개인정보 유출 사고 막으려면? 반드시 점검해야 할 계정 및 관리자 권한 관리 방법

피해 사례: 2025년 SK텔레콤 유심 정보 유출 사고

- 2022년 6월 장기간 악성코드가 서버에 잠복
- 정상 관리자 계정의 자격증명으로 인증 우회
- 9.7GB 데이터 외부 전송 감지 실패

핵심 문제점:
- 계정 탈취 탐지 시스템 부재
- 장기간 사용되지 않는 계정 미확인
- 관리자 계정 활동 로그 부족

실제 사례: 금융권 정보 유출 사고

퇴직 후 3개월 동안 계정 유지
→ 개인정보 12만 건 대량 다운로드

원인:
- 인사팀과 IT팀 간 연계 부재
- 자동 계정 정지 시스템 미구축
- 퇴직자 계정 현황 파악 불가

사례: 일반 사용자에게 관리자 권한 부여

정기적 유지보수를 위해 임시 부여된 권한
→ 퇴직 후에도 유지되어 정보 유출

위험 요소:
- 임시 권한 부여 절차 미흡
- 권한 반환 의무 부재
- 관리자 권한 현황 미파악

1. 업무 목적 검증
   ├─ 정당한 비즈니스 필요성 확인
   ├─ 최소 필요 범위 한정
   └─ 일시적 권한 부여 가능성 검토

2. 대상자 적격성 검증
   ├─ 근속 기간 6개월 이상 (특별 사유 제외)
   ├─ 보안 교육 이수 여부 확인
   └─ 책임자 승인 획득

3. 권한 범위 정의
   ├─ 시스템/기능 단위 권한 분리
   ├─ IP 접근 제한 설정
   └─ 시간 제한 설정 (근무 시간만 접근)

금지 사항:
× 공유 계정에 관리자 권한 부여
× 파트장급 이상 승진 시 자동 권한 부여
× 특정 시스템에 대한 모든 권한 부여
× 일회성 업무를 위해 장기적 권한 부여
× 감사 계정 업무자가 관리자 계정 겸임

## 관리자 계정 현황 점검

- [ ] 전체 관리자 계정 목록 최신화 여부
- [ ] 관리자 계정별 권한 범위 문서화
- [ ] 관리자 계정별 담당자 정보 관리
- [ ] 계정 생성/변경/삭제 이력 로그 보관
- [ ] 정기(분기) 계정 현황 재검토

## 권한 부여 절차 점검

- [ ] 권한 부여 신청서/승인서 보관
- [ ] 권한 부여 심의 위원회 운영 여부
- [ ] 임시 권한 부여 시 자동 만료 설정
- [ ] 권한 변경 시 사전 통지 절차
- [ ] 권한 부여 사유 기록 유지

## 접속 통제 점검

- [ ] 관리자 계정 접속 IP 제한 설정
- [ ] 접속 시간 제한(근무 시간)
- [ ] 다중 인증(MFA) 적용 여부
- [ ] 이상 접속 감지 알림 설정
- [ ] 세션 타임아웃 정책 적용

## 기술적 보안 점검

- [ ] 관리자 계정 강력한 암호 정책 적용
    ├─ 최소 길이 12자 이상
    ├─ 영문 대/소문자, 숫자, 특수문자 조합
    └─ 90일마다 교체 (이력 5개 유지)

- [ ] 관리자 계정 접속 로그 저장
    ├─ 접속 시간, IP, 사용자, 작업 내용
    ├─ 로그 보관 기간 2년 이상
    └─ 로그 위변조 방지 조치

- [ ] 권한 남용 방지 기능
    ├─ 대량 데이터 다운로드 제한
    ├─ 민감 정보 접근 로그 기록
    └─ 의심스러운 행위 자동 차단

