퇴사자 계정을 차단했다는 보고를 받았는데, 실제로는 기존 로그인 세션이 계속 살아 있다면 통제가 제대로 작동했다고 볼 수 있을까. 로그인 기록을 보관하고 있어도 아무도 이상 징후를 확인하지 않는다면 계정 오용을 제때 발견하기 어렵다. 보안 통제는 장비나 규정의 보유 여부보다, 줄이려는 위험과 실제 작동 결과를 연결해 살펴봐야 한다.
이 글에서는 예방·탐지·교정 통제를 목적에 따라 구분하고, 하나의 위험에 세 역할을 어떻게 조합할지 설명한다. 아래 기업 사례와 점검표는 개념을 실무에 적용하기 위해 구성한 가상 예시와 제안이다.
1. 보안 통제는 위험을 줄이기 위한 구체적인 수단이다
보안 통제는 정보와 시스템을 보호하기 위해 적용하는 정책, 절차, 사람의 활동, 기술적 장치 등을 말한다. 접근권한 승인 절차, 다중요소 인증, 로그 검토, 출입 제한, 복구 훈련이 모두 통제가 될 수 있다. 보호 대상은 데이터뿐 아니라 업무를 수행하는 서비스와 운영 과정까지 포함한다.
통제를 설계할 때는 먼저 “누가 어떤 자산에 어떤 피해를 줄 수 있는가”를 정해야 한다. 예를 들어 퇴사자의 업무자료 접근이 위험이라면, 통제 목표는 퇴사 이후 불필요한 접근을 차단하고 예외적인 접근을 발견하는 것이다. “계정관리 솔루션 도입”은 구현 수단이며, 목표를 달성했는지는 별도로 확인해야 한다.
예방·탐지·교정은 통제가 수행하는 기능을 나눈 것이다. 관리적·기술적·물리적 구분은 통제를 구현하는 방식에 가깝다. 따라서 하나의 통제를 “기술적 예방 통제”처럼 두 관점으로 함께 설명할 수 있다.
2. 예방·탐지·교정 통제는 목적과 결과가 다르다
| 구분 | 핵심 목적 | 예시 | 효과 확인 방법 |
|---|---|---|---|
| 예방 통제 | 원치 않는 행위나 사고의 발생 가능성을 낮춤 | 최소권한, 다중요소 인증, 접근 제한, 변경 승인 | 허용하지 않은 요청이 실제로 거부되는지 시험 |
| 탐지 통제 | 발생 중이거나 발생한 이상·위반을 발견 | 이상 로그인 경고, 로그 분석, 무단 변경 점검 | 시험 이벤트가 기록·분석되어 담당자에게 전달되는지 확인 |
| 교정 통제 | 발견된 문제를 바로잡고 안전한 상태로 되돌림 | 오설정 수정, 악성코드 제거, 침해 계정 자격증명 재발급 | 원인이 제거됐는지 재시험하고 정상 업무가 가능한지 확인 |
예방 통제는 모든 사고를 막는다는 뜻이 아니다. 정상 사용자에게 부여한 권한이 악용되거나 예외 설정이 누적되면 우회 경로가 생길 수 있다. 탐지는 이런 잔여 위험을 발견하는 역할을 하지만, 경고를 만드는 것만으로 피해가 줄어들지는 않는다.
교정 통제는 발견 사실을 처리 완료로 바꾸는 과정이다. 다만 분류 체계에 따라 사고 확산을 막는 격리는 대응·억제 역할로, 백업에서 서비스를 되살리는 활동은 복구 역할로 별도 구분하기도 한다. 실무에서는 억지로 세 범주에 모두 넣기보다 조치의 목적과 완료 조건을 구체적으로 기록하는 편이 낫다.
세 통제가 반드시 시간순으로 한 번씩만 실행되는 것도 아니다. 공격이 진행되는 동안 탐지와 차단이 반복될 수 있고, 사고 이후 적용한 설정 변경은 문제를 교정하면서 미래 사고를 예방하는 역할도 한다.
3. 같은 도구도 설정과 운영에 따라 역할이 달라진다
방화벽이라는 제품명만 보고 모든 기능을 예방 통제로 분류하면 실제 운영을 놓칠 수 있다. 허용되지 않은 통신을 거부하는 정책은 예방 역할을 하지만, 트래픽을 기록하고 이상 패턴을 알리는 기능은 탐지 역할을 한다. 경고 모드로만 운영하는 규칙을 차단 통제로 계산해서는 안 된다.
로그도 마찬가지다. 로그 저장은 조사에 필요한 자료를 남기는 기반이고, 이상 행위를 찾는 규칙이나 담당자의 검토와 연결되어야 탐지 효과를 평가할 수 있다. 경고를 누가 확인하고 어떤 조건에서 조치하는지 정해져 있지 않으면 기록은 많아도 발견과 대응은 늦어질 수 있다.
백업 보유 역시 복구 성공과 같지 않다. 필요한 시점의 사본이 남아 있는지, 사본이 손상되거나 함께 삭제되지 않는지, 실제 복원 후 데이터와 업무가 정상인지 확인해야 한다. 이러한 구분은 제품의 기능 목록과 조직이 확보한 통제 효과를 혼동하지 않게 해준다.
4. 가상 예시: 퇴사자 계정 오용에 세 역할 적용하기
외부 협업 도구와 사내 업무 시스템을 함께 사용하는 기업을 가정해 보자. 인사 부서가 퇴사 사실을 등록했지만 일부 서비스의 계정과 기존 세션이 남으면, 중앙 계정 하나를 비활성화한 것만으로 접근 차단을 보장할 수 없다. 이때 위험별로 다음과 같은 조합을 설계할 수 있다.
