접근 권한 정기 검토, 계정과 권한을 분기마다 점검하는 5단계

접근 권한 정기 검토는 계정 목록을 실제 담당자와 맞춰 보고 남는 계정과 넘치는 권한을 줄이는 일입니다. 이 글에서는 검토할 계정 범위, 분기마다 진행하는 5단계, 검토 결과를 기록으로 남기는 방법과 자주 놓치는 계정을 정리했습니다.

접근 권한 정기 검토가 필요한 이유

계정과 권한은 시간이 지나면 저절로 늘어납니다. 급한 일 때문에 잠깐 준 최고 권한, 프로젝트가 끝난 외주 업체 계정, 부서를 옮긴 직원의 예전 권한이 그대로 남습니다. 이런 계정은 평소에 아무도 쓰지 않기 때문에 비밀번호가 털려도 알아차리기 어렵습니다.

퇴사할 때 계정을 회수하는 절차가 있어도, 담당 업무가 바뀌거나 권한이 조금씩 넓어지는 변화는 그 절차에 걸리지 않습니다. 정기 검토는 이렇게 사건 없이 쌓이는 권한을 찾아내는 장치입니다. 퇴사할 때의 회수 순서는 퇴사자 계정 정리, 홈페이지·서버 권한 회수 7단계 절차에서 다뤘습니다.

접근 권한에 관한 고시 기준

개인정보를 처리하는 시스템이라면 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제5조를 확인합니다. 이 조문은 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하고, 개인정보취급자의 업무가 바뀌면 지체 없이 접근 권한을 변경하거나 말소하도록 정하고 있습니다.

같은 조는 접근 권한을 부여·변경·말소한 내역을 기록하고 최소 3년간 보관하도록 합니다. 정기 검토 결과를 기록으로 남기면 이 내역을 함께 관리할 수 있습니다. 우리 회사에 적용되는 세부 의무는 고시 원문과 전문가 확인을 권장합니다.

정기 검토에 넣을 계정 범위

아래 표는 홈페이지 운영과 관련된 계정을 종류별로 나누어, 확인할 내용과 권장 검토 주기를 비교한 것입니다. 주기는 회사 상황에 맞게 정하면 됩니다.

계정 종류	확인할 내용	권장 주기
홈페이지 관리자	담당자 일치, 역할별 권한, 2단계 인증	분기
호스팅·서버 접속	접속 가능한 사람, 접속 키, 외주 업체 계정	분기
도메인·DNS 관리	명의자와 로그인 가능한 사람, 연락처	반기
데이터베이스	접속 계정과 외부 접속 허용 여부	반기
분석·광고·검색 도구	Search Console, 분석 도구의 사용자 목록	반기
회사 메일·협업 도구	퇴사자 계정, 공유 폴더 권한	분기

표에서 자주 빠지는 것은 분석·검색 도구입니다. Search Console이나 분석 도구에 예전 담당자나 업체가 소유자로 남아 있으면 사이트 설정을 바꿀 수 있으므로 함께 확인합니다.

접근 권한 정기 검토 5단계

검토는 아래 다섯 단계로 진행합니다. 처음 한 번은 시간이 걸리지만, 목록을 만들어 두면 다음 검토부터는 바뀐 부분만 보면 됩니다.

1. 계정 목록 뽑기: 위 표의 서비스마다 관리자 화면에서 사용자 목록을 확인해 한 표에 모읍니다.
2. 담당자와 맞춰 보기: 현재 직원과 계약 중인 업체 목록과 비교해, 주인이 없는 계정을 표시합니다.
3. 권한 수준 확인: 사람마다 지금 업무에 필요한 권한보다 넓은 권한을 갖고 있지 않은지 봅니다.
4. 정리 실행: 주인 없는 계정은 비활성화하거나 삭제하고, 넘치는 권한은 줄입니다. 바로 정리하기 어려운 것은 담당자와 기한을 정합니다.
5. 결과 기록: 검토한 날짜, 검토자, 바꾼 계정과 권한, 남은 조치를 기록하고 보관합니다.

그림의 두 번째 단계에서 주인을 알 수 없는 계정이 나오면 바로 지우지 말고 먼저 비활성화합니다. 연결된 기능이 멈추지 않는지 며칠 지켜본 뒤 삭제하면 업무 중단을 피할 수 있습니다.

검토 기록에 남길 항목

기록은 복잡할 필요가 없습니다. 검토일, 검토자, 서비스 이름, 계정, 조치 내용(유지·권한 축소·비활성화·삭제), 조치한 날짜를 한 줄씩 적는 표 하나면 충분합니다. 이 표가 쌓이면 권한 변경 이력을 따로 정리하지 않아도 됩니다.

정기 검토 때 자주 놓치는 계정

목록을 만들 때 아래 계정들이 자주 빠집니다. 검토표에 미리 칸을 만들어 두면 놓치지 않습니다.

• 홈페이지 제작 때 업체가 만든 테스트용 관리자 계정
• 예전 유지보수 업체의 서버 접속 계정과 접속 키
• 공용으로 쓰던 admin 계정
• Search Console, 분석 도구에 남은 예전 담당자
• 문의 알림을 받는 퇴사자 메일 주소
• 이벤트 기간에만 쓰고 끝난 임시 계정

체크리스트의 공용 admin 계정은 개인별 계정으로 바꾸는 것이 근본 해결입니다. 그 방법은 공용 관리자 계정을 다룬 글에서 설명합니다.

디코랩이 돕는 방식

디코랩은 운영 중인 홈페이지의 수정과 개선, 유지보수를 맡습니다. 관리자 계정 목록을 정리하거나 역할별 권한을 다시 나누는 작업처럼 사이트에서 할 일은 현재 상태를 확인한 뒤 범위를 안내합니다. 유지보수 상품은 홈페이지 유지보수 안내에서 볼 수 있습니다.

자주 묻는 질문

정기 검토는 얼마나 자주 해야 하나요?

회사 규모와 계정 수에 따라 정하면 됩니다. 관리자와 서버 계정은 분기, 변화가 적은 도메인·분석 도구는 반기처럼 나누면 부담이 적습니다. 직원이 바뀌는 즉시 해야 하는 조치는 정기 검토를 기다리지 않습니다.

검토는 누가 해야 하나요?

계정을 쓰는 사람이 아닌 다른 사람이 함께 보는 것이 좋습니다. 작은 회사라면 대표와 실무 담당자가 함께 표를 보고 확인하는 방식으로도 충분합니다.

외주 업체 계정은 어떻게 검토하나요?

계약 중인 업체 목록과 맞춰 보고, 계약이 끝난 업체의 계정과 접속 키는 정리합니다. 진행 중인 업체도 지금 맡은 작업에 필요한 권한만 갖고 있는지 확인합니다.

기록은 꼭 남겨야 하나요?

남기는 편이 좋습니다. 개인정보 시스템이라면 고시가 권한 부여·변경·말소 내역의 기록과 보관을 정하고 있고, 사고가 났을 때 언제 누구의 권한이 있었는지 확인하는 근거가 됩니다.

관리자 계정과 권한을 함께 정리하고 싶다면 사이트 주소와 쓰고 있는 서비스 목록을 적어 디코랩 프로젝트 문의로 보내 주세요.