1단계 · 인풋 (블록)
착수 ~ 전체기간 40%
도메인별 스키마 구축. 이해를 만드는 구간
- 한 번에 한 도메인만 판다. 5개 도메인을 번갈아 보지 않는다
- 이해 = 내가 아는 가장 쉬운 말로 바꿔 설명 + 원리까지 설명 가능한 상태
- 용어는 상식적 의미가 아니라 CISA 맥락 의미로 좁혀서 정착시킨다
⚠ 이 구간이 가장 고통스럽다. 고통이 없으면 저장강도가 안 생긴다
드림스쿨 공부법을 CISA 준비에 적용하기
근거 — DreamSchool 이윤규 자막 30편 분석 (정독 7 · 로컬LLM 압축 23) · 위키로
450/800 을 56% 로 읽으면 안 된다. 척도가 0이 아니라 200에서 시작하고 원점수→척도 변환이 비선형이라, 실제로는 대략 65~75% (150문항 중 약 98~112문항) 정답이 필요하다. 회차별 난이도 보정 때문에 정확한 환산표는 공개되지 않는다.
도메인 4+5 가 52% — 시험의 절반 이상. 도메인 3은 12%로 가장 가볍다.
도메인 배점은 '그 영역이 시험에서 차지하는 비중'일 뿐, 합격 판정은 도메인 구분 없이 전체 정답 수로 한다 (ISACA 명시). 즉 특정 도메인 과락은 없다.
출처: isaca.org — CISA Exam Content Outline / Exam Candidate Guide
착수 ~ 전체기간 40%
도메인별 스키마 구축. 이해를 만드는 구간
⚠ 이 구간이 가장 고통스럽다. 고통이 없으면 저장강도가 안 생긴다
40% ~ 65%
이해한 것을 인출 가능한 기억으로 전환
⚠ 예쁜 요약노트를 만들고 싶어지는 구간. 기록물이 아니라 단서를 남긴다
65% ~ 90%
문제 단서에 반응하는 회로 만들기
⚠ 기출 정답률로 실력을 판단하지 않는다. 인출 성공률로 판단한다
마지막 10%
실제 시험 조건 재현
⚠ 이 단계 전에 교차 학습을 시작하면 저장강도가 만들어지지 않는다
시험장에서 꺼낼 수 있는 기억은 장기기억뿐이다
인출강도는 '지금 이 순간 꺼낼 수 있는 능력'이고, 저장강도는 '장기기억에 새겨진 깊이'다. 반복·밑줄·형광펜은 인출강도만 올리고 금방 떨어진다. 저장강도는 이해하고, 내 말로 바꾸고, 기존 지식과 연결할 때만 생긴다. 저장강도가 확보된 기억은 1~3개월 안 봐도 10분~반나절이면 복구된다.
하지 말 것 회독 속도를 높이려 하기 / 여러 도메인 동시에 보기 / 조금 다른 문제에 막히면 더 반복하기
공부는 저장이 아니라 검색어를 설계하는 일이다
기억이 안 나는 건 머릿속에 없어서가 아니라 꺼낼 주소(단서)를 안 만들었거나 잘못 만들어서다. 평소엔 익숙한 단서(책 위치, 형광펜, 강사 말투)로 떠올리지만 시험장엔 그런 단서가 없다. 오직 문제 속 키워드 하나뿐이다. 실험상 반복 읽기 대비 반복 인출의 일주일 뒤 회상률이 약 2.4배 높았다.
