시스템 구축은 외주에 맡기고, 장비 유지보수는 제조사가 원격으로 접속하고, 임시 프로젝트에는 아르바이트를 투입하고…… 중소기업은 거의 매일 ‘외부인’을 사내 네트워크에 들여보냅니다. 그런데 이런 제3자 인력에게 어떤 권한을, 얼마나 오래 줘야 하는지, 업무가 끝난 뒤에도 통로가 계속 열려 있는지는 많은 기업에서 아무도 관리하지 않습니다. 오늘은 외주 및 제3자 인력의 사내 네트워크 접속이 가진 실제 위험, ‘VPN 계정 하나 주면 끝’이라는 방식이 왜 가장 위험한지, 그리고 ‘필요할 때 열고, 만료되면 자동으로 닫고, 전 과정을 기록하는’ 방법을 명확히 짚어보겠습니다.
결론부터
제3자의 사내 네트워크 접속에서 가장 큰 위험은 ‘상대가 나쁜 사람’이라는 점이 아니라 권한을 너무 크게 주고, 너무 오래 열어두고, 지켜보는 사람도 없다는 점입니다 — 공유된 VPN 계정 하나, 오랫동안 활짝 열려 있는 원격 통로 하나가 외부 공격이 사내 네트워크로 침투하는 발판이 될 수 있습니다. 올바른 방법은 제3자를 ‘임시적이고, 제한적이며, 감사 가능한’ 접속자로 취급하는 것입니다: 이번에 다뤄야 할 한두 개 시스템만 개방하고, 시간을 한정하고, 사용이 끝나면 닫고, 전 과정을 기록하는 것이지, 사내 네트워크 전체에 들어갈 수 있는 만능 계정을 넘겨주는 것이 아닙니다.
외주/제3자가 사내 네트워크에 들어오면 어떤 일이 생길까
- 계정 하나로 사내 네트워크 전체 진입: 서버 한 대만 수리하게 하려 했는데, 부여한 계정으로 네트워크 전체를 마음대로 접근할 수 있어 재무, OA, 파일 서버가 모두 사정권에 들어갑니다.
- 통로를 오랫동안 닫지 않음: 프로젝트는 진작 끝났는데 당시 개설한 원격 계정이 그대로 남아 있고, 몇 달 뒤에는 아무도 기억하지 못해 ‘좀비 입구’가 됩니다.
- 계정 공유와 재사용: 외주 팀 여러 명이 계정 하나를 함께 쓰면, 문제가 생겨도 누가 한 일인지 도저히 가려낼 수 없습니다.
- 상대방의 보안 수준을 통제할 수 없음: 제3자의 PC에 악성코드가 있을 수도, 비밀번호가 매우 취약할 수도 있으며, 그 계정이 한 번 유출되면 사내 네트워크의 열쇠를 넘겨준 것과 같습니다.
- 사고가 나도 증거를 찾을 수 없음: 데이터가 유출되고 설정이 뒤엉켜도 접속 기록이 전혀 없어, 규정 준수 감사와 사후 책임 추궁이 모두 불가능합니다.
제3자 접속에서 반드시 관리해야 할 다섯 가지
아래 항목들을 제3자 접속 승인/회수 체크리스트로 만들어, 사람을 들여보낼 때마다 항목별로 하나씩 점검하십시오:
| 관리 항목 | 방법 |
|---|---|
| 접속 범위 | 이번에 다뤄야 할 그 PC/시스템만 개방하고, 나머지는 일절 보이지 않으며 접속도 되지 않게 합니다 |
| 접속 기간 | 유효 기간을 설정해 만료 시 자동으로 무효화하고, 장기 유지보수도 월별/분기별로 재검토해 갱신합니다 |
| 계정 귀속 | 1인 1계정 원칙으로, 외주 팀의 계정 공유를 금지하며 누가 조작했는지 확인할 수 있습니다 |
| 신원 인증 | 로그인 시 신원을 검증하고, 가급적 휴대폰/일회용 인증코드를 한 겹 더 추가하며 비밀번호 하나에만 의존하지 않습니다 |
| 작업 기록 | 누가, 언제, 무엇에 접속해, 무엇을 했는지 모두 로그로 확인할 수 있어야 합니다 |
‘VPN 계정 하나 주면 된다’는 방식이 가장 쓰면 안 되는 이유
- 들어오면 네트워크 전체가 열림: 전통적인 원격 접속은 대개 ‘연결하면 곧 사내 네트워크 안’이어서, 특정 PC 한 대만 다루도록 제한하기가 매우 어렵습니다.
- 개설과 폐쇄가 모두 수작업: 계정 개설과 폐쇄를 관리자가 직접 해야 해서 바빠지면 잊어버리고, 통로는 점점 쌓여만 갑니다.
- 보이지도, 조회되지도 않음: 상대가 내부에서 무엇에 접속하고 무엇을 건드렸는지 기록이 사실상 없습니다.
- 공유 계정은 책임 회피의 온상: 계정 하나를 여러 명이 쓰면 문제가 생겨도 아무도 인정하지 않아 책임을 물을 수 없습니다.