- [ ] 자동 계정 잠금 정책
    ├─ 5회 실패 시 30분 잠금
    └─ 관리자 승인 후 계정 해제

1. 역할 기반 접근 제어 (RBAC) 도입
   ├─ 직책/업무에 따른 권한 그룹 정의
   ├─ 권한 그룹별 시스템 접근 범위 설정
   └─ 개인 계정은 권한 그룹에 연동

2. 업무 분장 원칙 적용
   ├─ 민감 작업은 2인 이상 승인 필요
   ├─ 개발/운영/감사 역할 분리
   └─ 결제 권한과 승인 권한 분리

3. 시스템별 권한 세분화
   ├─ 데이터베이스: 읽기/쓰기 권한 분리
   ├─ 네트워크: 모니터링/설정 권한 분리
   └─ 애플리케이션: 관리자/운영자/사용자 권한 분리

┌─────────────────────────────────────────────────┐
│               시스템 권한 분리 예시                │
├─────────────────────────────────────────────────┤
│                                                 │
│  ┌─────────┐    ┌─────────┐    ┌─────────┐     │
│  │ 개발팀  │    │ 운영팀  │    │ 감사팀  │     │
│  │         │    │         │    │         │     │
│  │ ● 개발  │    │ ● 배포  │    │ ● 감사  │     │
│  │ ● 테스트│    │ ● 모니터 │    │ ● 로그  │     │
│  │ ● 코드  │    │ ● 유지보수│    │ ● 위험  │     │
│  │         │    │         │    │   분석  │     │
│  └─────────┘    └─────────┘    └─────────┘     │
│       │              │              │           │
│       ▼              ▼              ▼           │
│  ┌─────────────────────────────────────┐       │
│  │         통합 권한 관리 시스템        │       │
│  │    (IAM, PAM, RBAC)                 │       │
│  └─────────────────────────────────────┘       │
│                                                 │
└─────────────────────────────────────────────────┘

핵심 원칙:
- 개발자는 운영 시스템에 직접 접근 금지
- 운영자는 감사 기능 사용 제한
- 감사자는 시스템 설정 변경 불가
- 관리자 계정은 감사 대상에서 제외 불가

데이터베이스 권한 분리:

┌─────────────────────────────────────┐
│  데이터베이스 접근 권한              │
├─────────────────────────────────────┤
│                                     │
│  1. 응용프로그램 접속 계정           │
│     - 읽기/쓰기 권한만 부여          │
│     - 스키마 변경 불가               │
│     - 사용자 관리 불가               │
│                                     │
│  2. DB 운영 계정                     │
│     - 모든 권한 보유                 │
│     - IP 제한 + MFA 필수             │
│     - 모든 작업 로그 기록             │
│                                     │
│  3. 감사 계정                        │
│     - 읽기 전용 권한만 부여          │
│     - 데이터 내보내기 제한            │
│     - 로그 분석 전용                  │
│                                     │
└─────────────────────────────────────┘

1단계: 현재 권한 현황 분석
   ├─ 모든 시스템의 계정/권한 현황 조사
   ├─ 과도한 권한 부여 현황 식별
   └─ 권한 남용 리스크 평가