하지 말 것 기출을 '몇 개 맞췄나'로 채점하기 / 책 위치·형광펜 색으로 기억하기
① 책 덮고 떠올리기 — 'RTO는 시간, RPO도 시간... 뭐가 다르지?' (여기서 막히면 정상, 계속) ② 시험장 단서로 변환 — 문제에 'RTO는 4시간'이라고 나오면 어떤 키워드가 이걸 가리키는지: '복구', '재개', '가동' 같은 동사가 오면 RTO. 'RPO는 15분'이라고 나오면 '데이터 손실', '백업 시점', '되돌릴 수 있는' 같은 명사가 오면 RPO ③ 정답 단서 — RTO=동사(복구하다)와 짝, RPO=명사(손실량)와 짝 ④ 오답 단서 — 'RPO 4시간 이내 복구'처럼 RPO에 동사를 붙인 선지가 전형적 함정
실제로 CISA 문제는 RTO/RPO를 서로 바꿔 낀 선지로 자주 나온다. 정의를 안다고 풀리는 게 아니라, 이 단서-반응 훈련을 해야 시험장에서 0.5초 만에 골라낸다
이해가 끝난 지점이 기억 공부의 시작이다
처리 수준별 기억률은 활자 15% / 리듬·노래 35% / 의미 처리 70%로 4~5배 차이가 난다. 새 지식은 기존 스키마와 충돌하는데(선행 간섭) 이때 익숙한 기존 의미가 먼저 튀어나온다. 그래서 각 단어가 이 맥락에서 어떤 의미로 좁혀지는지 명시적으로 수정해야 한다.
하지 말 것 활자만 눈으로 훑기 / 노래·리듬으로 때우기
① 기존 기억 확인 — '중요성'을 들으면 일상어로는 '중요한 정도', 회계에서는 '금액이 큰 항목'이 먼저 떠오른다 (선행 간섭 발생 지점) ② 의미 좁히기 — ITAF 1204에서 중요성은 '이 결함이 감사 의견·결론에 영향을 주는가'다. 금액 크기가 아니라 '감사 결론을 바꾸는가'로 좁힌다 ③ 연결 고리 — 중요성이 크다 = 감사 절차의 성격·시기·범위(nature, timing, extent)를 바꿀 만큼 위험이 크다 ④ 스키마 통합 — '작은 금액이라도 통제 자체가 무너지면(예: 접근권한 전체 미검토) 중요성이 높다'는 IT감사 특유의 사례로 완성
'중요성=금액'으로 남겨두면 시험에서 '소규모 서버 1대의 접근통제 실패가 왜 중요한가' 유형 문제를 못 푼다. 회계감사 출신 개념을 그대로 들고 오면 걸리는 대표 함정
진짜 암기는 책을 덮은 뒤에 시작된다
①요약 ②개수 세기 ③제목 붙이기 ④꺼내기(테스트)를 계속 순환시킨다. 제목은 덩어리를 들어올리는 '손잡이'다. 제목만으로 내용이 압축 풀리듯 나와야 한다. 사람이 동시에 붙잡는 덩어리는 한두 개뿐이므로 반드시 묶어서(청킹) 넣는다.
하지 말 것 예쁜 요약노트(기록물) 만들기 — 내가 만든 자료 품질이 교재보다 좋을 수 없다. 필기의 성공 기준은 잘 옮겼냐가 아니라 잘 꺼내지냐다
① 요약 — 8개조를 들으며 덩어리로 나눈다: 1001~1004(누가·어떤 자격으로 감사하는가) / 1005~1008(어떻게 수행하는가) ② 개수 세기 — 4+4로 두 덩어리 ③ 제목 붙이기 — 앞 덩어리 '자격 요건'(헌장·독립성 2종·기대), 뒤 덩어리 '수행 요건'(주의·전문성·주장·기준) ④ 꺼내기 — 책 덮고 '자격 요건 4개'만 떠올려본다. 안 나오면 다시 원문으로
8개 조문을 순서대로 외우면 순서만 기억나고 각 조문의 취지가 안 나온다. '자격 vs 수행'이라는 손잡이를 붙이면 조문 번호를 몰라도 취지로 역추적할 수 있다
객관식에 두문자를 쓰면 시험장에서 백지가 된다
기억은 연합망(그물망)으로 저장되고 인출은 하나의 단서에서 출발한다. 두문자는 그 연합망 바깥에 따로 얹힌 것이라 시험장의 문제 키워드가 그것을 끌어당기지 못한다. 책상에서 잘 떠오르는 건 단서가 가득하고 단기기억이 살아있기 때문이며, 이게 '외워졌다'는 착각을 만든다.
