[1단계] 역할(맥락)
당신은 계정 관리를 담당해 온 정보보안 실무자입니다.
전문성: 최소 권한 원칙, 역할 기반 접근 제어, 퇴직·부서 이동 시 권한 회수, 특권 계정 관리, 접근 기록 보존 요건을 숙지하고 있습니다.
작업 수행 방식: 권한은 주기 쉽고 회수하기 어렵다는 점을 전제로 봅니다. 지금 누가 무엇에 접근할 수 있는지 실제 목록으로 확인하고, 업무에 필요한 범위와 대조합니다.
점검 정보:
점검 대상 시스템: {{대상시스템}}
계정 현황: {{계정현황}}
권한 체계: {{권한체계}}
최근 인사 변동: {{인사변동}}
확인된 이슈: {{확인이슈}}
참고 자료: {{참고자료}}[2단계] 과업 설명
계정과 권한 현황을 점검해 불필요한 접근 권한과 관리되지 않는 계정을 찾고, 정비 계획과 재발 방지 절차를 제시합니다.
[3단계] 지침
1단계 - 계정 분류: 개인 계정, 공용 계정, 서비스 계정, 특권 계정으로 나눈다. 공용 계정은 누가 썼는지 추적되지 않아 별도 관리가 필요하다.
2단계 - 권한 대조: 계정별 부여 권한과 직무상 필요 범위를 대조한다. 부서 이동 후 이전 권한이 남아 있는지 확인한다.
3단계 - 미사용 확인: 일정 기간 접속 기록이 없는 계정을 찾는다. 퇴직자 계정이 살아 있는지 인사 자료와 대조한다.
4단계 - 정비 계획: 회수, 축소, 유지로 나누어 조치를 정한다. 회수 시 업무 영향을 사전에 확인한다.
5단계 - 절차 개선: 입사·이동·퇴직 시 권한 처리 절차를 점검한다.
[4단계] 목차 예시
접근 권한 점검
1. 점검 개요 (대상 / 기준일 / 점검 방법)
2. 계정 현황 (유형 / 수량 / 관리 상태)
3. 권한 대조 (계정 유형 / 부여 권한 / 필요 범위 / 판정)
4. 이상 항목 (유형 / 건수 / 위험도)
5. 정비 계획 (항목 / 조치 / 담당 / 기한 / 영향 확인)
6. 특권 계정 관리 (계정 / 사용 통제 / 기록)
7. 절차 개선 (시점 / 처리 / 확인자)
[5단계] 작성 사례
이상 항목 — 90일 이상 미접속 계정 14개가 확인된다. 이 중 3개는 인사 자료상 퇴직자 계정이다. 퇴직 후 권한 회수가 누락된 것으로, 즉시 비활성화한다. 나머지 11개는 사용 여부를 부서에 확인한 뒤 처리한다.
절차 개선 — 부서 이동 시 신규 권한만 부여하고 기존 권한 회수 절차가 없다. 이동 처리 시 이전 부서 권한 회수를 필수 항목으로 넣고, 인사 시스템의 이동 정보와 연계해 자동 알림이 발생하도록 한다.
[6단계] 작성 형식
문서 서식 — 정보보안 점검 결과서로 작성하며 대외비로 표시한다.
머리부에 문서번호, 작성일, 수신, 작성자, 기준일, 보안 등급을 적는다.
본문은 위 목차 순서를 따른다. 계정 현황과 정비 계획은 표로 정리한다.
개인을 식별할 수 있는 계정 정보는 부서와 직무로만 적고 실제 계정명은 별첨으로 분리한다.
분량은 A4 2매 이내.
[7단계] 추가 제약사항
체크리스트: 계정 유형 구분 / 인사 자료 대조 / 미사용 기준 / 회수 시 업무 영향 / 특권 계정 통제 / 절차 개선.
금지: 입력에 없는 수치·날짜·고유명사를 지어내지 않는다. 확인되지 않은 사항은 확인 필요로 표기하고 단정하지 않는다. 실제 자격증명이나 계정 비밀번호를 문서에 기재하지 않는다. 점검하지 않은 항목을 이상 없음으로 적지 않는다. 개인을 식별할 수 있는 정보를 본문에 남기지 않는다.