CISA 학습 허브

드림스쿨 공부법을 CISA 준비에 적용하기

근거 — DreamSchool 이윤규 자막 30편 분석 (정독 7 · 로컬LLM 압축 23) · 위키로

시험 구조

150문항 (5개 도메인)4시간200~800 척도점수, 450점 이상 합격

450/800 을 56% 로 읽으면 안 된다. 척도가 0이 아니라 200에서 시작하고 원점수→척도 변환이 비선형이라, 실제로는 대략 65~75% (150문항 중 약 98~112문항) 정답이 필요하다. 회차별 난이도 보정 때문에 정확한 환산표는 공개되지 않는다.

도메인 4+5 가 52% — 시험의 절반 이상. 도메인 3은 12%로 가장 가볍다.

도메인 배점은 '그 영역이 시험에서 차지하는 비중'일 뿐, 합격 판정은 도메인 구분 없이 전체 정답 수로 한다 (ISACA 명시). 즉 특정 도메인 과락은 없다.

출처: isaca.org — CISA Exam Content Outline / Exam Candidate Guide

준비 로드맵

1

1단계 · 인풋 (블록)

착수 ~ 전체기간 40%

도메인별 스키마 구축. 이해를 만드는 구간

  • 한 번에 한 도메인만 판다. 5개 도메인을 번갈아 보지 않는다
  • 이해 = 내가 아는 가장 쉬운 말로 바꿔 설명 + 원리까지 설명 가능한 상태
  • 용어는 상식적 의미가 아니라 CISA 맥락 의미로 좁혀서 정착시킨다

⚠ 이 구간이 가장 고통스럽다. 고통이 없으면 저장강도가 안 생긴다

2

2단계 · 인풋 심화 + 암기 루틴

40% ~ 65%

이해한 것을 인출 가능한 기억으로 전환

  • 챕터마다 4단계 암기 루틴(요약 → 개수 → 제목 → 꺼내기) 적용
  • 두문자는 이 단계에서 쓰지 않는다. 맥락이 먼저다
  • 복습은 챕터 직후 10분 + 자기 전 정리로 고정

⚠ 예쁜 요약노트를 만들고 싶어지는 구간. 기록물이 아니라 단서를 남긴다

3

3단계 · 아웃풋 + 기출 패턴

65% ~ 90%

문제 단서에 반응하는 회로 만들기

  • 기출은 '맞췄냐'가 아니라 '책에서 본 기억이 이 단서로 나오냐'로 테스트
  • 한 유형만 몰아서 풀어 정확도 확보 → 그 다음 도메인 내에서 유형 섞기
  • 오답 선지의 함정 표현을 별도로 수집한다

⚠ 기출 정답률로 실력을 판단하지 않는다. 인출 성공률로 판단한다

4

4단계 · 전 도메인 교차 + 실전

마지막 10%

실제 시험 조건 재현

  • 이때 처음으로 5개 도메인을 하루에 섞어 푼다
  • 버려도 되는 문제 개수를 미리 계산해둔다
  • 정착 안 된 부분만 리인풋 — 리인풋 시엔 다시 한 도메인씩(블로킹)
  • 마지막 빈틈에만 두문자를 붙인다 (전체 분량의 5~10% 이하)

⚠ 이 단계 전에 교차 학습을 시작하면 저장강도가 만들어지지 않는다

학습 원리 13가지

🪨

저장강도 vs 인출강도

시험장에서 꺼낼 수 있는 기억은 장기기억뿐이다

인출강도는 '지금 이 순간 꺼낼 수 있는 능력'이고, 저장강도는 '장기기억에 새겨진 깊이'다. 반복·밑줄·형광펜은 인출강도만 올리고 금방 떨어진다. 저장강도는 이해하고, 내 말로 바꾸고, 기존 지식과 연결할 때만 생긴다. 저장강도가 확보된 기억은 1~3개월 안 봐도 10분~반나절이면 복구된다.

CISA 적용

  • 공부 직후 '알 것 같다'는 느낌은 신뢰하지 않는다. 3일~1주 뒤에 다시 테스트한다
  • CISA 표준·프레임워크는 조문 암기가 아니라 '왜 이 통제가 필요한가'로 저장한다
  • 복습 빈도를 늘리는 대신, 처음 볼 때 저장강도를 확보하는 데 시간을 쓴다

하지 말 것 회독 속도를 높이려 하기 / 여러 도메인 동시에 보기 / 조금 다른 문제에 막히면 더 반복하기

🔑

인출 단서 설계

공부는 저장이 아니라 검색어를 설계하는 일이다

기억이 안 나는 건 머릿속에 없어서가 아니라 꺼낼 주소(단서)를 안 만들었거나 잘못 만들어서다. 평소엔 익숙한 단서(책 위치, 형광펜, 강사 말투)로 떠올리지만 시험장엔 그런 단서가 없다. 오직 문제 속 키워드 하나뿐이다. 실험상 반복 읽기 대비 반복 인출의 일주일 뒤 회상률이 약 2.4배 높았다.