하지 말 것 두문자부터 만들고 나중에 이해하기 / 강사가 준 두문자를 그대로 외우기
① 전체 뼈대 — 왜 6개, 왜 이 순서인가: 시간 순서다. 위험을 관장하고(GV) 파악하고(ID) 막고(PR) 알아채고(DE) 조치하고(RS) 되살린다(RC) — 사고 발생 전(GV·ID·PR) → 발생 중(DE·RS) → 발생 후(RC) ② 세부 이해 — 각 기능의 정의 ③ 예시 — GV가 없던 1.1판과 CSF 2.0의 차이(사이버보안을 재무·평판급 기업위험으로 격상) ④ 스토리로 묶기 — '사고 전-중-후' 타임라인 ⑤ (마지막) 그래도 순서가 안 외워지면 두문자 'GV-I-P-D-R-R'을 붙인다 — 처음이 아니라 마지막에
'GIPDRR'을 먼저 외우면 각 글자가 뭘 뜻하는지 나중에 헷갈린다. '사고 전-중-후'라는 시간 흐름을 먼저 잡아야 문제에서 '침해가 발생한 직후 취할 조치는?'같은 시나리오형 질문에 즉시 RS로 반응한다
인터리빙 연구는 '분별' 실험이지 '개념 학습' 실험이 아니다
자주 인용되는 교차학습(인터리빙) 연구들은 화풍 구별·도형 공식 선택 등 패턴 인식 과제였고, 2014년 연구는 중학생 대상이었다. 성인은 에피소딕 메모리를 쓰기 때문에 한 과목을 하루 4~8시간 진득하게 파야 안착된다. 잘못 적용하면 인지 과부하와 유창성 착각(공부한 느낌만 남는 상태)이 생긴다.
하지 말 것 하루에 3~4개 도메인 진도 빼기 / 주 단위로 도메인 번갈아 가기
① 블록 인풋 — 5개 도메인(EDM·APO·BAI·DSS·MEA)을 절대 한 번에 다 안 본다. EDM 5개부터 하루~이틀 진득하게 ② 한 유형만 — EDM을 다 이해했으면 EDM 관련 문제만 몰아서 풀어 정확도 확보 ③ 도메인 내 섞기 — 다음은 APO 14개로 넘어가되, 가끔 EDM을 되짚어 '이게 거버넌스였나 관리였나' 확인 ④ 거시 교차는 40개를 다 본 뒤, 시험 직전에만 5개 도메인을 섞어 '이 목표는 어느 도메인 소속인가' 분류 훈련
40개를 GV·APO·BAI·DSS·MEA 순서로 하루에 8개씩 '진도 빼기'로 접근하면 그날 배운 게 다음날 안 남는다. EDM(5개, 거버넌스)을 완전히 소화한 뒤에야 APO(14개, 관리)로 넘어가는 게 실제 안착된다
복습은 기억이 가물가물할 때 해야 강화된다
문제는 복습의 빈도가 아니라 저장강도다. 인출이 안 되는 것과 기억이 없는 것은 다르다. 또렷할 때 복습하면 자극이 없고, 완전히 잊은 뒤엔 복구 비용이 크다. 그 사이 '가물가물한 지점'이 최적 복습점이며, 한 도메인을 깊이 팔 때 자연히 그 타이밍이 온다.
하지 말 것 백지 복습(전부 다시 쓰기) / 불안해서 자주 보기 — 불안 해소는 실력이 아니다
기출은 푸는 게 아니라 분석하는 것이다
기출 문항이 그대로 재출제되는 비율은 극히 낮고 대부분 선지가 바뀌어 나온다. 따라서 '몇 개 맞췄나'가 아니라 어떤 지식이 어떤 유형으로 어떤 빈도로 나오는지를 뽑아내야 한다.
하지 말 것 기출을 실력 테스트로 쓰기 / 연도·숫자만 외우기
'강의 2회 · 교재 3회독 · 1600제 3회독'을 그대로 따르면 안 되는 이유
한국 합격수기에서 골든룰처럼 도는 조합이 있다: 온라인 강의 2회 / 교재 3회독 / 문제집(1490~1600제) 3회독. 준비기간은 직장인 2개월 ~ 5개월 사례가 보인다. 문제집은 5개 도메인 이론을 먼저 훑은 뒤 시작하라는 조언이 공통적이다. 도메인들이 유기적으로 얽혀 같은 논점이 여러 도메인에서 반복되기 때문이다.
