정보보안 감사, 규정집 밖에서 확인할 다섯 항목

정보보안 감사 일정이 잡히면 대부분 규정집부터 준비합니다. 정보보호 규정, 접근 통제 지침, 보안 서약서까지 문서는 대체로 잘 갖춰져 있습니다. 문서가 없어서 지적받는 회사는 드뭅니다.

지적은 다른 지점에서 나옵니다. 그 규정대로 실제 운영되고 있는지 확인하는 순간입니다. 퇴직자 계정은 절차대로 회수되었는지, 접근 기록은 정한 기간만큼 남아 있는지. 문서는 이 질문에 답하지 못합니다. 시스템에 남은 기록을 열어 봐야 답이 나옵니다.

현장에서 감사를 지원할 때 먼저 요청하는 자료도 대부분 이 범위에 있습니다. 확인 순서대로 다섯 항목을 정리했습니다.

[핵심 요약]

· 규정이 있다는 사실과 규정대로 운영된다는 사실은 별개입니다. 감사 지적은 대부분 그 간격에서 나옵니다.

· 계정 권한, 접근 기록, 반출 경로, 위탁 업체, 사고 대응 절차 다섯 항목을 실제 기록과 대조합니다.

· 확인되지 않는 항목이 감사 이후의 개선 우선순위가 됩니다.

1. 퇴직자 계정과 과다 권한

인사 명부와 주요 시스템의 계정 목록을 나란히 놓고 대조합니다. 확인할 것은 두 가지입니다. 퇴직이나 부서 이동 후에도 살아 있는 계정이 있는지, 현재 업무 범위보다 넓은 권한이 남아 있는지입니다.

단순한 대조 작업이지만 생략되는 경우가 많습니다. 계정을 관리하는 부서와 인사 정보를 가진 부서가 달라서 어느 쪽도 전체를 보지 않기 때문입니다. 여러 명이 함께 쓰는 공용 계정이 있다면 사용자를 특정할 수 있는지도 같이 확인합니다.

2. 접근 기록의 실제 보존 상태

"기록을 남긴다"는 규정과 기록이 지금 조회된다는 사실은 다릅니다. 중요 시스템 몇 곳을 골라서 보존 기간의 가장 오래된 구간 기록이 실제로 조회되는지 확인해 봅니다.

저장 공간 부족으로 오래된 기록이 자동 삭제되고 있었다는 사실을 감사에서 처음 발견하는 회사가 적지 않습니다. 접근 기록이 비어 있으면 문제가 생겨도 사실관계를 확인할 방법이 없습니다. 다섯 항목 가운데 이 항목을 먼저 보도록 권하는 이유입니다.

3. 자료가 나가는 경로와 남는 기록

USB 같은 외장 매체, 개인 이메일, 외부 클라우드가 대표적인 반출 경로입니다. 모든 경로를 막고 일하는 회사는 드뭅니다. 업무상 필요로 예외 승인을 열어 둔 경로도 있습니다. 점검할 내용은 어떤 경로가 열려 있는지, 열린 경로마다 어떤 기록이 남는지 두 가지입니다.

이때 기록의 의미를 구분해야 합니다. USB 연결 기록은 장치가 연결되었다는 사실까지만 보여 줍니다. 파일이 실제로 나갔는지는 별도의 기록으로 확인할 문제입니다. 그래서 경로 점검은 기록 하나가 아니라 함께 남는 기록들을 묶어서 보는 방식으로 진행합니다.

4. 위탁 업체의 실제 처리 현황

개인정보나 중요 데이터의 처리를 외부 업체에 맡겼다면 위탁 계약서와 보안 서약서 확인만으로는 점검이 끝나지 않습니다. 재위탁 여부, 접근 인원, 자료 파기 이행처럼 계약서에 적힌 약속이 지켜지는지는 별도 자료로 확인합니다. 개인정보보호법도 위탁자에게 수탁자 교육·감독 의무를 두고 있습니다.

5. 이상 정황 발견 이후의 절차

마지막 항목은 문제가 생긴 다음을 가정합니다. 이상 정황이 발견되면 누가 어떤 자료를 언제까지 보존하는지 정해져 있는지, 그 절차가 실제로 실행 가능한지를 봅니다.

자주 걸리는 대목이 퇴직자 PC 재배포 관행입니다. 반납 즉시 초기화해서 다음 사람에게 지급하면 운영은 효율적이지만 몇 주 뒤 문제가 제기되면 확인할 자료가 남아 있지 않습니다. 초기화 전 보존 기간과 판단 기준을 미리 정해 두는 것까지가 이 항목의 범위입니다.

점검 결과를 정리하는 기준

다섯 항목을 확인 질문으로 바꾸면 다음과 같습니다.

인사 명부와 시스템 계정 목록을 대조해 미회수 계정과 과다 권한을 확인했는가

중요 시스템의 접근 기록이 보존 기간 전 구간에서 실제로 조회되는가

열려 있는 반출 경로 목록과 경로별로 남는 기록을 정리해 두었는가

위탁 업체의 처리 현황을 계약서 외의 자료로 확인했는가

이상 정황 발견 시 보존 책임자와 보존 기간이 정해져 있는가

빈칸이 나온 항목이 감사 이후의 우선순위입니다. 감사의 목적은 지적 개수를 줄이는 데 있지 않습니다. 문제가 생겼을 때 사실관계를 확인할 수 있는 상태인지 미리 알아 두는 데 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.