2단계: 역할(RBAC) 정의
   ├─ 직무별 필요 권한 식별
   ├─ 역할 기반 권한 그룹 생성
   └─ 역할 간 권한 격립 정책 수립

3단계: 시스템별 권한 세분화
   ├─ 시스템별 세부 권한 정의
   ├─ 최소 권한 기준 설정
   └─ 제어 기능 구현

4단계: 이행 및 검증
   ├─ 단계적 권한 변경 적용
   ├─ 기능 테스트 및 영향 검증
   └─ 업무 차단 발생 시 롤백 절차

5단계: 정기 재검토
   ├─ 분기별 권한 현황 재점검
   ├─ 권한 남용 사례 분석
   └─ 권한 정책 지속 개선

┌─────────────────────────────────────────────────────┐
│            퇴직자 계정 자동 정지 프로세스             │
├─────────────────────────────────────────────────────┤
│                                                     │
│  ┌─────────┐   ┌─────────┐   ┌─────────┐           │
│  │인사팀   │──→│HR 시스템│──→│자동화   │           │
│  │퇴직 접수│   │업데이트 │   │트리거   │           │
│  └─────────┘   └─────────┘   └─────────┘           │
│                                   │                │
│                                   ▼                │
│  ┌─────────────────────────────────────────┐     │
│  │      계정 정지 자동화 시스템              │     │
│  │                                         │     │
│  │  1. 퇴직 정보 수신 (HR API)              │     │
│  │  2. 관련 계정 식별 (AD, ERP, CRM 등)     │     │
│  │  3. 계정 즉시 정지 및 비밀번호 변경      │     │
│  │  4. 이메일 자동 전환 (담당자에게)        │     │
│  │  5. 보유 자산 회수 알림 (PC, 카드 등)    │     │
│  │  6. 담당자에게 완료 알림 전송            │     │
│  └─────────────────────────────────────────┘     │
│                                   │                │
│                                   ▼                │
│  ┌─────────────────────────────────────────┐     │
│  │          보안 및 운영팀 확인              │     │
│  │                                         │     │
│  │  - 관련 시스템 접속 로그 검증             │     │
│  │  - 퇴직 후 접속 시도 감지               │     │
│  │  - 필요 시 수동 보완 조치                 │     │
│  └─────────────────────────────────────────┘     │
│                                                     │
└─────────────────────────────────────────────────────┘

핵심 요구사항:
- 퇴직 통지 후 30분 이내 계정 정지
- 모든 시스템 계정 자동 식별 및 정지
- 이메일, VPN, 시스템 접속 동시 차단
- 감사 로그 자동 생성 및 보관

## 퇴직자 계정 수동 정지 체크리스트

1단계: 사전 점검 (퇴직 예정자)
   □ 계정 보유 현황 리스트 생성
   □ 공유 폴더/파일 접근 권한 정리
   □ 진행 중 프로젝트 인수인계 완료

2단계: 계정 정지 (퇴직일)
   □ Active Directory 계정 비활성화
   □ 메일함 다른 계정으로 전환
   □ VPN 접속 권한 회수
   □ ERP/CRM/협업툴 접속 차단
   □ 클라우드 서비스 계정 정지
   □ 소프트웨어 라이선스 회수

3단계: 사후 점검 (퇴직일 + 3일)
   □ 퇴직 후 접속 시도 로그 검증
   □ 공유 자료 접근 확인
   □ 보안 시스템 알림 설정 (접속 시도 시)

4단계: 데이터 보존
   □ 업무 이메일 보관 (법정 보관 기간)
   □ 관련 문서 백업 및 보관
   □ 데이터 삭제 시점 결정 (최소 2년)

퇴직 후 계정 유지가 허용되는 경우:

허용 기준:
1. 소송/분쟁 진행 중인 경우
   - 법률 자문 필요 시
   - 증거 확보 필요 시
   - 보안팀장 승인 필수

2. 프로젝트 인수인계 미완료
   - 핵심 지식 전달 필요 시
   - 기간: 최대 3개월
   - 사업 책임자 승인 필수

3. 특수한 보안 요청
   - 외부 기관 협조 필요 시
   - 정부 조사 대응 필요 시
   - 보안책임자 승인 필수

유지 조건:
- 계정 정지 후 필요 시만 임시 재활성화
- 접속 로그 철저히 감시
- 2인 이상 승인자 확인
- 필요 시점에만 접속 허용
- 계정 만료일 명확히 설정