하지 말 것 회독 '횟수'를 목표로 삼기 / 이론 없이 문제집부터 돌리기 / 도메인 5를 시간 없다고 뒤로 미루기
문제 단서에 '반응'하는 회로를 만든다
아웃풋은 지식을 빼 쓰는 과정이고 속도가 핵심이다. 암기형은 단어를 보고 즉시 정답군이 떠오르게, 사고형은 문제 구조에 반응하게, 계산형은 유형별 템플릿이 떠오르게 각각 다르게 훈련한다.
하지 말 것 문제를 순진하게 읽고 그 자리에서 이해하려 하기
① 전형적 문항 구조 — 4개 선지가 전부 '틀린 말은 아닌' 상황에서 'IS 감사인이 취할 가장 적절한(BEST) 조치는?'을 묻는다. 정답 하나를 딱 골라내는 게 아니라 우선순위를 매기는 문제 ② 반응 훈련 — 문제 줄기(stem)에서 조동사·수식어를 먼저 찾는다: 'FIRST'면 순서상 가장 먼저, 'BEST'면 최선, 'MOST LIKELY'면 개연성 ③ 소거 — 지나치게 기술적이거나(기술자 관점), 지나치게 운영적이거나, 거버넌스 원칙에서 벗어난 선지부터 제거 ④ 남은 2개 중 하나가 '즉각 조치'고 하나가 '경영진 보고'라면, ISACA는 대개 위험을 먼저 알리는 쪽(보고·에스컬레이션)을 감사인의 역할로 본다
CISA는 지식 시험이 아니라 '감사인의 관점'을 평가하는 시험이다. 정답을 아는 것과 이 우선순위 감각을 갖추는 것은 다른 능력이라 반드시 시나리오 문항으로 따로 훈련해야 한다
버릴 문제를 미리 정해두면 당황하지 않는다
쉬운 문제부터 순서대로 풀고 모르는 문제는 빠르게 넘긴다. 버릴 수 있는 문항 수를 시험 전에 계산해두면 당황이 줄어든다. 다만 그 계산의 기준을 틀리게 잡는 사람이 많다. 감정 반응은 미리 반복 연습해 줄인다.
하지 말 것 450/800 을 '56%만 맞으면 된다'로 읽고 66문항을 버릴 수 있다고 계산하기. 척도가 200에서 시작하고 변환이 비선형이라 실제 필요 정답률은 약 65~75%(98~112문항)다. 이 오해로 20문항 넘게 과소평가하면 그대로 불합격이다.
의지가 아니라 방법의 문제다
같은 시간을 더 밀도 있게 쓰는 것이 핵심이다. 하루를 몇 개의 블록으로 나누고, 이해 중심 작업과 사고 중심 작업을 번갈아 배치해 지루함으로 인한 효율 저하를 막는다.
하지 말 것 자투리 시간에 새 개념 인풋 넣기 / 긴 시간을 확보해야만 공부할 수 있다고 믿기
기록 없이 판단하면 주관에 갇힌다
메타인지는 자신의 행동과 성과를 객관적으로 기록하고 점검하는 능력이다. 공부량과 결과를 수치화해 무엇이 효과가 있었는지 확인한다.
하지 말 것 기록 없이 감으로 진도 판단하기
ISACA 공식 Exam Content Outline 전문(무료). 총 60개 세부 주제이고 150문항이므로 주제당 평균 2~3문항이다. 교재 목차 대신 이것을 회독 체크리스트의 정본으로 쓴다 — 출제 범위의 유일한 공식 명세이기 때문이다. 각 주제를 암기 루틴의 '한 덩어리'로 잡고 제목(손잡이)을 붙인 뒤 인출 테스트를 건다.