올바른 방법: 필요 시 권한 부여 + 만료 시 자동 회수
핵심은 제3자 접속을 ‘만능 입구 하나 제공’에서 ‘이번에 필요한 만큼만 정확하게 작은 문 하나를 열어주는’ 방식으로 바꾸는 것입니다:
- 통합 신원 입구: 제3자도 먼저 신원 인증을 거쳐야 하며, 계정과 권한을 하나의 관리 콘솔에서 중앙 관리하고 각 시스템에 흩어지지 않게 합니다.
- 최소 권한: 이번에 접속할 한두 개 리소스에만 권한을 부여하고, 다른 사내 시스템은 그에게 완전히 ‘보이지 않는’ 상태로 두어 보이지도 연결되지도 않게 합니다.
- 시간 제한 접속: 권한에 유효 기간을 두어 프로젝트가 끝나거나 기간이 되면 자동으로 무효화되며, 관리자가 기억해서 닫아야 하는 방식에 의존하지 않습니다.
- 1인 1계정 + 감사 가능: 제3자 인력마다 별도 계정을 부여하고 접속 기록을 온전히 보관해, 사고 시 추적이 가능하고 규정 준수 증거도 제시할 수 있습니다.
중소기업에는 SaaS 방식 제로 트러스트 솔루션이 가장 편리합니다. sTrust를 예로 들면, 외주 및 제조사 인력이 사내 네트워크에 접속할 때 모두 통합 입구에서 먼저 신원을 검증하고, 업무 시스템은 공용 인터넷에 ‘보이지 않는’ 상태가 됩니다. 관리 콘솔에서는 계정별·리소스별로 세밀하게 권한을 부여해 이번에 다룰 시스템만 개방하고 유효 기간을 설정하며, 사용이 끝나면 콘솔에서 비활성화해 한 번에 회수할 수 있고 접속 전 과정이 로그로 남습니다. 제어 영역이 중국 국내에 있고 ICP 신고도 완료되어 MLPS 2.0 대응이 가능하며, 소프트웨어 방식이라 하드웨어 구매 없이 개통되고 중국 내 직접 연결도 안정적입니다. 베이징 기업이 현지 구축·실시를 원하시면 Siwenlide가 제3자 계정 관리와 네트워크, 원격 접속을 한 번에 패키지로 처리해 사내 IT 팀을 도울 수 있습니다.
지금 바로 할 수 있는 세 가지
- 좀비 통로 점검: 현재 외주/제조사에 개설해 준 원격 계정을 모두 나열하고, 프로젝트가 끝난 것은 즉시 닫습니다.
- 1인 1계정으로 전환: 공유 계정을 중단하고 제3자 인력마다 별도 계정을 부여해, 사고 시 사람을 특정할 수 있게 합니다.
- 유효 기간 설정: 앞으로 제3자를 들여보낼 때는 반드시 만료 시각을 함께 지정하고, ‘영구 통로’는 더 이상 만들지 않습니다.
자주 묻는 질문
Q: 제조사가 원격으로 뭔가 좀 고치게 하는 건데, 이렇게 번거롭게 할 필요가 있나요?
A: 있습니다. 가장 흔한 사내 네트워크 침해가 바로 ‘임시로 열고 닫는 걸 잊은’ 제3자 통로를 통해 들어옵니다. 번거로운 것은 한 번의 설정이고, 줄일 수 있는 것은 한 번의 데이터 유출입니다.
Q: 외주 팀이 여러 명인데 계정 하나를 함께 쓰면 편한데, 안 되나요?
A: 권장하지 않습니다. 공유 계정은 문제가 생기면 누구인지 도저히 가려낼 수 없어 책임을 물을 수 없습니다. 1인 1계정이어야 추적이 가능합니다.
Q: 프로젝트 종료 후 통로가 반드시 닫히게 하려면 어떻게 해야 하나요?
A: 사람이 기억하는 방식은 누락되기 쉽습니다. ‘유효 기간 설정, 만료 시 자동 무효화’가 가능한 방식을 쓰거나, 통합 입구에서 계정을 비활성화하면 전부 회수되도록 해 수작업으로 하나씩 삭제하는 것에 의존하지 않는 것이 좋습니다.
Q: 중소기업에 전담 보안 인력이 없으면 어떻게 도입하나요?
A: SaaS 방식의 제로 트러스트 솔루션(예: sTrust)을 활용하세요. 소프트웨어만 개통하면 되고 하드웨어를 구매할 필요가 없으며, 권한 부여와 회수 모두 백오피스에서 몇 번의 클릭으로 처리됩니다. IT 운영 서비스 업체에 구성을 맡겨 자사 IT의 외부 지원 인력으로 활용할 수도 있습니다.
아직도 VPN 계정 하나로 외주 업체를 사내 전체 네트워크에 “들여보내고” 계신가요?
sTrust 제로 트러스트 원격 접속: 제3자의 신원을 먼저 검증하고, 리소스별로 세밀하게 권한을 부여하며, 제한 시간이 지나면 자동으로 만료되고, 1인 1계정으로 전 과정을 감사할 수 있습니다. 업무 시스템은 공용 인터넷에서 보이지 않으며 MLPS 2.0(중국 등급보호제도)에 대응할 수 있습니다. 소프트웨어만 개통하면 하드웨어 구매가 필요 없고, 중국 내 직결로 안정적으로 연결됩니다. strust.siwenlide.com 에서 무료로 체험해 보세요. 베이징 지역 현장 구축은 400-686-2011 로 전화하시거나 siwenlide.com 을 방문해 주세요.
