회사 문서와 계정, 오늘 점검할 네 가지

2025년 4월 회사에서 실천할 보안 점검을 제안한 영상입니다. 특정 사고의 원인 분석이나 현재 피해 여부를 판정하는 글은 아닙니다. 제품별 설정과 정책은 사용 중인 회사 환경에 맞게 확인해야 합니다.

큰 정보 유출 소식을 접하면 이미 내 정보도 다 알려진 것 아닌가 하는 생각이 들 수 있습니다. 그래도 지금 줄일 수 있는 위험은 남아 있습니다. 일하면서 매일 열고 보내는 문서와 계정부터 살펴보면 좋겠습니다.

영상에서는 네 가지를 골랐습니다. 공유 문서, 공용 계정과 비밀번호, 단체 이메일, 그리고 업무용 AI입니다. 거창한 새 시스템을 만들기 전에 우리가 어디까지 공개하고 있는지부터 확인하는 일입니다.

숨긴 시트가 비밀을 지켜주지는 않습니다

저는 공유된 스프레드시트의 다른 탭에서 고객사 정보와 담당자 정보, 개발 로드맵을 본 적이 있습니다. 첫 화면만 보고 공유하면 뒤쪽 탭에 남은 내용을 놓칠 수 있습니다.

Google Sheets의 시트 보호는 주로 편집을 제한하는 기능입니다. 공식 도움말도 이를 보안 수단으로 쓰지 말라고 안내합니다. 숨긴 시트 역시 접근을 완전히 막는 기능이 아니며, 사본에서 다시 표시할 수 있습니다. 영상의 다운로드하면 모든 보안이 풀린다는 표현보다는, 숨김과 편집 보호를 접근 통제로 믿지 말아야 한다는 설명이 정확합니다. Google Sheets 보호·숨김 안내

먼저 문서의 공유 대상과 권한을 확인합니다. 외부 공개가 필요 없는 자료라면 실제 필요한 사람에게만 접근을 허용합니다. 링크 공유 상태만으로 모든 문서가 검색 엔진에 자동 노출된다고 단정할 수는 없습니다.

계약이 끝난 외주사와 퇴사자의 권한도 살펴봅니다. 중요 문서가 개인 계정 소유로 남아 있다면 회사 관리자와 소유권·보관 위치를 정리해야 합니다. 옮길 수 있는 범위는 서비스와 조직 정책에 따라 다릅니다.

비밀번호 하나를 여러 사람이 함께 쓰고 있다면

하나의 계정을 여러 사람이 사용하면 누가 어떤 일을 했는지 구분하기 어렵습니다. 같은 비밀번호를 여러 서비스에 쓰면 한곳의 사고가 다른 계정으로 이어질 위험도 커집니다.

가능하면 사람마다 업무 계정을 구분하고, 함께 받아야 하는 메일은 그룹이나 위임 기능으로 관리하는 편이 좋겠습니다. 관리자 계정에는 책임자를 정하고 다중 인증을 설정합니다.

영상에서는 SMS에만 의존하기보다 OTP 앱이나 보안키를 검토하자고 제안했습니다. 다만 OTP도 피싱을 모두 막는 방식은 아닙니다. 현재 NIST 지침은 수동 입력 OTP를 피싱 저항 인증과 구분합니다. 지원되는 환경에서는 FIDO 방식 보안키 같은 피싱 저항 인증도 관리자와 검토할 수 있습니다. NIST 인증 지침

저는 반년에 한 번 계정과 권한을 함께 정리하는 날을 잡자고 제안했습니다. 정기 점검을 기다리는 동안 퇴사자나 분실 계정의 조치를 미루자는 뜻은 아닙니다. 그때그때 회수할 권한과 정기적으로 점검할 항목을 나누면 됩니다.

받는 사람만큼 보내는 방식도 중요합니다

저는 면접 안내 메일의 수신자 목록에서 다른 지원자들의 주소가 함께 드러난 경우를 본 적이 있습니다. 단체 메일의 받는 사람이나 참조 칸에 주소를 늘어놓으면 수신자들이 서로의 정보를 볼 수 있습니다.

서로의 주소를 알 필요가 없는 안내라면 개별 발송이나 적절한 숨은참조를 검토합니다. 정기적이거나 규모가 큰 발송은 전용 도구로 수신자와 발송 방식을 관리하는 편이 낫겠습니다. 몇 명 이상이면 안전하다는 경계가 정해져 있는 것은 아닙니다.

첨부 파일을 보내기 전에는 내용과 수신자, 공유 링크의 권한을 다시 봅니다. 암호화나 접근 제한도 자료 성격과 회사 정책에 맞춰 적용해야 합니다. 숨은참조만 쓴다고 본문과 첨부 파일까지 보호되는 것은 아닙니다.

AI도 회사 자료를 다루는 도구입니다

회의록이나 코드를 AI 대화창에 붙여넣는 일은 자료를 외부 서비스에 전달하는 일입니다. 익숙한 화면이라고 해서 회사가 허용한 도구라는 뜻은 아닙니다.

핵심은 무료인지 유료인지 하나로 안전을 판단하지 않는 것입니다. 회사가 승인한 서비스와 계정인지, 어떤 자료를 넣을 수 있는지, 학습 사용·보관·삭제·관리자 통제 조건은 무엇인지 확인해야 합니다. 유료 결제나 학습 제외 설정 하나가 모든 보호를 대신하지는 않습니다.

팀에서 본격적으로 사용한다면 조직 관리 기능과 계약 조건을 함께 검토하자는 것이 영상의 제안이었습니다. 모든 서비스가 기록을 끄면 같은 기간 보관한다는 식의 숫자는 그대로 적용할 수 없습니다.

보안을 산불에 비유했던 이유도 비슷합니다. 이미 생긴 위험을 걱정하는 데서 멈추기보다, 지금 끌 수 있는 불과 줄일 수 있는 위험을 찾아야 합니다. 오늘 공유한 문서 한 개, 함께 쓰던 계정 한 개부터 점검해보면 좋겠습니다.