순서

  1. 책 덮고 떠올리기
  2. 시험장 단서로 변환 — 대부분 이걸 빠뜨린다
  3. 정답 단서 만들기 (이 표현이 나오면 이 흐름)
  4. 오답 단서 만들기 (이건 함정)

CISA 적용

  • '이 개념이 문제에선 어떤 표현으로 등장할까'를 반드시 거친다
  • 하나의 단서에 너무 많은 내용을 매달지 않는다 (밑줄 30개 = 특정성 상실)
  • 좋은 단서는 많이 떠오르는 게 아니라 정답 하나를 정확히 가리키는 것

하지 말 것 기출을 '몇 개 맞췄나'로 채점하기 / 책 위치·형광펜 색으로 기억하기

실전 예시 — RTO vs RPO

① 책 덮고 떠올리기 — 'RTO는 시간, RPO도 시간... 뭐가 다르지?' (여기서 막히면 정상, 계속) ② 시험장 단서로 변환 — 문제에 'RTO는 4시간'이라고 나오면 어떤 키워드가 이걸 가리키는지: '복구', '재개', '가동' 같은 동사가 오면 RTO. 'RPO는 15분'이라고 나오면 '데이터 손실', '백업 시점', '되돌릴 수 있는' 같은 명사가 오면 RPO ③ 정답 단서 — RTO=동사(복구하다)와 짝, RPO=명사(손실량)와 짝 ④ 오답 단서 — 'RPO 4시간 이내 복구'처럼 RPO에 동사를 붙인 선지가 전형적 함정

실제로 CISA 문제는 RTO/RPO를 서로 바꿔 낀 선지로 자주 나온다. 정의를 안다고 풀리는 게 아니라, 이 단서-반응 훈련을 해야 시험장에서 0.5초 만에 골라낸다

🔬

정교화 — 이해에서 기억으로

이해가 끝난 지점이 기억 공부의 시작이다

처리 수준별 기억률은 활자 15% / 리듬·노래 35% / 의미 처리 70%로 4~5배 차이가 난다. 새 지식은 기존 스키마와 충돌하는데(선행 간섭) 이때 익숙한 기존 의미가 먼저 튀어나온다. 그래서 각 단어가 이 맥락에서 어떤 의미로 좁혀지는지 명시적으로 수정해야 한다.

순서

  1. 기존 기억 확인 — 이 용어를 들으면 원래 뭐가 떠오르는가
  2. 의미 좁히기 — 이 맥락에서 그 단어는 무엇으로 바뀌는가
  3. 연결 고리 구축 — 조건과 결론을 인과로 이어붙인다
  4. 스키마 통합 — 생략된 목적어·조건을 채워 완성형으로 만든다

CISA 적용

  • CISA는 일상어와 시험 용어가 다른 대표 사례다. control, risk, materiality, evidence, assurance 모두 상식적 의미로 두면 선행 간섭이 일어난다
  • '이 통제는 무엇을 지배하는가'처럼 생략된 목적어를 찾아 채운다
  • 감사 개념은 조건 2개 + 결과 2개 식으로 개수를 세어 묶는다

하지 말 것 활자만 눈으로 훑기 / 노래·리듬으로 때우기

실전 예시 — Materiality (1204 중요성)

① 기존 기억 확인 — '중요성'을 들으면 일상어로는 '중요한 정도', 회계에서는 '금액이 큰 항목'이 먼저 떠오른다 (선행 간섭 발생 지점) ② 의미 좁히기 — ITAF 1204에서 중요성은 '이 결함이 감사 의견·결론에 영향을 주는가'다. 금액 크기가 아니라 '감사 결론을 바꾸는가'로 좁힌다 ③ 연결 고리 — 중요성이 크다 = 감사 절차의 성격·시기·범위(nature, timing, extent)를 바꿀 만큼 위험이 크다 ④ 스키마 통합 — '작은 금액이라도 통제 자체가 무너지면(예: 접근권한 전체 미검토) 중요성이 높다'는 IT감사 특유의 사례로 완성

'중요성=금액'으로 남겨두면 시험에서 '소규모 서버 1대의 접근통제 실패가 왜 중요한가' 유형 문제를 못 푼다. 회계감사 출신 개념을 그대로 들고 오면 걸리는 대표 함정

🔁

20년 암기 루틴 4단계

진짜 암기는 책을 덮은 뒤에 시작된다

①요약 ②개수 세기 ③제목 붙이기 ④꺼내기(테스트)를 계속 순환시킨다. 제목은 덩어리를 들어올리는 '손잡이'다. 제목만으로 내용이 압축 풀리듯 나와야 한다. 사람이 동시에 붙잡는 덩어리는 한두 개뿐이므로 반드시 묶어서(청킹) 넣는다.

순서

  1. 요약 — 들으면서 덩어리로 나눈다
  2. 개수 세기 — 몇 덩어리인가
  3. 제목 붙이기 — 각 덩어리의 손잡이
  4. 꺼내기 — 책 덮고 제목만으로 복원 테스트

CISA 적용

  • ④에서 '6개월 뒤 시험장에서 이 문제를 볼 때 어떤 느낌일지'를 구체적으로 상상하며 인출
  • 도메인별로 요약 노트를 새로 만들지 말고, 교재에 가필·포스트잇으로 단서를 남긴다
  • 익숙함과 기억을 구별한다. 읽을 때 편안한 건 기억이 아니다

하지 말 것 예쁜 요약노트(기록물) 만들기 — 내가 만든 자료 품질이 교재보다 좋을 수 없다. 필기의 성공 기준은 잘 옮겼냐가 아니라 잘 꺼내지냐다

실전 예시 — ITAF 1000 시리즈 (8개조)