D1-A '① IS 감사 표준·지침·윤리강령'의 1차 근거. ISACA 5판 PDF는 직접 접근이 막혀 있어(회원 스토어 경유) 조문 번호·내용은 3~4판 PDF와 ISACA 공식 요약(1000/1200/1400 시리즈 구분)을 서드파티 교육자료로 교차 확인한 것이다. 시리즈 구분과 조문 취지는 판을 거쳐 안정적이지만, 5판에서 조문이 추가·통합됐을 가능성이 있으므로 정확한 조문 번호가 필요하면 무료 정식 PDF(isaca.org/itaf)로 대조할 것.
D1~D5 각각의 1차 근거. D1은 ITAF(위 섹션), D2는 COBIT, D3는 단일 표준이 없어 SDLC 방법론 비교로 대체, D4(B)는 BCP/DRP 표준 개념, D5는 NIST CSF다.
D3는 단일 표준이 없다고 앞서 밝혔지만, 방법론 자체는 비교표로 정리할 수 있다. 시험은 '이 상황엔 어느 방법론이 적합한가'를 묻지, 방법론 정의 자체를 묻지 않는다.
총 40개 거버넌스·관리 목표. EDM은 거버넌스(이사회 수준), 나머지 4개는 관리(경영진 수준) — 이 구분 자체가 시험에 자주 나온다.
이 5개 용어의 정의를 정확히 구분하는 게 D4-B 문제의 절반이다. 특히 RTO/RPO를 서로 바꿔 묻는 오답 선지가 전형적이다.
BCP는 비필수 업무 포함 조직 전체의 연속성 계획(대체 근무지·커뮤니케이션·공급망 포함)이고, DRP는 그중 IT 인프라·시스템 복구만 다루는 하위 계획이다. 'DRP가 BCP의 상위'라고 거꾸로 외우면 오답이다.
NIST CSF 2.0 (2024) — 6개 기능. 2.0에서 'Govern'이 신설되며 거버넌스가 다른 5개 기능과 나란히 놓였다: 사이버보안은 재무·평판과 함께 최고경영진이 고려할 기업 위험이라는 관점.
이론 정리의 근거는 여기서 시작한다. 교재 요약본이 아니라 원문이다.
ITAF 5th Edition (IT Audit Framework) 무료 (회원·비회원 동일, 번역본 있음) 도메인 1의 1차 근거. 1000 일반표준(윤리·독립성·객관성·정당한 주의) / 1200 수행표준(계획·범위·위험과 중요성·증거) / 1400 보고표준. 5판은 클라우드·AI/ML·지속적 보증·AI 거버넌스까지 확장됐다 ISACA Interactive Glossary 무료 (EN·中·FR·DE·JA·ES — 한국어 없음) 용어를 '시험 맥락 의미'로 좁히는 데 쓰는 공식 정의. 정교화 카드가 말하는 선행 간섭을 끊는 도구 CISA Exam Content Outline 무료 도메인별 세부 태스크·지식 명세. 학습 범위의 정본이며 회독 체크리스트로 그대로 쓸 수 있다 CISA Practice Quiz 무료 문항 유형·난이도 감각용 맛보기 COBIT / Risk IT Framework 일부 무료 (항목별 상이) 도메인 2 거버넌스의 배경 프레임워크품질 편차가 크므로 ISACA 1차 자료와 대조하며 쓸 것.
SteadyCert 무료 CISA 노트 무료 (가입 불필요) 5개 도메인 시각 자료. 개념 훑기용 Inside Cloud and Security — CISA Exam Prep (YouTube) 무료 도메인 1~5를 A/B로 나눈 10편. 이 위키의 자동 수집 대상에 포함되어 있다'CISA 기출문제/덤프'를 파는 사이트와 일부 GitHub 저장소는 응시자가 시험장에서 외워 유출한 문항이다. ISACA 인증 계약 위반이며 무관용 정책상 점수 무효화 및 자격 취소 대상이다. 취득하려는 자격을 잃는 위험이라 쓰지 않는다. 실제 시험은 선지가 바뀌어 출제되므로 덤프 암기로는 뚫리지도 않는다.