마감 직전 협력사에 설계 파일을 보내야 하는데 메일 첨부 용량은 넘고, 사내 공유 폴더는 외부에서 열리지 않는 상황이 생긴다. 이때 직원이 개인 USB를 꽂는 순간부터 관리 공백이 생긴다. 사내 USB 보안 정책 작성법은 단순히 ‘USB 사용 금지’라고 적는 일이 아니다. 어떤 자료를 누가, 어떤 승인 아래, 어느 저장장치에 담아 반출하는지 정하고 기술 통제를 연결하는 작업이다.
전면 금지는 문서상으로는 간단하지만 업무 우회로를 만들기 쉽다. 반대로 승인 없이 허용하면 고객정보, 소스코드, 인사자료, 계약서가 추적되지 않는 매체로 옮겨갈 수 있다. 정책은 업무 필요를 인정하되 개인 소유 장치와 무기록 반출을 막는 방향으로 설계하는 편이 낫다.
사내 USB 보안 정책 작성법의 뼈대
정책 문서에는 적용 대상, 허용 장치, 자료 등급, 승인권자, 반출 절차, 기록 보관, 위반 시 처리, 사고 대응을 넣는다. 본사 직원만이 아니라 계약직, 파견 인력, 퇴직 예정자, 외주 인력의 접속 범위도 적어야 빈틈이 줄어든다. 사내 PC뿐 아니라 개발 장비, 회의실 PC, 생산 설비용 단말처럼 예외가 필요한 자산도 목록화한다.
가장 먼저 정할 항목은 ‘USB’의 범위다. 이동식 디스크뿐 아니라 외장 SSD, SD카드, 스마트폰 파일 전송, USB 연결형 휴대기기까지 포함할지 명시한다. 충전만 허용하는 포트와 데이터 전송 포트를 기술적으로 구분할 수 있다면 운영 기준에도 반영한다.
| 자료 구분 | USB 저장 기준 | 반출 관리 |
|---|---|---|
| 공개 가능 자료 | 회사 지급 장치만 사용 | 반출일과 사용자명을 기록 |
| 사내 업무 자료 | 암호화 장치와 사용자 인증 | 관리자 승인 및 반출대장에 반출 목적·수령자 기록 |
| 개인정보·기밀 자료 | 원칙적 저장 제한 | 업무 책임자와 보안 담당자 별도 승인 |
자료 등급은 회사의 기존 정보분류 체계와 맞춰야 한다. 이미 ‘공개·사내·대외비·기밀’처럼 분류한다면 USB 정책에서 새 이름을 만들 필요가 없다. 기밀 자료는 파일을 복사하지 않고 보안 파일전송 서비스나 접근기간이 설정된 협업 공간을 쓰는 대안도 함께 제시한다.
외부 반출 규정은 승인보다 기록이 중요하다
외부 반출 규정에는 반출 목적, 파일명 또는 자료 유형, 수령자, 반출 기간, 저장장치 식별번호, 승인자, 회수 여부를 남긴다. 승인 메일 한 통만 보관하면 나중에 실제로 무엇이 나갔는지 확인하기 어렵다. 반출대장은 전자결재나 티켓 시스템에 연결해 검색과 보존이 되게 만든다. 예를 들어 반출일, 예정 반납일, 반출 목적, 수령자, 장치 식별번호를 필수 입력 항목으로 정할 수 있다.
승인권자는 한 명으로 고정하지 않는 편이 안전하다. 업무 필요는 부서장이 판단하고, 기밀성이나 개인정보 포함 여부는 정보보호 또는 개인정보 담당자가 확인하는 식으로 역할을 나눈다. 승인자가 부재한 긴급 상황도 대비해야 한다. 긴급 반출 사유, 임시 승인자, 사후 검토 기한을 적어 두면 ‘급해서 했다’는 예외가 상시 통로로 바뀌는 일을 줄인다. 사후 검토 기한은 반출 후 1영업일 이내처럼 정해 둘 수 있다.
외부 반출 뒤에는 자료를 언제 삭제하거나 회수할지도 정한다. 협력사 전달용 USB라면 수령 확인과 파기 확인을 받을지, 반환이 가능한지 계약 조건과 맞춰 검토한다. 예를 들어 반환 대상 장치는 반출일로부터 7일 이내 반납하도록 정할 수 있다. 해외 법인이나 해외 협력사에 전달하는 건 데이터 위치와 계약 조건이 얽힐 수 있으니 사내 법무팀과 관련 담당자의 확인을 거치는 편이 안전하다.