① 요약 — 8개조를 들으며 덩어리로 나눈다: 1001~1004(누가·어떤 자격으로 감사하는가) / 1005~1008(어떻게 수행하는가) ② 개수 세기 — 4+4로 두 덩어리 ③ 제목 붙이기 — 앞 덩어리 '자격 요건'(헌장·독립성 2종·기대), 뒤 덩어리 '수행 요건'(주의·전문성·주장·기준) ④ 꺼내기 — 책 덮고 '자격 요건 4개'만 떠올려본다. 안 나오면 다시 원문으로

8개 조문을 순서대로 외우면 순서만 기억나고 각 조문의 취지가 안 나온다. '자격 vs 수행'이라는 손잡이를 붙이면 조문 번호를 몰라도 취지로 역추적할 수 있다

⚠️

두문자의 함정

객관식에 두문자를 쓰면 시험장에서 백지가 된다

기억은 연합망(그물망)으로 저장되고 인출은 하나의 단서에서 출발한다. 두문자는 그 연합망 바깥에 따로 얹힌 것이라 시험장의 문제 키워드가 그것을 끌어당기지 못한다. 책상에서 잘 떠오르는 건 단서가 가득하고 단기기억이 살아있기 때문이며, 이게 '외워졌다'는 착각을 만든다.

순서

  1. 전체 뼈대 — 왜 이 순서, 왜 이 개수인지 설명할 수 있어야 한다
  2. 세부 내용 이해 — 개념의 정의
  3. 예시와 차이점 — 구체적 예시 + 유사 개념과의 구별
  4. 스토리·맥락으로 전체 묶기
  5. (마지막) 정말 안 외워지는 5~10%에만 두문자를 붙인다

CISA 적용

  • CISA 객관식은 '맞는 것을 떠올리는 시험'이 아니라 '이상한 것을 골라내는 시험'이다
  • 정답 단어군과 오답 패턴을 분석해 '왜 이 선지가 여기 끼어 있는가'를 검증한다
  • 시간 내에 못 푸는 건 모르는 것과 같다

하지 말 것 두문자부터 만들고 나중에 이해하기 / 강사가 준 두문자를 그대로 외우기

실전 예시 — NIST CSF 2.0 — GV·ID·PR·DE·RS·RC

① 전체 뼈대 — 왜 6개, 왜 이 순서인가: 시간 순서다. 위험을 관장하고(GV) 파악하고(ID) 막고(PR) 알아채고(DE) 조치하고(RS) 되살린다(RC) — 사고 발생 전(GV·ID·PR) → 발생 중(DE·RS) → 발생 후(RC) ② 세부 이해 — 각 기능의 정의 ③ 예시 — GV가 없던 1.1판과 CSF 2.0의 차이(사이버보안을 재무·평판급 기업위험으로 격상) ④ 스토리로 묶기 — '사고 전-중-후' 타임라인 ⑤ (마지막) 그래도 순서가 안 외워지면 두문자 'GV-I-P-D-R-R'을 붙인다 — 처음이 아니라 마지막에

'GIPDRR'을 먼저 외우면 각 글자가 뭘 뜻하는지 나중에 헷갈린다. '사고 전-중-후'라는 시간 흐름을 먼저 잡아야 문제에서 '침해가 발생한 직후 취할 조치는?'같은 시나리오형 질문에 즉시 RS로 반응한다

🧱

블록 인풋 — 한 도메인씩

인터리빙 연구는 '분별' 실험이지 '개념 학습' 실험이 아니다

자주 인용되는 교차학습(인터리빙) 연구들은 화풍 구별·도형 공식 선택 등 패턴 인식 과제였고, 2014년 연구는 중학생 대상이었다. 성인은 에피소딕 메모리를 쓰기 때문에 한 과목을 하루 4~8시간 진득하게 파야 안착된다. 잘못 적용하면 인지 과부하와 유창성 착각(공부한 느낌만 남는 상태)이 생긴다.

순서

  1. 블록 인풋 — 한 도메인만 (스키마 구축)
  2. 한 유형만 몰아서 풀기 (정확도 확보)
  3. 도메인 내에서 유형 섞기 (미시 교차 · 패턴 인식)
  4. 전 도메인 섞기 (거시 교차 · 시험 직전에만)

CISA 적용

  • 도메인이 5개여도 '한 과목'으로 취급한다. 하루에 여러 도메인을 오가지 않는다
  • 한 도메인을 깊이 파면 앞뒤 개념을 자연히 되짚게 되어 별도 복습이 줄어든다
  • 예외: 약어·전문용어는 얕은 장기기억이라 매일 반복이 필요하다 (CISA는 이게 많다)

하지 말 것 하루에 3~4개 도메인 진도 빼기 / 주 단위로 도메인 번갈아 가기

실전 예시 — COBIT 2019 — 40개 목표

① 블록 인풋 — 5개 도메인(EDM·APO·BAI·DSS·MEA)을 절대 한 번에 다 안 본다. EDM 5개부터 하루~이틀 진득하게 ② 한 유형만 — EDM을 다 이해했으면 EDM 관련 문제만 몰아서 풀어 정확도 확보 ③ 도메인 내 섞기 — 다음은 APO 14개로 넘어가되, 가끔 EDM을 되짚어 '이게 거버넌스였나 관리였나' 확인 ④ 거시 교차는 40개를 다 본 뒤, 시험 직전에만 5개 도메인을 섞어 '이 목표는 어느 도메인 소속인가' 분류 훈련

40개를 GV·APO·BAI·DSS·MEA 순서로 하루에 8개씩 '진도 빼기'로 접근하면 그날 배운 게 다음날 안 남는다. EDM(5개, 거버넌스)을 완전히 소화한 뒤에야 APO(14개, 관리)로 넘어가는 게 실제 안착된다

⏱️

복습 타이밍

복습은 기억이 가물가물할 때 해야 강화된다

문제는 복습의 빈도가 아니라 저장강도다. 인출이 안 되는 것과 기억이 없는 것은 다르다. 또렷할 때 복습하면 자극이 없고, 완전히 잊은 뒤엔 복구 비용이 크다. 그 사이 '가물가물한 지점'이 최적 복습점이며, 한 도메인을 깊이 팔 때 자연히 그 타이밍이 온다.