1. 사유서 제출
   └─ 퇴직자 또는 담당자가 사유서 작성

2. 승인 체계
   └─ 보안팀장 → 보안책임자 순차 승인

3. 임시 계정 생성
   └─ 기존 계정 재사용 금지, 새 계정 생성

4. 기간 설정
   └─ 최대 3개월, 만료 후 자동 삭제

5. 감시 강화
   └─ 모든 접속 활동 실시간 감시

6. 정리
   └─ 기간 종료 후 즉시 계정 삭제 및 로그 보관

┌─────────────────────────────────────────────────┐
│            권한 재검토 주기                      │
├─────────────────────────────────────────────────┤
│                                                 │
│  1. 일반 계정                                    │
│     - 주기: 6개월                               │
│     - 범위: 전체 사용자 계정                     │
│     - 내용: 권한 적정성, 계정 활성 여부           │
│                                                 │
│  2. 관리자 계정                                  │
│     - 주기: 3개월                               │
│     - 범위: 모든 관리자/특권 계정                │
│     - 내용: 권한 남용 검증, 로그 분석            │
│                                                 │
│  3. 일회성 권한                                  │
│     - 주기: 사용 직후                           │
│     - 범위: 임시 권한 부여 계정                  │
│     - 내용: 권한 반환 확인, 활동 로그 검토        │
│                                                 │
│  4. 공유 계정                                    │
│     - 주기: 매월                                │
│     - 범위: 공유 계정, 서비스 계정               │
│     - 내용: 사용자 명단, 접속 로그, 변경 요구    │
│                                                 │
└─────────────────────────────────────────────────┘

1단계: 데이터 추출
   ├─ 시스템별 계정/권한 현황 추출
   ├─ 최근 3개월간 활동 로그 수집
   └─ 계정 생성/변경 이력 확인

2단계: 비교 분석
   ├─ 현 계정 권한 vs HR 데이터 비교
   ├─ 미사용 계정 식별 (90일 이상 미접속)
   └─ 과도한 권한 보유 계정 식별