정책 문구만으로 끝내지 않는 운영 방법
정책을 배포한 뒤에는 회사 지급 암호화 USB의 발급·반납 절차를 만든다. 장치마다 자산번호를 붙이고 사용자, 부서, 발급일, 반납일을 자산관리 목록에 남긴다. 분실 신고 창구와 신고 기한도 분명히 알린다. 예를 들어 분실 사실을 인지한 뒤 24시간 이내에 신고하도록 정할 수 있다. 신고를 늦추면 대응 시간이 줄어든다는 사실을 교육에 포함할 필요가 있다.
기술 통제는 정책과 같은 방향을 봐야 한다. 엔드포인트 보안 도구로 미등록 USB 차단, 읽기 전용 허용, 암호화 장치만 쓰기 허용, 파일 복사 로그 수집을 설정할 수 있다. 다만 생산 장비나 오래된 시스템은 차단 설정이 업무 장애를 낼 수 있다. 배포 전에는 부서별 장비 목록과 필수 예외를 점검하고, 제한된 그룹에서 시험한 뒤 확대한다.
로그를 쌓기만 해서는 부족하다. 월별로 승인 없는 연결 시도, 대용량 복사, 퇴직 예정자의 반출, 장기 미반납 장치를 검토할 담당자와 주기를 정한다. 로그 보관 기간은 예를 들어 12개월로 정하고, 회사의 내부 보존 기준과 관련 법령·계약 조건에 맞춰 조정할 수 있다. 모니터링 범위와 로그 보관 기간은 직원 안내, 취업규칙, 개인정보 처리 기준과 연결될 수 있으므로 내부 규정 및 전문가 검토가 필요하다.
현장에서 자주 놓치는 예외
개발팀의 설치 이미지, 현장 엔지니어의 장비 설정 파일, 행사장 인터넷 장애, 기관 제출용 원본 매체처럼 USB가 필요한 업무는 남는다. 이런 경우 부서 예외 목록을 만들고 유효기간을 둔다. ‘개발팀은 허용’처럼 넓게 적기보다 특정 시스템, 지정 장치, 담당자, 만료일을 적는 편이 관리하기 쉽다.
개인 USB를 금지한다면 회사가 쓸 수 있는 대체 수단을 제공해야 한다. 지급 장치 신청이 며칠씩 걸리거나 파일전송 서비스가 외부 협력사를 받지 못하면 직원은 비공식 경로를 찾는다. 신청 처리 목표 시간, 긴급 발급 창구, 승인 상태 조회 방법까지 안내해야 정책이 업무를 막는 규칙으로 보이지 않는다.
실무 적용 체크리스트
정책을 배포하기 전에는 다음 항목을 확인한다.
- 적용 대상과 USB 범위, 개인 소유 장치 금지 기준을 정했는가
- 자료 등급별 저장 제한과 승인권자를 기존 정보분류 체계에 맞췄는가
- 반출대장에 반출 목적, 수령자, 반출일, 예정 반납일, 장치 식별번호를 남기도록 했는가
- 긴급 반출의 사후 검토 기한과 장치 반납 기한을 정했는가
- 분실 신고 기한, 로그 검토 주기, 로그 보관 기간을 운영 기준에 넣었는가
- 회사 지급 장치, 보안 파일전송 서비스, 긴급 발급 창구 같은 대체 수단을 제공하는가
FAQ
개인 USB를 모두 금지하면 충분한가?
충분하지 않다. 회사 지급 USB도 분실·오사용 위험이 있으므로 암호화, 장치 식별, 승인, 반납, 로그 확인을 함께 운영해야 한다. 스마트폰 전송과 개인 클라우드 같은 우회 경로도 정책 범위에 넣는다.
암호화 USB면 기밀 자료를 자유롭게 담아도 되는가?
암호화는 분실 시 노출 위험을 낮추는 통제 수단이지 반출 승인을 대신하지 않는다. 자료 등급과 업무 목적에 따라 저장 제한과 별도 승인을 적용하는 기준이 필요하다.
협력사가 USB 제출을 요구하면 어떻게 처리하는가?
요구 사항을 받은 부서가 반출 목적과 수령자를 등록하고, 지정된 회사 장치에 필요한 파일만 담는 절차를 권한다. 제출 뒤 수령 확인, 삭제 또는 반환 여부도 기록한다. 계약상 의무나 개인정보가 얽히면 관련 부서와 사내 법무팀 확인을 거친다.
USB를 잃어버린 직원은 어떤 절차를 밟아야 하는가?
즉시 보안 담당자나 지정 창구에 장치 번호, 마지막 사용 시점, 저장 자료 종류, 분실 장소를 신고하게 한다. 담당자는 계정·접근권한 조치 필요성을 확인하고, 반출 기록과 로그를 바탕으로 후속 대응 범위를 정한다.
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.