협력사 직원에게 열어 준 시스템 계정은 프로젝트가 끝나도 그대로 남아 있기 쉬워요. 점검 주기와 책임 부서를 미리 정해 두면 잊힌 계정이 보안 구멍이 되는 일을 줄일 수 있어요.
점검 주기는 얼마로 정하면 될까요?
소규모 회사라면 분기 1회 정기 점검과 계약 종료 시 즉시 회수, 두 가지로 시작하면 충분해요. 회사에 적용되는 법령·인증 기준을 먼저 확인하고, 별도로 정해진 주기가 없다면 회사가 다룰 수 있는 주기를 정해 지키는 것이 중요해요.
- 정기 점검: 분기에 한 번, 협력사 계정 목록과 실제 계약·투입 현황을 맞춰 봐요.
- 수시 회수: 계약 종료, 담당자 교체, 프로젝트 종료일에 맞춰 바로 계정을 막아요.
- 장기 미사용 계정: 일정 기간 접속이 없으면 잠그는 기준을 정해 두세요. 기간은 회사 상황에 맞게 정하면 돼요.
누가 책임지면 좋을까요?
계정을 요청한 업무 부서가 필요 여부를 확인하고, 정보보안 담당(또는 IT 담당)이 회수를 실행하는 구조가 가장 단순해요. 한 부서에 모두 맡기면 확인과 실행이 한 곳에 몰려 빠뜨리기 쉬워요.
- 업무 부서장: 이 사람이 아직 필요한지 확인하고 승인해요.
- 정보보안·IT 담당: 목록을 뽑고, 회수와 기록을 맡아요.
- 구매·계약 담당: 계약 종료 일정을 보안 담당에 알려 줘요.
어떤 상황에서 놓치기 쉬울까요?
가상의 상황이에요. 직원 20명인 쇼핑몰이 외부 개발사 직원 3명에게 관리자 화면 계정을 열어 줬어요. 3개월 계약이 끝났지만 계약 담당과 IT 담당이 서로 알리지 않아, 계정이 몇 달째 살아 있었어요.
분기 점검 때 "계약 종료일 지난 계정"만 걸러 보니 바로 드러났어요. 점검표에 계정 ID, 소속 협력사, 요청 부서, 계약 종료일, 마지막 접속일, 조치 결과만 있어도 충분해요.
실무 체크 포인트: 계정을 열 때 계약 종료일을 같이 적어 두세요. 종료일이 곧 회수 기한이 돼서 점검이 훨씬 쉬워져요.
오늘 바로 할 일
- 협력사 계정 목록을 뽑고 요청 부서와 종료일이 비어 있는 계정을 찾아보세요.
- 분기 점검 일정과 책임 부서(확인·회수)를 문서 한 장으로 정하세요.
- 계약 종료 시 계정 회수를 알리는 절차를 구매·계약 담당과 맞추세요.
접근권한 검토의 방법·점검 주기·보고 체계를 내부 지침에 구체적으로 적어 두는 것이 좋아요. 다만 인증이나 법령 적용 대상 여부에 따라 요구 수준이 달라질 수 있으니, 개인정보를 다루는 시스템이라면 적용되는 기준을 별도로 확인하세요.