퇴직 처리를 마친 PC에서도 유출 정황을 확인할 수 있을까

아래 내용은 이해를 돕기 위해 구성한 가상의 사례입니다.

설계 업무를 하는 한 중견 엔지니어링 회사에서 수석연구원이 사직서를 냈습니다. 퇴직일은 한 달 뒤였습니다. 인사팀의 오프보딩 체크리스트에는 인수인계 문서 수령, 보안서약서 작성, 사원증 반납, 계정 삭제, 장비 회수가 순서대로 적혀 있었고 퇴직일에 항목이 모두 지워졌습니다. 반납된 노트북은 IT팀이 관행대로 초기화해 다음 입사자에게 지급했습니다.

넉 달 뒤 영업팀이 경쟁사 제안서의 설계 구성이 자사 도면과 닮았다는 이야기를 가져왔습니다. 닮았다는 사실만으로는 아무것도 확정할 수 없습니다. 퇴직한 수석연구원이 퇴직 전에 어떤 자료를 어떻게 다뤘는지부터 확인해야 했습니다. 그런데 그때 회사에 남은 자료는 이미 많이 줄어 있었습니다.

초기화된 노트북과 삭제된 계정에서 사라진 것

가장 먼저 찾는 곳은 퇴직자가 쓰던 노트북입니다. 외부 저장장치를 연결한 이력, 설계 파일을 열어 본 이력, 개인 클라우드 서비스에 접속한 이력은 대부분 그 장비 안에 남습니다. 이 노트북은 초기화된 뒤 새 사용자가 몇 달째 쓰고 있었습니다. 초기화 방식에 따라 일부 흔적이 남아 있을 수도 있지만 새 사용자의 데이터가 계속 쌓이면서 확인할 수 있는 범위는 더 좁아집니다.

회사 서버의 기록도 사정이 비슷했습니다. 파일 서버 접근 기록과 원격 접속 기록은 회사가 정한 보관 기간이 지나면 지워집니다. 이 회사는 그 기간을 석 달로 설정해 두었기 때문에 퇴직 직전 한 달의 기록은 이미 지워진 뒤였습니다. 메일함은 계정을 삭제할 때 함께 정리되었습니다.

남은 것은 인사 기록과 인수인계 문서뿐이었습니다. 퇴직 전 한 달 동안 어떤 자료가 어디로 움직였는지는 확인할 방법이 거의 없었습니다. 자료가 없다는 사실은 유출이 없었다는 근거가 되지 못합니다. 확인할 수 없는 상태가 되었을 뿐입니다.

같은 절차에 보전 단계가 있었다면

같은 회사가 퇴직 의사를 확인한 시점에 한 가지를 더 했다고 가정해 보겠습니다. 설계 도면 서버에 접근하는 직무의 퇴직자에 한해 반납 장비를 초기화하지 않고 상태 그대로 복제해 보관합니다. 계정을 삭제하기 전에는 접근 기록과 메일함 사본을 따로 남깁니다.

이렇게 해 두면 넉 달 뒤에도 퇴직 전 몇 주 동안의 장비 사용 이력을 볼 수 있습니다. 외부 저장장치가 언제 연결되었는지, 어떤 설계 파일이 열렸는지, 개인 메일이나 클라우드 서비스에 접속한 기록이 있는지 같은 내용입니다. 분석은 원본이 아니라 복제본으로 진행하므로 새 사용자가 장비를 써도 영향을 받지 않습니다.

보전한 기록으로 확인되는 것과 확인되지 않는 것

보전해 둔 기록이 있다고 해서 결론이 바로 나오지는 않습니다. 복제본을 분석했더니 퇴직 2주 전에 외부 저장장치가 연결된 기록과 같은 시기에 설계 파일 여러 개를 연 기록이 함께 나왔다고 가정해 보겠습니다. 두 기록은 정황으로서 의미가 있습니다. 다만 외부 저장장치 연결 기록은 장치가 연결되었다는 사실만 보여주고 어떤 파일이 복사되었는지는 별도로 확인해야 합니다. 파일을 열어 본 기록도 복사나 전달과는 다른 행위입니다. 인수인계를 위해 자료를 정리하는 과정에서도 같은 기록이 남습니다.

보전의 목적은 유출을 단정하는 데 있지 않습니다. 의심이 생겼을 때 사실을 따져 볼 자료가 남아 있게 하는 데 있습니다. 분석 결과 문제가 없었다는 결론이 나오는 경우에도 근거를 확인한 뒤에 판단했다는 기록이 회사에 남습니다.

오프보딩 절차에 넣어 둘 네 가지

1. 보전 대상 기준을 직무로 정해 둡니다

모든 퇴직자의 장비를 복제하는 것은 현실적이지 않습니다. 설계 도면, 소스코드, 고객 정보, 영업 자료처럼 유출되면 피해가 큰 자료에 접근하는 직무를 미리 정해 둡니다. 그 직무에서 퇴직 통보가 들어오면 보전 절차가 시작되도록 합니다.

2. 장비 초기화 순서를 확인합니다

반납 장비는 인사팀이나 보안 담당 부서가 보전 여부를 확인하기 전에는 초기화하지 않습니다. IT팀의 재지급 일정이 앞서면 이 확인이 빠지기 쉽습니다.

3. 계정 삭제 전에 기록을 남깁니다

계정을 삭제하면 메일함과 클라우드 저장 공간의 자료도 함께 정리되는 시스템이 많습니다. 삭제하기 전에 접근 기록과 메일함 사본을 어디에 얼마 동안 보관할지 정해 둡니다.

4. 서버 기록의 보관 기간을 파악합니다

파일 서버, 원격 접속, 메일 시스템의 기록이 각각 며칠 동안 보관되는지 담당자가 알고 있어야 합니다. 보관 기간이 짧은 시스템은 퇴직 통보를 받은 날부터 기록을 따로 보관해야 퇴직일 이후에도 확인할 수 있습니다.

장비를 복제하고 기록을 확인하려면 사내 규정과 입사 때 받은 동의서에 회사 장비 점검이 포함되어 있어야 합니다. 업무와 무관한 개인 자료는 수집 범위에서 제외하도록 절차를 정해 두는 것도 필요합니다.

퇴직 처리가 끝난 장비와 계정은 정리되고 재사용됩니다. 오프보딩 단계에서 보전 여부를 먼저 정해 두면 유출이 의심되는 시점에 확인할 수 있는 범위가 달라집니다. 보전한 자료가 있어도 한 가지 기록으로 반출 여부를 단정할 수는 없으며 기록의 종류마다 확인되는 사실이 다릅니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.