서론: 한 번의 오발송이 드러낸 것은 직원 문제가 아니라 권한 문제다
어느 적층제조 작업장은 고객으로부터 항의를 받았다. 해당 프로젝트 책임자에게만 전달되어야 했던 모델 파일이 부서 이동을 마친 직원에 의해 개인 이메일로 외부 동종 업체에 전달된 것이다. 사후 분석 결과, 세 가지 문제가 동시에 존재했다. 해당 직원의 이전 프로젝트 접근 권한은 부서 이동 후 한 번도 회수되지 않았고, 파일 다운로드에는 어떠한 승인 절차도 없었으며, 누가 언제 어떤 파일을 다운로드했는지 시스템에 전혀 기록되어 있지 않았다. 이 세 가지가 겹치면서 차단할 수 있었던 작업은 입증조차 어려운 데이터 유출 사고가 되었다.
이러한 사건은 3D 프린팅 기업에서 드문 일이 아니다. 업계는 암호화, 비밀유지계약, 워터마크에 주목하는 경향이 있지만, 실제 데이터 경계를 결정하는 것은 계정 권한 체계다. 즉, 누가 무엇을 볼 수 있는지, 누가 접근을 승인했는지, 접근이 어떤 흔적을 남겼는지의 문제다. 이러한 규칙을 실행 가능한 엔지니어링 방안으로 만드는 일은 비밀유지계약을 열 건 더 체결하는 것보다 효과적이다.
1. 3D 프린팅 기업의 권한 관리가 일반 제조 환경보다 어려운 이유
3D 프린팅 기업의 데이터 형태는 대량생산 제조기업과 다르며, 이에 따라 권한 설계도 추가적인 복잡성을 가진다. 우선 데이터 세분성이 높다. 하나의 부품에는 원본 3D 모델, 복구된 메시 파일, 슬라이싱 파일, 공정 파라미터 패키지, 검사 보고서, 실물 사진 등 여섯 종류의 자산이 동시에 존재할 수 있으며, 이들의 민감도는 서로 다르다. 고객은 대개 생산을 위한 모델 사용만 허용할 뿐, 모델의 2차 수정이나 제3자 전달은 허용하지 않는다.
둘째, 참여자가 많다. 내부의 설계, 공정, 프린팅, 후처리, 품질검사, 납품 담당자 외에도 외주 가공업체, 장비 제조사의 원격 유지보수 인력, 고객 측 도면 검토자, 심지어 프로젝트에 임시로 참여하는 제3자 검사기관도 있다. 각 외부 역할마다 접근해야 하는 데이터 범위, 유효기간, 수행 가능한 작업이 다르므로, 하나의 내부 계정 체계로 이를 모두 포괄하려 하면 필연적으로 통제가 무너진다.
셋째, 시스템이 분산되어 있다. 모델 파일은 파일 서버나 객체 스토리지에 있고, 슬라이싱 파라미터는 장비 제조사의 로컬 소프트웨어에 있으며, 검사 데이터는 측정기나 CT 장비의 독립 워크스테이션에 있고, 주문 정보는 업무 시스템에 있다. 권한은 네 개의 시스템에서 각각 일부씩 관리되므로 직원이 부서를 이동할 때 네 곳 모두를 수정해야 한다. 어느 한 곳이라도 빠뜨리면 노출 지점이 남는다.
2. 역할 정의: 먼저 조직 구조를 데이터 객체로 번역하라
권한 체계에서 가장 흔한 오류는 조직도 구조를 그대로 복사하는 것이다. 직무는 조직 개념이고 권한은 데이터 개념이므로, 둘 사이에는 반드시 번역 계층이 필요하다. 실행 가능한 방법은 먼저 데이터 객체 목록을 구축하고, 그다음 역할을 정의한 뒤, 마지막으로 직무를 역할에 매핑하는 것이다.
데이터 객체는 부서 기준이 아니라 프로젝트 기준으로 구성하는 것이 좋다. 하나의 프로젝트 디렉터리 아래에 모델 영역, 공정 영역, 검사 영역, 납품 영역의 네 개 하위 공간을 두고, 각 하위 공간은 다시 읽기 전용, 편집 가능, 다운로드 가능, 외부 전송 가능의 네 가지 작업으로 구분한다. 이렇게 정의된 권한은 본질적으로 프로젝트 경계를 가지므로, A 프로젝트에서 일하는 직원이 B 프로젝트 파일을 우연히 보는 상황을 방지할 수 있다.