- 예방: 퇴사 정보 전달 책임과 처리 시점을 정하고, 연계 대상 서비스의 계정·권한을 회수한다. 서비스가 지원하는 범위에서 활성 세션과 관련 토큰도 종료·폐기한다.
- 탐지: 퇴사 처리 이후의 로그인·자료 접근 기록을 확인하고, 계정 회수 실패나 연계 누락을 담당자에게 알린다. 각 서비스가 제공하는 로그 범위와 수집 지연도 확인한다.
- 교정 및 후속 조치: 남은 접근 경로를 제거하고 오설정을 수정한다. 오용이 의심되면 관련 기록을 보존하면서 영향 범위를 조사하고, 인사 정보와 계정관리 연계가 누락된 원인을 개선한다.
여기서 완료 기준은 “계정을 비활성화했다”보다 구체적이어야 한다. 대상 서비스에서 새 로그인이 거부되는지, 기존 세션으로 계속 접근할 수 없는지, 예외 계정의 책임자가 정해졌는지를 확인해야 한다. 실제 조치 방법은 인증 구조와 서비스 기능에 따라 달라진다.
이 사례의 핵심은 탐지가 예방 실패를 찾아내고, 교정 결과가 다시 예방 설계에 반영되도록 만드는 것이다. 계정 하나를 닫은 기록보다 누락된 서비스를 발견하고 재발 경로를 없앤 기록이 통제의 실효성을 더 잘 보여준다.
5. 실무 점검표: 설치 여부에서 작동 증거로
다음 표는 특정 인증 기준을 그대로 옮긴 것이 아니라, 조직 내부 점검을 위한 제안이다. 영향이 큰 시스템부터 적용하고 시험은 승인된 계정과 안전한 환경에서 진행한다.
| 점검 질문 | 확인할 증거 | 미흡할 때 보완 방향 |
|---|---|---|
| 어떤 위험과 자산을 대상으로 하는가 | 위험 시나리오, 적용 시스템 목록 | 제품명 대신 보호 목표와 범위를 명시 |
| 예방 통제의 예외가 관리되는가 | 예외 승인자, 사유, 만료일, 재검토 기록 | 기한 없는 예외와 미적용 자산 정리 |
| 탐지에 필요한 기록이 들어오는가 | 수집 상태, 시각 동기화, 시험 이벤트 기록 | 로그 누락·지연·해석 오류 수정 |
| 경고가 실제 조치로 연결되는가 | 담당자, 연락 경로, 처리 기록 | 부재 시 대체 담당자와 이관 기준 지정 |
| 문제 수정 후 효과를 검증했는가 | 재시험 결과, 정상 업무 확인, 잔여 위험 | 완료 기준을 정하고 재검증 |
| 운영 변화가 통제에 반영되는가 | 신규 서비스·계정·설정 변경 검토 기록 | 변경 절차에 통제 적용 확인 추가 |
점검 결과는 “운영 중” 한 줄로 끝내지 않는 편이 좋다. 적용 대상, 예외, 마지막 시험 결과, 발견한 결함과 조치 책임자를 함께 남기면 다음 점검에서 변화와 미해결 위험을 확인할 수 있다.
통제 평가에는 문서와 설정 확인, 담당자 인터뷰, 실제 동작 시험을 조합할 수 있다. 모든 통제를 매번 같은 깊이로 시험하기보다는, 실패했을 때의 피해와 최근 변경 사항에 따라 범위를 정하는 방식이 현실적이다.
6. 실무자 관점: 세 종류의 개수보다 연결의 빈틈을 본다
예방·탐지·교정 통제를 각각 하나씩 도입했다고 해서 위험이 충분히 줄어드는 것은 아니다. 세 통제가 모두 같은 자산을 빠뜨리거나, 같은 관리자 계정에 의존하면 공통된 실패 지점이 생긴다. 통제 수를 세기 전에 적용 범위와 실패 시 대체 경로를 확인해야 한다.
자원이 제한된 조직이라면 새 제품을 늘리는 결정에 앞서 기존 통제의 공백을 찾아볼 수 있다. 차단 기능이 경고 모드인지, 로그가 끊겼는지, 경고 수신자가 퇴사했는지, 수정한 설정이 다시 원복됐는지를 확인하는 것이다. 이는 통제 목록을 늘리는 작업과 다른 운영 개선 과제다.
실무 판단의 출발점은 “이 통제가 실패하면 무엇으로 알아채며, 누가 어떻게 바로잡는가”라는 질문이다. 이 질문에 답이 없으면 예방 장치를 추가해도 사고가 발견되지 않거나 발견 후 방치되는 구간이 남을 수 있다.
결론
보안 통제를 검토할 때는 먼저 하나의 위험 시나리오를 고르고, 발생 가능성을 낮추는 수단과 실패를 발견하는 방법, 문제를 바로잡은 뒤 확인할 조건을 연결해 보자. 각 단계에 담당자와 작동 증거가 있으면 도입 현황을 넘어 실제 보호 수준을 판단할 수 있다.
제품 이름으로 통제를 확정하지 않고 기능·적용 범위·운영 상태를 확인하는 것이 출발점이다. 예방의 예외를 탐지가 발견하고, 교정 결과가 다음 예방 설계에 반영될 때 통제가 지속적으로 개선된다.