보안점검 체크리스트 항목별 대응 가이드 (계정 · 인증 · 암호화 · 접속기록)

이 가이드는 제너릭아이티가 2년간 8차례 보안점검을 대응하며 검토한 200여 개 점검 항목을 바탕으로 정리했습니다. 개인정보의 안전성 확보조치 기준을 중심으로 대부분의 고객사 점검표가 비슷한 항목을 묻습니다.

1. 계정 · 권한 관리

누가 어떤 권한으로 시스템을 쓰는지 통제하는 항목입니다. 대부분의 점검표 앞부분에 나옵니다.

점검 항목	요구 내용	구현 방법	제출 증적
1인 1계정	공용 계정 사용 금지	공용 계정 정리, 개인별 계정 발급	계정 목록, 공용 계정 삭제 화면
권한 차등 부여	업무에 필요한 최소 권한만 부여	역할별 권한 그룹, 메뉴 접근 제어	권한 그룹 설정 화면
권한 변경 이력	권한 부여 · 변경 · 말소 기록 3년 보관	권한 변경 시 이력 테이블 저장	이력 조회 화면, 보관 정책
장기 미접속 차단	일정 기간(예: 3개월) 미접속 계정 차단	마지막 접속일 기준 자동 잠금 배치	배치 설정, 잠금 계정 목록
퇴사자 계정 삭제	인사 변동 시 지체 없이 말소	퇴사 처리 시 계정 비활성화	퇴사자 처리 절차, 처리 내역

최근 점검에서 가장 많이 개발 요청이 나오는 영역입니다. 외부에서 접속 가능한 시스템은 2단계 인증을 요구하는 경우가 많습니다.

점검 항목	요구 내용	구현 방법	제출 증적
비밀번호 규칙	영문 · 숫자 · 특수문자 조합, 최소 길이, 주기적 변경	가입 · 변경 시 규칙 검증, 변경 주기 안내	규칙 검증 화면, 변경 안내 화면
로그인 실패 잠금	5회 이상 실패 시 계정 잠금	실패 횟수 누적, 잠금 처리	잠금 메시지 화면, 설정값
잠금 해제 본인 확인	관리자 임의 해제 금지, 본인 확인 후 해제	문자 인증 후 해제 기능	해제 절차 화면
2단계 인증	외부 접속 시 추가 인증	문자 · OTP 인증 추가	인증 화면, 설정 화면
초기 비밀번호 변경	최초 로그인 시 변경 강제	최초 로그인 감지 후 변경 화면 이동	변경 강제 화면

외부에서 시스템과 관리자 기능에 접근하는 경로를 제한하는 항목입니다.

점검 항목	요구 내용	구현 방법	제출 증적
관리자 접속 IP 제한	허용된 IP에서만 관리자 접속	관리자 IP 화이트리스트	IP 설정 화면, 차단 화면
자동 로그아웃	일정 시간 미사용 시 세션 종료	세션 타임아웃 설정	설정값, 로그아웃 안내 화면
동시 접속 제한	한 계정의 중복 로그인 제한	기존 세션 종료 또는 차단	중복 로그인 안내 화면
침입 차단	웹방화벽 · 침입차단 시스템 운영	웹방화벽 적용, 차단 정책	정책 화면, 차단 로그
개인정보 노출 방지	홈페이지 · 화면에 개인정보 노출 금지	목록 · 검색 화면 마스킹	마스킹 처리 화면

저장 · 전송되는 개인정보와 인증 정보를 보호하는 항목입니다. 운영 중인 DB를 바꿔야 해서 개발 범위가 큰 편입니다.

점검 항목	요구 내용	구현 방법	제출 증적
비밀번호 일방향 암호화	복호화할 수 없는 해시로 저장	SHA-256 이상 + salt 적용	DB 저장값 화면, 소스 일부
고유식별정보 암호화	주민번호 · 계좌번호 등 암호화 저장	AES-256 컬럼 암호화	암호화 컬럼 조회 화면
전송 구간 암호화	로그인 · 개인정보 전송 시 암호화	HTTPS(SSL) 적용	인증서 정보 화면
첨부파일 보호	개인정보 포함 파일 보호	파일 암호화 또는 접근 권한 제한	저장 방식 설명, 설정 화면
암호키 관리	개발 · 운영 암호키 분리, 접근 통제	환경별 키 분리, 키 접근 제한	키 관리 절차서

누가 언제 어떤 개인정보를 처리했는지 남기고 점검하는 항목입니다. 정기 점검 기록이 없어 지적받는 경우가 많습니다.

점검 항목	요구 내용	구현 방법	제출 증적
접속기록 항목	계정, 접속 일시, 접속지(IP), 처리한 정보주체, 수행 업무	로그 테이블 항목 보완	로그 조회 화면
보관 기간	최소 1년, 대량 처리 시 2년 이상	보관 정책, 백업	보관 정책, 오래된 로그 조회
다운로드 사유	대량 다운로드 시 사유 기록	엑셀 다운로드 시 사유 입력	사유 입력 화면, 기록
정기 점검	월 1회 이상 접속기록 점검	월간 점검 보고서 작성	월간 점검 보고서
위 · 변조 방지	로그 수정 · 삭제 방지	로그 권한 분리, 별도 백업	권한 설정, 백업 내역

보관 기간이 끝난 개인정보의 파기와 문서 체계를 확인하는 항목입니다.

점검 항목	요구 내용	구현 방법	제출 증적
개인정보 파기	목적 달성 · 기간 경과 시 지체 없이 파기	파기 기능 또는 배치	파기 화면, 파기 내역
파기 기록	파기 일시 · 대상 · 방법 기록	파기 이력 테이블	파기 대장
내부관리계획	개인정보 내부관리계획 수립 · 시행	현황에 맞게 계획서 갱신 지원	내부관리계획서
보안 업데이트	OS · 소프트웨어 보안 패치, 백신	패치 · 백신 상태 정기 확인	업데이트 내역, 백신 화면