휴가자 계정에서 찍힌 내부망 로그인, 수기 연차 계산이 부른 보안 감사 틈새

공공기관 감사실이 외주 보안 컨설팅 결과 보고서를 열람하던 중 일부 연구원의 휴가 기록과 망분리 구역 출입 통제 기록이 어긋나는 정황을 포착했다. 휴가를 낸 날짜에 단말기 로그인 이력이 남았거나, 반대로 근무 중이어야 할 시간에 잔여 연차 데이터가 불투명하게 수정된 흔적이었다. 조사 결과 엑셀로 연차를 수기 취합하고 인사 담당자가 시스템에 일괄 입력하는 과정에서 계정 권한이 남용되거나 오류가 누적된 것으로 파악됐다.

수작업 기반의 근태 정산이 남긴 틈새는 단순한 행정 착오를 넘어 보안 감사 지적으로 이어졌다. 한 공공기관 정보보안 책임자는 "근무 상태와 계정 활성화 상태가 일치하지 않으면 비인가자의 내부망 접근이나 대리 접속 시도를 제때 탐지하기 어렵다"며 "연차 부여와 차감 내역이 시스템상에서 자동으로 갱신되고 로그로 남아야 하는 이유"라고 말했다.

입사일 기준 산정과 출입 기록의 불일치

인력 규모가 수천 명에 이르는 공공기관은 일반직과 무기계약직, 공무직 등 고용 형태별로 연차 산정 기준이 제각각이다. 회계연도 기준과 입사일 기준이 혼용되는 사업장에서는 매월 수백 건의 연차 계산이 수작업으로 이뤄진다. 담당자가 자리를 비우거나 수식이 어긋나면 잔여 일수가 잘못 표기되고, 이를 바로잡는 과정에서 관리자 계정으로 임의 수정이 일어나는 사례가 잦았다.

이러한 수동 개입은 보안 사고 발생 시 접속 주체를 특정하기 어렵게 만든다. 부재중이어야 할 직원의 계정으로 내부 자료 반출이나 전자결재 승인이 발생해도, 근태 데이터의 신뢰도가 떨어지면 비정상 행위 여부를 가려내기까지 시일이 걸린다.

규정 연동 통한 자동 정산과 변경 이력 보존

자동 연차 계산 기능은 인사 규정과 근로기준법상 산정식을 시스템에 사전 등록해 잔여 휴가를 실시간으로 맞춘다. 입사일자별 월차 발생부터 근속연수별 가산 연차, 촉진제 대상자 알림까지 담당자의 수기 입력 없이 처리하는 방식이다.

근태 상태가 변경되면 망분리 접근 권한이나 사내 결재선과 즉각 연동된다. 직원이 연차를 신청해 승인이 나면 잔여 일수가 즉시 차감되고, 승인 전까지는 수정이나 대리 입력이 제한된다. 모든 부여·차감 내역은 수정 불가한 감사 로그로 기록돼 사후 감사 시 조작 여부를 교차 검증할 수 있도록 돕는다.

시스템 전환 전 취업규칙 예외 조항 검증

자동 계산을 도입하기에 앞서 기관 내부의 복잡한 인사 규정을 표준화하는 작업이 선행돼야 한다. 육아휴직이나 파견, 노조 전임 등 특수 복무 형태에 따른 연차 인정 범위가 시스템 로직에 정확히 반영되지 않으면 오히려 현장의 수작업 수정을 부추길 수 있다.

기존 인사 DB와 그룹웨어 간 계정 식별값이 실시간으로 동기화되는지도 점검해야 한다. 발령 직후 권한이 갱신되지 않거나 퇴사자의 근태 데이터가 묶여 있지 않으면 자동 계산 엔진을 얹어도 보안 누수를 막기 어렵다는 지적이 나온다.