순서

  1. 챕터 종료 직후 10분 — 머리에 적재할 지식을 선별
  2. 자기 전 — 그날 전체를 한 번 훑어 정리
  3. 다음날 시작 전 10분 — 쟁점 형태로 스스로에게 질문
  4. 이후 주기를 점차 확장 (1-4-7-14 식)

CISA 적용

  • 복습 대상과 학습 대상을 구분한다. 이해 안 된 것은 복습이 아니라 재학습이다
  • 쟁점 노트는 '내용 정리'가 아니라 '시험 문제 형태'로 환원해 적는다

하지 말 것 백지 복습(전부 다시 쓰기) / 불안해서 자주 보기 — 불안 해소는 실력이 아니다

🔎

기출 분석

기출은 푸는 게 아니라 분석하는 것이다

기출 문항이 그대로 재출제되는 비율은 극히 낮고 대부분 선지가 바뀌어 나온다. 따라서 '몇 개 맞췄나'가 아니라 어떤 지식이 어떤 유형으로 어떤 빈도로 나오는지를 뽑아내야 한다.

순서

  1. 문제를 풀며 어떤 지식이 사용됐는지 표시
  2. 출제 빈도 집계 — 어떤 주제가 반복되는가
  3. 문제 유형 분류 — 그 지식이 어떤 형태로 변형되는가
  4. 오답 선지의 함정 표현 수집

CISA 적용

  • 도메인별 빈출 주제 표를 만들어 학습 우선순위를 정한다
  • 기출을 3회 이상 봤는데 틀린다면 공부 방식 자체를 재검토한다
  • 시험에 안 나오는 범위를 걷어내 학습량을 줄인다

하지 말 것 기출을 실력 테스트로 쓰기 / 연도·숫자만 외우기

📗

CISA 수험 통념과 그 검증

'강의 2회 · 교재 3회독 · 1600제 3회독'을 그대로 따르면 안 되는 이유

한국 합격수기에서 골든룰처럼 도는 조합이 있다: 온라인 강의 2회 / 교재 3회독 / 문제집(1490~1600제) 3회독. 준비기간은 직장인 2개월 ~ 5개월 사례가 보인다. 문제집은 5개 도메인 이론을 먼저 훑은 뒤 시작하라는 조언이 공통적이다. 도메인들이 유기적으로 얽혀 같은 논점이 여러 도메인에서 반복되기 때문이다.

순서

  1. 도메인 1~5 이론을 한 바퀴 (강의 또는 교재)
  2. 그 다음에 문제집 착수 — 이론 없이 문제부터 풀지 않는다
  3. 모르는 개념·용어는 따로 적어두고 교재에서 찾아 다시 읽는다
  4. 도메인별 배분: 1·2는 이론 비중 / 3·4는 반반 / 5는 문제 비중

CISA 적용

  • 배점상 도메인 4·5가 52%다. 시간이 부족하면 3(12%)을 줄이지 4·5를 줄이면 안 된다
  • '3회독'을 눈으로 훑는 3회독으로 하면 이 위키의 다른 카드가 경고하는 눈알 회독이 된다. 회차마다 목적을 다르게 둘 것 — 1회 이해, 2회 인출 단서 만들기, 3회 오답 패턴 수집
  • 문제집 회독 수는 목표가 아니라 결과다. 같은 문제를 3번 맞히는 것보다 선지가 바뀌어도 맞히는지가 기준

하지 말 것 회독 '횟수'를 목표로 삼기 / 이론 없이 문제집부터 돌리기 / 도메인 5를 시간 없다고 뒤로 미루기

🎯

아웃풋 훈련

문제 단서에 '반응'하는 회로를 만든다

아웃풋은 지식을 빼 쓰는 과정이고 속도가 핵심이다. 암기형은 단어를 보고 즉시 정답군이 떠오르게, 사고형은 문제 구조에 반응하게, 계산형은 유형별 템플릿이 떠오르게 각각 다르게 훈련한다.