역할 수는 절제해야 한다. 경험적으로 내부 역할은 프로젝트 책임자, 설계 엔지니어, 공정 엔지니어, 생산 운영자, 품질검사 담당자, 납품 담당자, 시스템 관리자, 감사 담당자 등 6~8개로 제한하는 것이 좋다. 역할이 너무 많으면 아무도 각 역할이 할 수 있는 일을 기억하지 못하고, 결국 모든 사람이 관리자 권한을 신청하는 형태로 퇴화한다. 감사 담당자는 반드시 독립 역할이어야 하며 어떠한 데이터 수정 권한도 가져서는 안 된다. 그렇지 않으면 로그를 스스로 삭제할 수 있기 때문이다.
3. 최소 권한 원칙: 기본 거부, 필요 시 임시 권한 부여
최소 권한은 구호가 아니라, 검증 가능한 세 가지 규칙이 뒷받침되어야 한다. 첫째는 기본 거부다. 새 계정은 명시적인 권한 부여를 받기 전에는 어떠한 프로젝트도 볼 수 없어야 한다. 많은 시스템의 기본 설정은 "전 직원 읽기 가능"인데, 이는 3D 프린팅 환경에서 고객 모델을 사실상 반공개 상태로 만드는 것과 같다.
둘째는 권한의 유효기간 설정이다. 일반 직무 권한은 분기별로 검토하고, 프로젝트 기반 권한은 프로젝트 종료일에 연동하며, 임시 외부 접근은 일 단위로 정확하게 설정한다. 권한 만료 후에는 사람이 직접 닫아야 하는 것을 기억하도록 두지 말고, 시스템이 자동으로 권한을 회수하고 프로젝트 책임자에게 확인을 통지해야 한다. 셋째는 작업 분리다. 다운로드와 외부 전송은 별개의 권한이다. 생산을 위해 파일을 다운로드할 수 있다고 해서 파일을 외부에 보낼 수 있는 것은 아니다. 외부 전송은 반드시 별도 승인을 거쳐야 하며 기록이 남아야 한다.
고민감 데이터에는 2인 승인을 도입하는 것이 좋다. 고객 원본 모델 내보내기, 공정 파라미터 패키지 전체 내보내기, 임계값을 초과하는 대량 다운로드의 세 가지 작업은 두 번째 담당자의 검토 후에만 실행할 수 있도록 해야 한다. 2인 규칙의 가치는 내부자를 방어하는 데만 있지 않다. 단독 작업자의 오작동 가능성을 낮추고, 사후에 두 번째 증인을 남기는 데 있다.
4. 계정 생명주기: 입사, 부서 이동, 퇴사의 3단계 관리
권한 통제가 무너지는 빈번한 지점은 인사 변동이다. 입사 단계에서는 권한 신청을 문서화해야 한다. 프로젝트 책임자가 필요한 데이터 공간과 작업 목록을 제출하고, 승인 후 관리자가 설정하며, 설정 결과를 신청 문서에 다시 기록해 증빙으로 남긴다. 구두로 권한을 신청하는 것은 금지해야 한다.
부서 이동 단계가 가장 중요하면서도 가장 쉽게 간과된다. 올바른 순서는 이전 직무의 권한을 먼저 회수하고, 그다음 새 직무의 권한을 부여하는 것이며, 권한을 누적하는 방식이 아니다. 실제로는 부서 이동 당일 계정의 모든 프로젝트 권한을 동결하고, 새 직무 책임자가 다시 권한을 신청하도록 하는 방식이 더 안전하다. 신청되지 않은 공간은 일절 다시 볼 수 없어야 한다. 과거 프로젝트에서 해당 직원의 참여가 계속 필요한 경우에는 프로젝트 구성원 신분으로 별도 신청하고 종료일을 설정해야 한다.
퇴사 단계에서는 세 가지를 같은 날 완료해야 한다. 계정 삭제가 아닌 비활성화로 로그 연계성을 유지하고, 프로젝트 구성원 자격을 일괄 제거하며, 외부 전송 권한과 공유 링크를 모두 무효화해야 한다. 계정을 삭제하면 로그 속 작업자 연결이 훼손되어 사후 추적이 불가능해진다. 이는 많은 기업이 이미 겪은 문제다.
