전입 직원 사외 메일 접속에 감사 의견서 받은 공공기관, 접속 로그로 보안 소명선 묶다

전입 직원 사외 메일 접속에서 시작된 보안 소명

올해 상반기 정기 전보로 발령받은 신규 전입 직원이 재택근무 중 사외 망에서 기관 웹메일로 대외비 사업계획서를 확인한 사실이 상급 기관 종합감사에서 지적됐다. 해당 기관은 국가정보보안기본지침과 공공기록물 관리에 관한 법률 시행령에 따라 비인가 외부 IP를 통한 업무 메일 접속과 첨부파일 다운로드를 엄격히 통제해야 하는 공공기관이다.

발령 직후 계정 권한과 망 분리 접속 기준을 명확히 전달받지 못한 직원의 단순 실수였으나, 감사실에는 접속 일시와 IP, 다운로드 파일명을 분 단위로 소명해야 하는 감사 의견서가 날아들었다. 공공기관 행정망에서 온보딩 시기 메일 계정 관리가 감사 지적으로 직결된 순간이었다.

망 분리 환경과 온보딩 초기 권한 설정의 충돌

공공기관은 통상 행정망(내부망)과 인터넷망(외부망)이 분리된 환경에서 업무를 처리한다. 본원과 지역본부 등 4개 거점에 450여 명이 근무하는 이 기관은 전보 시즌마다 전입자와 신규 임용자 계정이 수십 개씩 새로 열린다. 신규 입직자가 정부 공문서 유통 규정과 기관 보안 지침을 완전히 숙지하기 전까지 발생하는 사외 접속 시도는 관리 사각지대로 남기 일쑤였다.

기존 메일 시스템에서는 단순 로그인 여부만 파악될 뿐, 어떤 IP 대역에서 접속해 어느 첨부파일을 열람했는지 파악하려면 서버 담당자가 개별 로그 파일을 일일이 추출해야 했다. 이 과정에서 소명 자료 작성에만 며칠씩 걸렸고, 직원의 고의성 여부를 객관적으로 입증하기도 어려웠다.

정보화추진팀 담당자는 "전입 직원이 교육을 받기 전 사외에서 스마트폰이나 개인 PC로 공용 메일을 열어보는 일이 종종 있었는데, 기존 환경에서는 접속 로그 추적이 번거로워 감사관실 요구에 맞춘 즉각적인 증빙 제출이 불가능했다"고 말했다.

접속 IP와 다운로드 이력 즉각 추적하는 체계

기관은 온보딩 과정의 보안 누수를 막기 위해 웹메일 관리자 화면에서 계정별 접속 로그와 행위 이력을 실시간으로 대조하는 방식을 도입했다. 공공 전용 메일 시스템 내 '접속 로그' 기능을 활용해 외부 IP 접속 시도, OTP 2차 인증 성공 여부, 본문 조회 및 첨부파일 다운로드 기록을 단일 감사 화면에서 조회하도록 바꿨다.

신규 발령 직원이 외부에서 메일에 접속하면 내부망 전용 IP 대역과 즉각 대조되어 관리자 감사 로그에 별도 표기된다. 비인가 IP에서 발송되거나 열람된 메일은 시각, 브라우저 정보, 세션 유지 시간까지 자동으로 기록되어 소명 대장에 남는다.

감사실은 전입 직원 온보딩 기간 동안 발생하는 외부 접속 이력을 별도의 서버 로그 추출 없이 관리자 페이지에서 바로 내려받아 이상 징후를 점검한다. 이를 통해 부주의로 인한 접속인지, 계정 도용인지 여부를 당일 확인하는 체계를 갖췄다.

감사 소명 시간 줄었으나 망 연동 교육은 상시 과제

메일 접속 로그의 실시간 집계로 감사 대응에 걸리는 시간은 줄었다는 게 현장의 설명이다. 전입자가 사외에서 접속하더라도 접속 경로와 파일 다운로드 여부가 명확히 분리 기록되므로, 악의적 유출이 아닌 단순 규정 미숙지 사례를 신속하게 선별해 소명할 수 있게 됐다.

다만 접속 로그 기능만으로 직원의 사외 접속 시도 자체를 원천 차단할 수는 없다. 외부 파견자나 현장 파사드 점검 인력처럼 예외적으로 사외 접속 승인을 받아야 하는 인원의 계정 분기 처리와, 전입 즉시 진행하는 보안 망 이용 교육을 정례화하는 작업이 보완 과제로 남아 있다.