CISA 적용

  • CISA 시나리오 문항은 '사고형'이다. 지문 구조에서 무엇을 묻는지 먼저 잡는 연습을 한다
  • 피로 상태에서도 인출되는지 실전 조건으로 훈련한다
  • 모르는 문제에 대한 대응 매뉴얼을 미리 만들어둔다

하지 말 것 문제를 순진하게 읽고 그 자리에서 이해하려 하기

실전 예시 — BEST/MOST/FIRST 문제 유형

① 전형적 문항 구조 — 4개 선지가 전부 '틀린 말은 아닌' 상황에서 'IS 감사인이 취할 가장 적절한(BEST) 조치는?'을 묻는다. 정답 하나를 딱 골라내는 게 아니라 우선순위를 매기는 문제 ② 반응 훈련 — 문제 줄기(stem)에서 조동사·수식어를 먼저 찾는다: 'FIRST'면 순서상 가장 먼저, 'BEST'면 최선, 'MOST LIKELY'면 개연성 ③ 소거 — 지나치게 기술적이거나(기술자 관점), 지나치게 운영적이거나, 거버넌스 원칙에서 벗어난 선지부터 제거 ④ 남은 2개 중 하나가 '즉각 조치'고 하나가 '경영진 보고'라면, ISACA는 대개 위험을 먼저 알리는 쪽(보고·에스컬레이션)을 감사인의 역할로 본다

CISA는 지식 시험이 아니라 '감사인의 관점'을 평가하는 시험이다. 정답을 아는 것과 이 우선순위 감각을 갖추는 것은 다른 능력이라 반드시 시나리오 문항으로 따로 훈련해야 한다

🏁

시험장 전략

버릴 문제를 미리 정해두면 당황하지 않는다

쉬운 문제부터 순서대로 풀고 모르는 문제는 빠르게 넘긴다. 버릴 수 있는 문항 수를 시험 전에 계산해두면 당황이 줄어든다. 다만 그 계산의 기준을 틀리게 잡는 사람이 많다. 감정 반응은 미리 반복 연습해 줄인다.

CISA 적용

  • 150문항 / 4시간 = 문항당 96초. 이 감각을 몸에 익힌 상태로 들어간다
  • 버릴 수 있는 문항은 넉넉잡아 40~50개 수준으로 본다 (아래 '하지 말 것' 참조)
  • 약점 도메인 문항은 우선 넘기고 회차를 나눠 되돌아온다
  • 도메인 과락은 없다 — 전체 정답 수로만 판정하므로 약한 도메인을 버리고 강한 곳에서 벌어도 된다
  • 2-패스 전략: 1회차는 80% 이상 확신하는 문항만 풀며 전체를 훑는다. 두 선지 사이에서 90초 이상 고민되면 최선의 답을 찍고 '검토 표시' 후 다음으로 — 2회차에 남은 시간으로 되돌아온다

하지 말 것 450/800 을 '56%만 맞으면 된다'로 읽고 66문항을 버릴 수 있다고 계산하기. 척도가 200에서 시작하고 변환이 비선형이라 실제 필요 정답률은 약 65~75%(98~112문항)다. 이 오해로 20문항 넘게 과소평가하면 그대로 불합격이다.

💼

직장인 운영법

의지가 아니라 방법의 문제다

같은 시간을 더 밀도 있게 쓰는 것이 핵심이다. 하루를 몇 개의 블록으로 나누고, 이해 중심 작업과 사고 중심 작업을 번갈아 배치해 지루함으로 인한 효율 저하를 막는다.

CISA 적용

  • 자투리 시간엔 짧은 인출 테스트를, 긴 블록엔 새 인풋을 배치한다
  • 자기 전 복습 → 아침 재인출 사이클을 고정한다
  • 주중엔 진도, 주말엔 집중 보충으로 역할을 나눈다

하지 말 것 자투리 시간에 새 개념 인풋 넣기 / 긴 시간을 확보해야만 공부할 수 있다고 믿기

🪞

메타인지 · 기록

기록 없이 판단하면 주관에 갇힌다

메타인지는 자신의 행동과 성과를 객관적으로 기록하고 점검하는 능력이다. 공부량과 결과를 수치화해 무엇이 효과가 있었는지 확인한다.

CISA 적용

  • 도메인별 학습 시간과 기출 정답률을 기록해 배분을 조정한다
  • '열심히 했다'는 느낌 대신 인출 성공률로 판단한다

하지 말 것 기록 없이 감으로 진도 판단하기

이론 뼈대 — 공식 출제범위 60주제

ISACA 공식 Exam Content Outline 전문(무료). 총 60개 세부 주제이고 150문항이므로 주제당 평균 2~3문항이다. 교재 목차 대신 이것을 회독 체크리스트의 정본으로 쓴다 — 출제 범위의 유일한 공식 명세이기 때문이다. 각 주제를 암기 루틴의 '한 덩어리'로 잡고 제목(손잡이)을 붙인 뒤 인출 테스트를 건다.

D4 정보시스템 운영 및 비즈니스 복원력 26% · 약 39문항 · 16주제

A. 정보시스템 운영

  1. IT 구성요소
  2. IT 자산 관리
  3. 작업 스케줄링과 생산 프로세스 자동화
  4. 시스템 인터페이스
  5. 섀도 IT와 최종사용자 컴퓨팅
  6. 시스템 가용성과 용량 관리
  7. 문제 및 인시던트 관리
  8. IT 변경·구성·패치 관리
  9. 운영 로그 관리
  10. IT 서비스 수준 관리
  11. 데이터베이스 관리

B. 비즈니스 복원력

  1. 비즈니스 영향 분석(BIA)
  2. 시스템 및 운영 복원력
  3. 데이터 백업·보관·복구
  4. 업무연속성계획(BCP)
  5. 재해복구계획(DRP)
D5 정보자산 보호 26% · 약 39문항 · 15주제