3단계: 담당자 확인
   ├─ 계정별 담당자에게 현재 권한 확인
   ├─ 불필요한 권한 반환 요청
   └─ 필요 권한 추가 요청 심의

4단계: 변경 적용
   ├─ 반환 요청 권한 즉시 회수
   ├─ 추가 요청 권한 심의 후 부여
   └─ 변경 내역 로그 저장

5단계: 리포트 작성
   ├─ 검토 결과 요약 보고서 작성
   ├─ 문제점 식별 및 개선안 제안
   └─ 경영진 및 보안책임자 보고

## 1. 정기 감사 (Annual Audit)

목적:
- 연간 보안 준수 여부 평가
- 권한 관리 프로세스 유효성 확인
- 개선 필요 사항 식별

범위:
- 전체 계정/권한 관리 시스템
- 최근 1년간 계정 생성/변경/삭제 이력
- 보안 정책 준수 여부

방법:
- 시스템 로그 분석
- 담당자 인터뷰
- 실제 접속 시뮬레이션 테스트
- 문서 점검

결과:
- 감사 보고서 작성
- 개선 권고 사항 제시
- 경영진 보고

---

## 2. 이슈 기반 감사 (Issue-based Audit)

목적:
- 보안 사고/이슈 발생 시 원인 규명
- 재발 방지 대책 수립
- 관련 부서의 책임 확인

범위:
- 사고와 관련된 계정/시스템
- 관련 로그 및 이력

방법:
- 타임라인 분석
- 관련자 접촉 인터뷰
- 증거 수집 및 분석

결과:
- 사고 원인 보고서
- 재발 방지 대책
- 관련자 처벌/교육

---

## 3. 드라이브-바이 감사 (Drive-by Audit)

목적:
- 정기 감사 사이의 보안 상태 점검
- 갑작스러운 보안 위협 대응
- 상시 보안 의식 고취

범위:
- 무작위 선정 계정/시스템
- 특정 보안 취약점

방법:
- 간편한 점검 도구 사용
- 짧은 시간 내 점검 완료
- 즉시 결과 피드백

결과:
- 간단한 점검 결과 리포트
- 즉시 개선 필요 시 조치
- 교육 강화 필요 시 안내

## 관리자 권한 감사 체크리스트

### 1. 정책 및 절차 감사
- [ ] 권한 관리 정책 존재 여부
- [ ] 정책 주기적 검증 및 개선
- [ ] 권한 부여 절차 문서화
- [ ] 예외 처리 절차 정의

### 2. 권한 부여 감사
- [ ] 권한 부여 심의 기준 준수
- [ ] 불필요한 권한 부여 방지
- [ ] 임시 권한 만료 정책 준수
- [ ] 관리자 권한 보유자 명단 최신화

### 3. 접속 통제 감사
- [ ] 다중 인증(MFA) 적용 여부
- [ ] IP/시간 접근 제한 설정
- [ ] 로그 저장 및 보관 기간 준수
- [ ] 이상 접속 감지 알림 활성화

### 4. 모니터링 감사
- [ ] 관리자 활동 로그 기록
- [ ] 로그 검토 프로세스 운영
- [ ] 이상 행위 감지 및 대응
- [ ] 보안 사고 대응 절차 정립

### 5. 교육 및 인지도 감사
- [ ] 보안 교육 이수 현황
- [ ] 정책 인지도 조사
- [ ] 시뮬레이션 훈련 실시
- [ ] 보안 의식 고취 활동

┌─────────────────────────────────────────────────────┐
│         자동화된 권한 감시 시스템                     │
├─────────────────────────────────────────────────────┤
│                                                     │
│  ┌─────────────────────────────────────────────┐   │
│  │             1. 로그 수집                     │   │
│  │                                             │   │
│  │  - AD, ERP, CRM, DB 로그                    │   │
│  │  - 방화벽, 네트워크 로그                     │   │
│  │  - 애플리케이션 로그                         │   │
│  └─────────────────────────────────────────────┘   │
│                         │                           │
│                         ▼                           │
│  ┌─────────────────────────────────────────────┐   │
│  │           2. 분석 엔진                       │   │
│  │                                             │   │
│  │  - 사용자 행위 패턴 분석                     │   │
│  │  - 이상 행위 탐지 (ML 기반)                 │   │
│  │  - 규칙 기반 검증                           │   │
│  └─────────────────────────────────────────────┘   │
│                         │                           │
│                         ▼                           │
│  ┌─────────────────────────────────────────────┐   │
│  │          3. 위협 탐지                        │   │
│  │                                             │   │
│  │  • 비정상적 대량 데이터 접근                 │   │
│  │  • 비근무시간 관리자 접속                   │   │
│  │  • 새로운 IP/기기로의 접속                  │   │
│  │  • 권한 범위 밖의 작업 시도                 │   │
│  └─────────────────────────────────────────────┘   │
│                         │                           │
│                         ▼                           │
│  ┌─────────────────────────────────────────────┐   │
│  │          4. 자동 대응                        │   │
│  │                                             │   │
│  │  - 즉시 계정 잠금                           │   │
│  │  - 담당자 알림 (SMS/이메일)                 │   │
│  │  - 상세 리포트 생성                         │   │
│  │  - 보안팀 에스컬레이션                      │   │
│  └─────────────────────────────────────────────┘   │
│                                                     │
└─────────────────────────────────────────────────────┘

탐지 규칙 예시:

1. 관리자 계정 비정상 접속
   - 비근무시간(18:00-08:00) 접속 시도
   - 이전 접속 기록 없는 IP/기기
   - 연속 실패 3회 이상 시 자동 잠금

2. 대량 데이터 접근 시도
   - 단일 세션에서 1,000건 이상 조회
   - 개인정보 포함 데이터 대량 다운로드
   - 비정상적 패턴의 반복적 조회

3. 권한 범위 이탈
   - 권한 없는 시스템/기능 접근 시도
   - 감사/모니터링 기능 접근 시도
   - 관리자 계정으로 감사 기능 사용

4. 퇴직자 계정 접속 시도
   - 비활성화된 계정으로 접속 시도
   - 퇴직일 이후 접속 로그 검증
   - 관련 시스템 동시 접속 시도 감지