서울 강남의 한 의원에서 의사가 자신에게 프로포폴을 투약한 혐의로 적발됐다. 논란이 된 대목은 혐의 자체보다 그다음이었다. 대법원 확정 판결까지 통상 3년 안팎이 걸리는데, 그 기간에는 면허가 유지되므로 진료를 계속할 수 있다는 점이다. 대한의사협회가 ‘의사면허원’ 설립과 자율 징계권을 요구하고 나선 배경도 여기에 있다.
문제의 이름은 ‘상태 반영 시차’다
이 구조는 특정 직역만의 문제가 아니다. 어떤 조직이든 사실이 바뀐 시점과 시스템이 그 사실을 아는 시점 사이에는 간격이 있다. 퇴사, 부서 이동, 자격 만료, 계약 종료 — 모두 마찬가지다. 이 간격이 길수록 사고 확률은 선형이 아니라 가파르게 올라간다.
보안 사고 대부분은 뚫려서가 아니라, 이미 닫았어야 할 문이 열려 있어서 생긴다.
실무에서 권한이 가장 잘 남는 네 곳
① 통합 로그인 바깥의 계정
SSO에 물린 계정은 퇴사 처리 한 번으로 정리된다. 문제는 그 바깥이다. 결제 대행사 관리자, 도메인·DNS, 문자 발송 콘솔, 광고 계정, 서버 SSH 키. 대개 담당자 개인 이메일로 가입돼 있고, 인사 시스템은 이런 계정의 존재 자체를 모른다.
② 협력사·프리랜서 계정
프로젝트 종료일은 계약서에 있지만 계정 만료일은 어디에도 없는 경우가 흔하다. 외부 계정은 만들 때 만료일을 함께 넣는 것 외에 확실한 방법이 없다. 기본값을 ‘무기한’이 아니라 ’90일 후 자동 만료’로 두고 연장하는 방식이 안전하다.
③ 자격·면허 만료
전기안전관리자, 소방안전관리자, 조리사, 지게차·차량 운전 자격처럼 유효기간이 있는 자격은 만료 사실을 아무도 통보해주지 않는다. 갱신일이 인사 데이터에 없으면 사고가 난 뒤에야 확인된다.
④ 공유 계정
여러 명이 같은 아이디를 쓰면 회수라는 개념이 성립하지 않는다. 누가 언제 무엇을 했는지도 남지 않는다. 감사 로그가 필요한 업무일수록 공유 계정부터 정리해야 한다.
분기 1회, 30분이면 되는 점검
- 단일 출처를 정한다 — 재직·소속·자격의 정본은 인사 데이터 한 곳이어야 한다. 여러 시스템이 각자 명단을 들고 있으면 어느 쪽이 맞는지 아무도 모른다. 규모가 커지면 인사 ERP 개발 단계에서 자격 유효기간 필드를 처음부터 넣어두는 편이 나중에 붙이는 것보다 훨씬 싸다.
- 권한 재인증을 돌린다 — 시스템별 접근자 명단을 뽑아 부서장이 직접 ‘유지/회수’를 표시하게 한다. 사내 결재·설문 기능이 이미 있다면 별도 도구 없이도 분기 점검을 굴릴 수 있는데, 이런 항목은 애초에 그룹웨어 구축 단계에서 권한 관리와 함께 설계해두면 훨씬 수월하다.
- 만료 알림을 자동화한다 — 자격 갱신 60일 전, 협력사 계정 만료 14일 전 알림. 담당자 기억에 의존하지 않는 게 핵심이다.
- 퇴사 체크리스트에 ‘외부 계정’을 넣는다 — 사내 계정만 적힌 체크리스트는 절반짜리다.
도구를 늘리기 전에 목록부터
권한 관리 솔루션을 검토하기 전에, 우리 회사가 쓰는 외부 서비스 전체 목록부터 만들어야 한다. 이 목록이 없으면 어떤 도구를 사도 관리 범위 밖이 남는다. 목록이 20~30개를 넘고 담당자가 흩어져 있다면, 간단한 내부 관리 화면 하나를 사내 웹 개발로 붙여 계정·담당자·만료일을 한곳에서 보는 편이 스프레드시트보다 오래 유지된다.
제도가 판결을 기다리는 동안 면허를 정지하지 못하는 것처럼, 조직도 확인이 끝날 때까지 권한을 그대로 두는 관성이 있다. 차이가 있다면 사내 권한은 법원 판결 없이도 오늘 회수할 수 있다는 점이다.