A. 정보자산 보안과 통제

  1. 정보자산 보안 프레임워크·표준·지침
  2. 물리적·환경적 통제
  3. 식별 및 접근 관리(IAM)
  4. 네트워크 및 엔드포인트 보안
  5. 데이터 유출 방지(DLP)
  6. 데이터 암호화
  7. 공개키 기반구조(PKI)
  8. 클라우드 및 가상화 환경
  9. 모바일·무선·IoT 기기

B. 보안 이벤트 관리

  1. 보안 인식 교육 및 프로그램
  2. 정보시스템 공격 기법
  3. 보안 테스트 도구와 기법
  4. 보안 모니터링 도구와 기법
  5. 보안 인시던트 대응 관리
  6. 증거 수집과 포렌식
D1 정보시스템 감사 프로세스 18% · 약 27문항 · 10주제

A. 계획 (Planning)

  1. IS 감사 표준·지침·윤리강령
  2. 감사·평가·검토의 유형
  3. 위험 기반 감사 계획
  4. 통제의 유형과 고려사항

B. 수행 (Execution)

  1. 감사 프로젝트 관리
  2. 감사 테스트 및 표본추출 방법론
  3. 감사 증거 수집 기법
  4. 감사 데이터 분석
  5. 보고 및 커뮤니케이션 기법
  6. 감사 프로세스의 품질보증과 개선
D2 IT 거버넌스 및 관리 18% · 약 27문항 · 11주제

A. IT 거버넌스

  1. 법률·규제·산업 표준
  2. 조직 구조, IT 거버넌스, IT 전략
  3. IT 정책·표준·절차·관행
  4. 엔터프라이즈 아키텍처와 고려사항
  5. 전사적 위험관리(ERM)
  6. 프라이버시 프로그램과 원칙
  7. 데이터 거버넌스와 분류

B. IT 관리

  1. IT 자원 관리
  2. IT 공급업체 관리
  3. IT 성과 모니터링 및 보고
  4. IT 품질보증과 품질관리
D3 정보시스템 도입·개발·구현 12% · 약 18문항 · 8주제

A. 도입 및 개발

  1. 프로젝트 거버넌스와 관리
  2. 비즈니스 케이스와 타당성 분석
  3. 시스템 개발 방법론
  4. 통제 식별과 설계

B. 구현

  1. 시스템 준비도와 구현 테스트
  2. 구현 구성 및 릴리스 관리
  3. 시스템 마이그레이션·인프라 배포·데이터 변환
  4. 구현 후 검토

D1 근거 원문 — ITAF 표준 17개조

1000 — 일반표준윤리·독립성·객관성·정당한 주의. 모든 업무(assignment)에 적용

1001 감사 헌장 (Audit Charter) 감사 기능의 목적·책임·권한·소재를 헌장으로 문서화하고 조직 내 적절한 수준의 승인을 받는다
1002 조직적 독립성 감사 대상 영역·활동으로부터 독립 — 완전한 조직적 독립성을 행사할 수 있는 수준에 보고
1003 직업적 독립성 태도와 외관 모두에서 독립적·객관적. 정신적 독립성 + 외관상 독립성
1004 합리적 기대 감사 기준에 따라 업무를 완료해 전문가 의견·결론에 도달할 수 있다는 합리적 기대를 가져야 한다
1005 정당한 전문가적 주의 감사 전 과정에서 정당한 주의(due professional care)를 적용
1006 전문성 (Proficiency) 업무 수행에 필요한 지식·기술을 보유하고 지속적 교육으로 전문성을 유지
1007 주장 검토 (Assertions) 감사 대상이 되는 주장(assertion)이 감사 가능하고 충분·타당·관련성 있는지 검토
1008 기준 (Criteria) 평가 기준은 객관적·완전·관련성 있고 측정 가능하며 널리 인정되고 이해 가능해야 한다

1200 — 수행표준계획·위험평가·증거·감독. 업무 수행 방식을 다룸

1201 업무 계획 (Engagement Planning) 목표·범위·일정·산출물, 법규 준수, 위험 기반 접근, 문서화·보고 요건을 포함해 계획
1202 계획 단계 위험평가 적절한 위험평가 방법론으로 전체 감사 계획을 수립하고 자원 배분 우선순위를 정한다
1203 수행과 감독 감사 목표 달성에 충분·적절한 증거를 확보하고, 증거를 뒷받침하는 분석·해석과 함께 문서화
1204 중요성 (Materiality) 감사 절차의 성격·시기·범위를 정할 때 감사 중요성과 감사 위험의 관계를 고려
1205 증거 (Evidence) 결론을 뒷받침하고 업무 목표를 달성할 적절하고 충분한 증거를 확보
1206 타 전문가 활용 필요 시 다른 전문가의 작업을 활용할 수 있다 — 활용 전 역량·독립성 평가 필요
1207 부정 및 위법행위 감사 중 발견된 부정·위법행위 징후를 어떻게 다룰지 규정

1400 — 보고표준보고서 유형·전달 방식·후속조치

1401 보고 (Reporting) 업무 완료 시 결과를 보고 — 기업·수신자 식별, 범위·목표, 발견사항·결론, 범위상 한계, 서명·배포를 포함
1402 후속조치 (Follow-up Activities) 경영진이 보고된 발견사항·권고에 대해 적시에 적절한 조치를 계획·시행했는지 모니터링

D1-A '① IS 감사 표준·지침·윤리강령'의 1차 근거. ISACA 5판 PDF는 직접 접근이 막혀 있어(회원 스토어 경유) 조문 번호·내용은 3~4판 PDF와 ISACA 공식 요약(1000/1200/1400 시리즈 구분)을 서드파티 교육자료로 교차 확인한 것이다. 시리즈 구분과 조문 취지는 판을 거쳐 안정적이지만, 5판에서 조문이 추가·통합됐을 가능성이 있으므로 정확한 조문 번호가 필요하면 무료 정식 PDF(isaca.org/itaf)로 대조할 것.

