다거점 학원가 흔드는 결재판 오발송, 시험 원안 지키는 '상신 직후 회수'의 조건

전국 42개 직영 어학원을 운영하는 한 대형 교육기업에서 최근 실시한 보안 점검 결과, 결재 상신 후 오류를 인지하고도 문서를 즉각 회수하지 못해 발생한 정보 노출 시도가 분기당 평균 14건에 달한 것으로 나타났다. 강사 채용 계약서나 모의고사 출제 원안처럼 민감도가 높은 파일이 잘못된 수신처나 결재선에 얹힌 뒤 방치되는 사례가 다수를 차지했다.

지역 캠퍼스가 늘어나면서 본사와 지점 간 결재선이 복잡해진 점이 취약점으로 꼽힌다. 직영점 행정 직원이 타 지점의 강사 평가표를 결재선에 잘못 첨부하거나, 전산 등록 오류로 수험생 개인정보가 담긴 장학 지원 품의서가 권한 없는 관리자 결재판으로 넘어가는 일이 반복됐다. 결재자가 문서를 열람하기 전까지 작성자가 이를 회수할 수 있는 창구가 닫혀 있을 때 보안 사고 위험은 급격히 커진다.

결재선 오지정 뒤 방치되는 민감 문서

교육 서비스업은 계절별 특강이나 학기 전환기에 맞춰 대규모 인사이동과 신규 계약이 일어난다. 각 지점에서는 단기간에 수십 건의 품의서를 처리하며, 이 과정에서 부서 간 권한 설정 실수나 동명이인 결재권자 지정 오류가 잦다.

현장 점검에서 드러난 주요 원인은 결재 엔진과 문서 권한의 비동기화다. 상신 버튼을 누른 즉시 결재 대기 문서함으로 데이터가 이관되면서 기안자의 수정 권한이 차단되는 방식이 화를 불렀다.

점검 항목	단일 캠퍼스 운영 시	40개 이상 다거점 운영 시
오발송 문서 평균 인지 시간	15분 이내	4시간 이상 소요
회수 전 문서 열람 비율	8% 미만	34% 수준
민감 문서 주요 노출 유형	내부 강사료	학생 개인정보 및 시험 원안

지점 관리자가 결재선 실수를 알아채고도 본사 전산 담당자에게 문서 삭제를 유선으로 요청하는 사이, 오지정된 결재자가 문서를 열람하거나 첨부파일을 내려받는 사례가 빈번했다.

즉시 회수 엔진이 가르는 보안 대응 속도

"시험 문제 원안 결재판이 다른 지점장 계정으로 상신된 것을 3분 만에 알았지만, 시스템에서 직접 거둬들일 방법이 없어 전산실에 전화를 걸다 열람 로그가 찍힌 적이 있다." 수도권 한 캠퍼스 행정팀장의 말이다.

보안 체계가 정비된 교육 기관들은 상신 직후 결재자가 '문서 열람'을 하기 전까지 기안자가 단독으로 결재판을 철회하는 문서 회수(Recall) 기능을 결재 기본값으로 둔다. 회수 버튼이 눌리는 순간 결재 대기 목록에서 해당 문서가 즉각 삭제 처리되며, 이미 발송된 모바일 알림 토큰과 첨부파일 임시 링크도 함께 폐기된다.

물리적 거리가 떨어진 다거점 환경에서는 단순 삭제를 넘어 회수 시점의 감사 로그를 남기는 방식이 요구된다. 회수 전 결재권자가 미리보기 화면을 띄웠는지, 첨부된 시험지나 계약서 파일에 읽기 시도가 있었는지를 데이터로 확정해야 유출 여부를 판별할 수 있기 때문이다.

연동 결재선과 회수 정책의 결합 과제

문서 회수 기능을 열어둘 때 생기는 운영상 틈새도 존재한다. 상신 취소가 남발되면 다거점 지점별 결재 처리 시점이 왜곡되거나 감사 추적이 끊길 수 있다. 이 때문에 최근 교육 법인들은 회수 가능 조건을 결재선의 '최초 열람 이전'으로 제한하고, 회수 사유를 필수로 기록하도록 통제 정책을 병행한다.

지역별로 흩어진 교육 센터의 행정망을 통합 관리하려면, 결재 문서 회수 권한을 조직도 디렉터리와 직결해야 한다. 지점 폐쇄나 직무 변경으로 결재권이 바뀐 순간에도 잘못 올라간 문서를 기안자가 즉시 거두지 못하면, 보안 엔진의 성능과 무관하게 데이터는 무방비로 노출된다. 문서 회수는 단순 편의 기능이 아니라 결재 착오를 데이터 유출로 번지지 않게 막는 최소한의 방어선이다.