단하는 방법의 안내서다. IT 혁신으로 인해 많은 기업이 매우 큰 데이터 세트를 저장, 분석할 수 있는 역량을 갖추게 됐다. 갈수록 더 많은 데이터가 수집되고 저장되면서 데이터 처리 시스템 자체에 대한 감사의 필요성과 데이터의 활용 분석이 더욱 중요해지고 있다. IT 기술은 계속 발전하고 있으며, IT 발전에 부합하는 감사 기법도 함께 발전해야 한다. 이 책의 1부는 조직 내 IT 감사 부문의 효과적인 구축, 유지 방법, 감사인의 처세술, IT 감사 절차, IT 감사 기능의 가치 극대화 방법을 제시한다. 2부는 시스템, 업무 프로세스 감사를 위한 일련의 감사 프로그램이나 다양한 신기술(예, 클라우드 컴퓨팅, 사이버 보안 프로그램, 빅데이터, 데이터베이스, 데이터센터, 데이터 리포지토리 등)을 소개한다. 또한 최신 ICT의 동향, 세계의 주요 IT 기업, 제품, 기술의 탄생 배경과 발전의 간략한 역사, 정보자산의 보호 통제 지침(종합 체크리스트) 등을 주제별로 설명하고 있다. 3부의 주제는 IT 기업의 업무나 감사 실시에 관련된 프레임워크, 표준, 컴플라이언스(compliance), 리스크 관리다. 최근 공인회계사(CPA) 시험 과목 체계의 개편으로 IT 활용 능력 제고를 위해 회계 감사 과목에서 IT 관련 출제 비중(데이터 분석 관련 내용 등을 포함)이 높아졌다. 이 책은 이러한 IT 관련 CPA 수험 준비서의 역할을 훌륭히 해낼 것으로 기대한다.
총 
바보 빅터