D2·D4·D5 근거 원문 — COBIT · BCP/DRP · NIST CSF

D1~D5 각각의 1차 근거. D1은 ITAF(위 섹션), D2는 COBIT, D3는 단일 표준이 없어 SDLC 방법론 비교로 대체, D4(B)는 BCP/DRP 표준 개념, D5는 NIST CSF다.

D3. 정보시스템 도입·개발·구현 — SDLC 방법론 비교

D3는 단일 표준이 없다고 앞서 밝혔지만, 방법론 자체는 비교표로 정리할 수 있다. 시험은 '이 상황엔 어느 방법론이 적합한가'를 묻지, 방법론 정의 자체를 묻지 않는다.

Waterfall (폭포수) 선형 순차 — 요구사항→설계→구현→테스트→배포, 역행 없음 적합 요구사항이 명확하고 거의 안 바뀌는 프로젝트. 규제·감사 추적이 중요한 시스템 리스크 한 단계가 끝난 뒤 요구사항 변경이 오면 비용이 크다. 초기 요구사항 오류가 끝까지 전파된다
V-Model 각 개발 단계에 대응하는 테스트 단계를 짝지음 (요구사항↔인수테스트, 설계↔통합테스트) 적합 의료·항공·금융처럼 감사 추적(audit trail)이 필수인 고규제 시스템 리스크 Waterfall만큼 경직적 — 변경 대응력이 낮다
Agile 짧은 반복(스프린트) 단위로 요구사항·설계·구현·테스트를 계속 순환 적합 요구사항이 불확실하거나 자주 바뀌는 프로젝트. 고객 피드백이 잦은 환경 리스크 문서화가 약하면 감사 증적이 부족해질 수 있다 — 감사인은 스프린트 산출물(백로그·회고록)을 대체 증거로 본다
DevOps 개발과 운영을 통합, 지속적 통합·배포(CI/CD)와 자동화 중심 적합 빠른 릴리스 주기가 필요한 클라우드 네이티브 시스템 리스크 배포 속도가 빠른 만큼 변경관리·직무분리(SoD) 통제가 자동화 파이프라인에 내장돼 있어야 한다 — 이게 D3-A '통제 식별과 설계'의 핵심 문제 유형

D2. IT 거버넌스 및 관리 — COBIT 2019

총 40개 거버넌스·관리 목표. EDM은 거버넌스(이사회 수준), 나머지 4개는 관리(경영진 수준) — 이 구분 자체가 시험에 자주 나온다.

EDM 평가·지시·모니터링 (Evaluate, Direct, Monitor) 5개 거버넌스 — 이해관계자 요구를 평가하고 방향을 지시하며 성과를 모니터링. 이사회/최고경영진 층위 거버넌스 프레임워크 설정 · 편익 실현 · 위험 최적화 · 자원 최적화 · 이해관계자 참여
APO 정렬·계획·조직화 (Align, Plan, Organize) 14개 관리 — 전략·조직구조·예산·인력·위험·데이터 등 IT를 조직 목표에 정렬시키는 계획 수립 IT 전략 관리 · 기업 아키텍처 · 위험 관리 · 예산·비용 · 인적자원 · 공급업체 · 데이터 관리
BAI 구축·도입·구현 (Build, Acquire, Implement) 11개 관리 — 변화·자산 관리, 가용성·용량 확보, 프로젝트·변경 관리에 집중. D3(도입·개발·구현)과 가장 겹치는 지점 프로그램·프로젝트 관리 · 요구사항 정의 · 솔루션 식별·구축 · 변경 관리 · 지식 관리
DSS 전달·서비스·지원 (Deliver, Service, Support) 6개 관리 — IT 시스템의 일상 운영과 서비스 관리. D4(운영)와 가장 겹치는 지점 운영 관리 · 서비스 요청·인시던트 관리 · 문제 관리 · 연속성 관리 · 보안 서비스 관리
MEA 모니터링·평가·평가 (Monitor, Evaluate, Assess) 4개 관리 — APO·BAI·DSS 전체가 준수되는지 확인하는 감시 기능 성과·적합성 모니터링 · 내부통제 시스템 모니터링 · 외부 요구사항 준수 · 보증 평가

D4-B. 비즈니스 복원력 — BCP/DRP 핵심 용어

이 5개 용어의 정의를 정확히 구분하는 게 D4-B 문제의 절반이다. 특히 RTO/RPO를 서로 바꿔 묻는 오답 선지가 전형적이다.

