직원이 퇴사할 때 API 키를 즉시 회수하지 못하면 보안 사고 리스크가 남는다. 퇴사자가 발급받은 키를 통해 서비스에 계속 접근할 수 있기 때문이다. 특히 여러 외부 도구와 연동된 환경에서는 어느 서비스에 어떤 키가 설정되어 있는지 파악하기 어렵다. 연동 서비스 정리부터 시작해야 퇴사자 API 키 즉시 회수를 제대로 실행할 수 있다.
빠른 판단 포인트
- 퇴사 처리 당일에 발급된 모든 API 키를 목록화할 수 있는가 – 불가능하면 연동 서비스 맵핑부터 진행해야 한다
- 외부 도구에 저장된 키를 어디서 찾아 회수할지 명확한가 – 각 도구별 관리 위치가 다르므로 표준 절차가 필요하다
- 키 회수 후 해당 시스템이 정상 작동하는지 확인하는 담당자가 있는가 – 없으면 사후 장애 대응 시간이 길어진다
체크리스트
- 퇴사자의 개인 계정으로 발급된 API 키 목록을 확보했는가
- 각 API 키가 어느 외부 서비스에 연동되어 있는지 기록했는가
- 그 외부 서비스 관리자가 누인지 파악했는가
- 키 회수 권한을 가진 담당자에게 회수 의뢰를 했는가
- 회수된 키가 실제로 작동하지 않는지 검증했는가
- 대체 키나 대체 인증 방식으로 전환 완료 여부를 확인했는가
- 회수 기록과 시간을 로그에 남겼는가
핵심포인트
원인과 문제 상황 – API 키는 비밀번호보다 더 오래 유지되는 경우가 많다. 특히 자동화 도구, 결제 시스템, 데이터 동기화 서비스에 설정된 키는 한 번 잊혀지면 찾기 어렵다. 퇴사자가 회사 계정으로 개인 프로젝트나 외부 도구에 키를 저장했을 수도 있다.
자주 놓치는 포인트 – 연동 서비스 정리 없이 키만 회수하려고 시도하는 경우다. 주요 결제 도구, 메시징 서비스, 분석 플랫폼 중 어디에 키가 있는지 모르면 회수 절차 자체가 불완전해진다. 또한 여러 부서가 사용하는 도구라면 누가 키를 관리하는지부터 확인해야 한다.
검토 기준 – 퇴사 처리 담당 부서가 IT 부서, 개발 팀, 운영 팀에 동시 통지하는 구조가 필요하다. 각 팀이 자신들의 범위 내에서 연동 서비스를 확인하고 키를 회수해야 하기 때문이다. 최소한 회수 완료 여부를 증명할 수 있는 기록 시스템이 있어야 한다.
대응 절차
- 상황 확인 – 퇴사자 이름, 퇴직일, 발급받은 주요 API 키 목록을 준비한다. 인사 시스템이나 접근 권한 관리 시스템에서 퇴사자 계정에 연결된 키를 찾는다.
- 영향 범위 파악 – 각 API 키가 어느 외부 서비스에 연동되어 있는지 문서화한다. 자체 개발 시스템, 클라우드 플랫폼, SaaS 도구별로 분류한다. 각 도구의 관리자와 담당 부서를 파악한다.
- 우선 조치 – 고위험 키부터 회수 순서를 정한다. 결제 관련 키, 고객 데이터 접근 키, 인증 관련 키를 먼저 처리한다. 각 외부 서비스 관리자에게 회수 의뢰를 한다.
- 내부 확인 – 각 서비스 담당자가 키 회수를 완료했는지 확인받는다. 대체 인증 방식 또는 신규 키로의 전환 여부를 검증한다. 서비스 가동 중단이 없었는지 모니터링한다.
- 후속 대응 – 회수 완료 기록을 IT 감사 로그에 남긴다. 퇴사 처리 체크리스트에 API 키 회수 항목을 체크한다. 유사 상황 재발 방지를 위해 필요한 절차 개선사항을 기록한다.
공식 정보 확인 안내
각 외부 서비스의 API 관리 정책과 키 회수 방법은 서비스별로 다르다. 사용 중인 주요 도구의 공식 문서에서 키 관리 및 삭제 절차를 확인한다.
자주 묻는 질문 FAQ
Q1. API 키를 회수했는데도 계정이 계속 접근한다면
캐시된 키나 로컬 저장소에 남아 있는 경우가 있다. 해당 서비스에 저장된 모든 키를 무효화하는 옵션이 있는지 확인한다. 또한 같은 인증 방식을 쓰는 다른 키가 발급되어 있지는 않은지 점검한다.
Q2. 연동 서비스 목록을 만드는 방법은
접근 권한 관리 시스템에서 계정별 연동 앱을 확인하거나, 클라우드 플랫폼의 토큰 관리 메뉴를 본다. 각 부서 담당자에게 자신들이 사용 중인 외부 도구 목록을 제출받는 방식도 병행한다.
Q3. 퇴사자가 개인 프로젝트에서 회사 키를 썼다면
회사에서 승인하지 않은 외부 프로젝트라도 회사 키가 사용된 경우는 회수 대상이다. 해당 프로젝트의 관리자에게 통지하고 키 삭제를 요청한다. 필요하면 법무 팀과 상담해 대응 절차를 정한다.
Q4. API 키 회수 기록은 얼마나 보관해야 하는가
일반적인 감사 관행상 최소 1년 이상 기록하는 것이 좋다. 보안 사고 추적이나 규제 요구사항이 있다면 더 긴 기간 보관할 수 있다. 조직의 기록 보관 정책을 확인한다.
이 글은 정보를 쉽게 확인할 수 있도록 참고용으로 작성되었습니다. 최신 기준과 정확한 내용은 반드시 공식 안내를 통해 확인하시기 바랍니다.