교육기관 정보보안 점검에서 기업용 점검표가 맞지 않는 곳

대학 정보보안 담당 부서가 기업에서 쓰던 점검표를 받아 연간 점검을 준비하다 보면 첫 항목에서부터 막히는 경우가 있습니다. "퇴직자 계정은 퇴직일에 삭제한다"는 항목을 학교에 적용하려면 누구의 어떤 날짜를 퇴직일로 볼지부터 정해야 하기 때문입니다.

학교에서는 이 날짜가 하나가 아닙니다. 졸업생과 휴학생, 학기 단위로 계약하는 시간강사, 과제 기간에만 소속되는 연구원이 함께 있고 소속이 끝나는 시점을 관리하는 부서도 각각 다릅니다. 기업 점검표의 항목 하나가 학사, 인사, 연구 행정 세 곳의 기록을 맞춰 봐야 답할 수 있는 질문이 됩니다.

기업용 점검표를 그대로 쓰기 어려운 이유

기업의 정보보안 점검은 대개 회사가 지급한 장비와 회사가 관리하는 시스템을 전제로 합니다. 교육기관은 이 전제가 다릅니다.

학생은 개인 노트북과 휴대전화로 학내 망과 학사 시스템에 접속합니다. 교원과 연구원도 개인 장비로 연구하는 경우가 많습니다. 학교가 모든 기기를 관리 대상으로 지정하기는 어려우므로 기기 보안 항목보다 시스템과 계정에 남는 기록이 점검의 중심이 됩니다.

관리 주체도 나뉘어 있습니다. 중앙 전산 부서가 학사·행정 시스템을 운영하는 동안 학과는 자체 홈페이지를, 연구실은 실험 데이터를 담는 서버나 NAS(네트워크에 연결해 여러 사람이 함께 쓰는 저장장치)를 따로 운영합니다. 중앙 부서의 자산 목록에 없는 장비는 점검 대상에서도 빠집니다.

다루는 정보의 성격도 다릅니다. 학적과 성적, 입시 자료, 장학 신청에 딸린 가족 정보, 연구 과제 산출물은 정보마다 열람할 사람과 시기가 따로 정해져 있습니다. 같은 교직원이라도 성적 입력 기간에만 접근이 필요한 자료가 있습니다.

학교 점검에서는 무엇을 따로 확인해야 하나

아래 항목은 기업 점검표에 없거나, 있더라도 학교 환경에 맞게 바꿔야 하는 것들입니다. 점검을 준비하는 담당자에게서 자주 듣는 질문도 대부분 이 다섯 곳에 몰려 있습니다.

1. 신분 변동 일자와 계정 처리 일자

졸업·제적·휴학 같은 학적 변동, 시간강사 계약 종료, 연구 과제 종료 일자를 계정 관리 시스템의 비활성화 일자와 나란히 놓고 비교합니다. 학사 시스템과 계정 시스템이 자동으로 연동되어 있어도 연동에서 빠지는 신분이 있는지 확인합니다. 겸직 교원이나 외부 공동연구원처럼 예외로 등록된 계정이 대표적입니다.

2. 중앙 목록 밖의 서버와 저장소

전산 부서의 자산 목록을 네트워크 담당 부서의 IP 주소 할당 기록, 학교 도메인 아래 개설된 사이트 목록과 대조합니다. 목록에 없는 장비가 나오면 운영자와 저장된 정보의 종류, 외부 접속 허용 여부를 확인해 점검 대상에 추가합니다.

3. 학사 정보 조회 기록의 보관 여부

성적·학적 시스템은 접근 권한 목록만 보고 끝내지 않습니다. 누가 언제 어떤 학생의 정보를 조회하고 수정했는지가 시스템에 기록되는지, 그 기록이 얼마 동안 보관되는지 확인합니다. 성적 정정이나 입시 관련 민원이 생기면 가장 먼저 찾게 되는 기록입니다.

4. 출제 자료가 저장되고 출력되는 경로

시험 문제를 작성하는 PC가 연구실 공용 PC인지, 조교와 함께 쓰는 PC인지, 출력은 어느 프린터로 하는지 확인합니다. 여러 사람이 한 계정으로 쓰는 장비라면 기록에 남은 계정과 실제 작성자가 다를 수 있어 나중에 확인할 수 있는 범위가 좁아집니다.

5. 외부 기관과 공유하는 연구 데이터

산학협력이나 공동연구로 데이터를 주고받는다면 공유 수단(이메일, 외부 클라우드, 학내 저장소)과 과제가 끝난 뒤의 처리 방식을 확인합니다. 협약서에 정한 처리 방식과 실제 저장 위치가 일치하는지도 함께 봅니다.

점검 시기는 학사 일정에 맞춰 정합니다

학교는 시기에 따라 시스템 사용량과 담당자의 업무량이 크게 달라집니다. 수강 신청, 성적 입력, 입시 기간에는 핵심 시스템의 설정을 바꾸기 어렵고 담당자도 점검에 시간을 내기 어렵습니다. 방학에는 연구실이 비어 장비 운영자를 만나지 못하는 일이 생깁니다.

계정 대조는 졸업과 계약 종료 처리가 끝난 직후에 하면 처리 누락을 바로 확인할 수 있습니다. 연구실 장비 확인은 학기 중에 일정을 잡아야 운영자를 만나기 수월합니다.

점검 결과를 정리할 때는 확인된 사실의 범위를 구분해 적습니다. 졸업생 계정이 정리되지 않았다는 결과는 계정 정리 절차가 지켜지지 않았다는 뜻입니다. 그 계정이 졸업 뒤에 실제로 쓰였는지는 마지막 접속 기록을 봐야 알 수 있습니다. 학사 정보가 조회됐는지는 해당 시스템의 조회 기록으로 따로 확인합니다. 목록에 없던 연구실 서버에 외부 접속이 열려 있었다는 사실만으로 자료가 밖으로 나갔다고 판단하지도 않습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.