5. 작업 추적: 로그는 다섯 가지 질문에 답할 수 있어야 한다
추적 기록의 목적은 로그를 저장하는 것이 아니라 사후에 사실관계를 재구성하는 데 있다. 적합한 접근 로그는 최소한 다음 질문에 답할 수 있어야 한다. 누가, 언제, 어떤 데이터 객체에 대해, 어떤 작업을 했고, 결과는 어떠했는가. 필드 설계에서는 사용자 식별자, 타임스탬프, 객체 식별자, 작업 유형, 결과 상태 외에도 출처 단말기와 네트워크 위치를 기록하여 작업장 단말 접근과 원격 이상 접근을 구분할 수 있어야 한다.
로그 자체도 변조 방지가 필수다. 기록 후 수정하거나 삭제할 수 없어야 하며, 관리자 계정도 삭제 권한을 가져서는 안 된다. 보관 기간은 고객 계약에서 정한 분쟁 시효보다 짧아서는 안 되며, 일반적으로 12개월 이상 보관하는 것이 권장된다. 로그 파일에도 접근 감사가 필요하다. 누가 로그를 조회했는지 자체도 기록되어야 한다.
로그만 있고 점검이 없다면 로그가 없는 것과 같다. 세 가지 유형의 자동 경보를 설정하는 것이 좋다. 비근무 시간의 대량 다운로드, 단일 계정의 하루 다운로드량이 과거 기준선의 3배를 초과하는 경우, 외부 계정이 권한 없는 프로젝트 공간에 접근한 경우다. 경보를 즉시 위반으로 단정할 필요는 없지만, 반드시 근무일 내에 누군가가 처리하고 조치 기록을 남겨야 한다.
6. 외부 계정과 공유 링크의 경계
고객 도면 검토자, 외주 가공업체, 장비 제조사 유지보수 담당자는 내부 계정 체계와 혼용하지 않는 별도 네임스페이스의 외부 계정을 사용해야 한다. 외부 계정은 기본적으로 명시적으로 공유된 객체에만 접근할 수 있어야 하며, 프로젝트 디렉터리 구조를 볼 수 없고 링크를 통해 다른 파일 경로를 추측할 수도 없어야 한다. 공유 링크는 열거할 수 없는 무작위 식별자를 사용하고, 유효기간 및 접근 횟수 상한과 연동해야 한다.
장비 제조사의 원격 유지보수는 가장 쉽게 허용되는 통로다. 유지보수 계정은 일반적으로 장비 제어 시스템의 높은 권한을 가지며, 이것이 생산 네트워크의 파일 시스템과 연결되면 외부에 권한 체계를 우회하는 우회로를 열어 주는 것과 같다. 올바른 방법은 유지보수 접속을 독립된 네트워크 채널로 운영하고, 유지보수 기간 중의 파일 내보내기 작업도 승인 및 추적 범위에 포함하는 것이다.
7. 구축 점검 목록
기업은 다음 항목으로 자체 점검을 수행할 수 있다. 새 계정은 기본적으로 어떠한 프로젝트도 볼 수 없는가? 특정 직원이 현재 보유한 모든 권한을 5분 안에 열거할 수 있는가? 모든 권한에 유효기간이 있는가? 부서 이동 절차에 먼저 권한을 부여하고 나중에 회수하는 누적 행위가 존재하는가? 다운로드와 외부 전송은 두 개의 독립 권한인가? 로그에 출처 단말기 필드가 포함되어 있고 삭제할 수 없는가? 외부 계정은 내부 계정과 격리되어 있는가? 공유 링크는 유효기간 및 횟수 상한과 연동되어 있는가? 퇴사 당일 외부 전송 링크가 무효화되는가? 지난 분기에 실제로 권한 검토를 한 번 수행했는가? 열 가지 중 세 가지 이상에 답할 수 없다면 권한 체계를 재구축해야 한다.
결론
3D 프린팅 기업의 데이터 자산 경계는 결국 암호화 강도나 비밀유지계약이 아니라 계정 권한 체계에 의해 결정된다. 직무를 역할로 번역하고, 역할을 기한이 있는 데이터 객체에 연결하며, 기본 정책을 거부로 설정하고, 모든 접근을 감사 가능한 기록으로 남기는 이 네 단계를 제대로 수행하면 대부분의 데이터 유출 사고는 발생 전에 차단하거나 발생 후 명확하게 입증할 수 있다. 권한 관리는 일회성 제도 공지가 아니라 분기별 검토를 거쳐 프로젝트 변화에 따라 지속적으로 정비해야 하는 엔지니어링 체계다.