BIA (Business Impact Analysis) 업무 중단이 조직에 미치는 영향을 분석하는 절차. 모든 복원력 계획의 출발점 — 이게 없으면 RTO/RPO를 정할 근거가 없다
MAO (Maximum Acceptable Outage) 업무 중단을 견딜 수 있는 절대적 한계 시간. 이 이상 넘어가면 조직에 회복 불가능한 피해
RTO (Recovery Time Objective) 장애 후 핵심 업무를 복구해야 하는 목표 '시간'. 비즈니스 요구사항이 정한다 — '얼마나 빨리 살릴 것인가'
RPO (Recovery Point Objective) 허용 가능한 데이터 손실량을 '시간'으로 표현. 백업·복제 주기를 정한다 — '어디까지 되돌릴 것인가'
MBCO (Minimum Business Continuity Objective) 복구 기간 중 유지해야 하는 최소 서비스 수준. 완전 복구가 아니라 '이 정도는 버텨야 한다'는 하한선

BCP는 비필수 업무 포함 조직 전체의 연속성 계획(대체 근무지·커뮤니케이션·공급망 포함)이고, DRP는 그중 IT 인프라·시스템 복구만 다루는 하위 계획이다. 'DRP가 BCP의 상위'라고 거꾸로 외우면 오답이다.

D5. 정보자산 보호 — NIST CSF 2.0

NIST CSF 2.0 (2024) — 6개 기능. 2.0에서 'Govern'이 신설되며 거버넌스가 다른 5개 기능과 나란히 놓였다: 사이버보안은 재무·평판과 함께 최고경영진이 고려할 기업 위험이라는 관점.

GV Govern (거버넌스) 사이버보안 위험관리 전략·기대치·정책을 수립·전달·모니터링. 2.0 신설 기능
ID Identify (식별) 조직의 현재 사이버보안 위험을 파악 — 자산·위험·취약점 목록화
PR Protect (보호) 위험 관리를 위한 안전장치 적용 — 접근통제·암호화·인식교육 등
DE Detect (탐지) 가능한 공격·침해를 발견하고 분석
RS Respond (대응) 탐지된 인시던트에 대한 조치를 실행
RC Recover (복구) 인시던트로 영향받은 자산·운영을 원상 복구

이론 자료

'CISA 기출문제/덤프'를 파는 사이트와 일부 GitHub 저장소는 응시자가 시험장에서 외워 유출한 문항이다. ISACA 인증 계약 위반이며 무관용 정책상 점수 무효화 및 자격 취소 대상이다. 취득하려는 자격을 잃는 위험이라 쓰지 않는다. 실제 시험은 선지가 바뀌어 출제되므로 덤프 암기로는 뚫리지도 않는다.

수집된 콘텐츠 (18)

구조+이미지 독해 방법론만 모았습니다. 수많은 합격자들이 공통으로 말하는 독해의 기술 (브레인 악셀 영상 아닙니다) 구조+이미지 독해 방법론만 모았습니다. 수많은 합격자들이 공통으로 말하는 독해의 기술 (브레인 악셀 영상 아닙니다) 2026-10-07 · DreamSchool 이윤규 CISA EXAM PREP - Domain 5A - Info Asset Security and Control 비즈니스 중심(Business-driven) 2026-08-30 · Inside Cloud and Security CISA EXAM PREP - Domain 5B - Security Event Management 학습의 세 가지 수준: 2026-08-30 · Inside Cloud and Security CISA EXAM PREP - Domain 3B - IS Implementation CISA EXAM PREP - Domain 3B - IS Implementation 2026-08-29 · Inside Cloud and Security CISA EXAM PREP - Domain 4A - IS Operations 7계층: 애플리케이션 계층(Application Layer) 2026-08-29 · Inside Cloud and Security CISA EXAM PREP - Domain 4B - Business Resilience 감사인의 역할: 2026-08-29 · Inside Cloud and Security CISA EXAM PREP - Domain 2A - Governance 감사자의 역할 2026-08-28 · Inside Cloud and Security CISA EXAM PREP - Domain 2B - IT Management 목표 2026-08-28 · Inside Cloud and Security CISA EXAM PREP - Domain 3A - IS Acquisition and Development 착수(Initiating) 2026-08-28 · Inside Cloud and Security 시험장에서 평소 실력대로 못 푸는 이유|기출로 만드는 문제풀이 플레이북(아웃풋 공부법 7편) 시험장 플레이북 2026-08-27 · DreamSchool 이윤규 이 세 가지만 기억하면 까먹을 수가 없어요. 공부한 내용이 꿈에 나옵니다 새로운 기술 스택 학습 (LLM 논문, 프레임워크): 2026-08-27 · DreamSchool 이윤규 CISA EXAM PREP - Domain 1B - IS Audit Process Execution 감사 프로젝트 관리(Audit Project Management): 2026-08-27 · Inside Cloud and Security 20년째 쓰는 암기루틴, 시험 전날까지 가는 암기법(인출강도/저장강도 시리즈 7편) 핵심 전제 2026-08-26 · DreamSchool 이윤규 눈알이 아니라 뇌로 책 읽고 기억 만드는 법 (인출강도/저장강도 시리즈 6편) 문제 제기 2026-08-26 · DreamSchool 이윤규 이렇게' 외우면 따로 복습하지 않아도 머리에 남습니다.(이윤규 공부법) 핵심 단어 식별: 2026-08-26 · DreamSchool 이윤규 책 정리가 공부를 좌우합니다. (이윤규 공부법) 방대한 양의 정보 관리 2026-08-26 · DreamSchool 이윤규 CISA 자격증 — 드림스쿨 공부법 적용 가이드 인출강도·저장강도 프레임을 CISA 준비에 적용한 학습 로드맵 2026-08-26 · DreamSchool 이윤규 CISA EXAM PREP - Domain 1A - IS Audit Process Planning 영상 콘텐츠 2026-08-26 · Inside Cloud and Security