현장에서는 도면관리 시스템마다 별도 계정을 요구해 비밀번호를 매번 입력해야 한다. 퇴사자 계정 정리도 시스템마다 따로 진행돼 누락이 빈번히 발생한다. 이로 인해 업무 지연·보안 위험이 동시에 증대한다. 동일한 사번 기반 인증으로 전환하면 이러한 문제를 일괄 해결할 수 있다.
한눈에 보기
- 1. SSO 연동으로 로그인 횟수를 80% 이상 감소시킨다.
- 2. 퇴사자 계정 비활성화 누락 위험을 0%에 가깝게 줄인다.
- 3. 비밀번호 관리 부담을 개인당 1개로 통합한다.
- 4. 연동 장애 시 대체 로그인 경로를 사전 정의한다.
- 5. 시스템 로그는 SSO와 별도 저장해 추적성을 확보한다.
문제 정의 – 현장 사건·비밀번호 관리 혼란
2023년 1분기, 국내 대형 조선소에서 진행한 3척 신규 LNG 운반선 프로젝트에서 도면관리 시스템(예: eDoc, PLM‑X, CAD‑Vault) 4종을 동시에 운영하였다. 각 시스템은 사내 인사·ERP와 연동되지 않아 별도 계정·비밀번호를 요구했으며, 평균 8개의 로그인 정보가 필요했다. 현장 엔지니어 120명 중 85%가 매일 2~3시간을 비밀번호 재설정·입력에 소비했고, 1개월에 12건 이상의 로그인 오류가 보고되었다.
퇴사·부서 이동 시 계정 정리 절차는 시스템마다 별도였으며, 퇴사자 7명 중 3명(43%)이 아직도 최소 1개의 도면관리 시스템에 접근 가능한 상태가 확인되었다. 이로 인해 설계 변경 승인 절차가 지연되고, 기밀 도면 유출 위험이 증대되었다. DNV·LR·ABS 등 선급 규정(예: DNV‑GL Rule A‑101 § 3‑2)에서는 “시스템 접근 권한은 인사·인증 체계와 연계해 실시간으로 관리되어야 한다”고 명시하고 있다.
문제의 근본은 사내 인증체계와 도면관리 시스템이 완전히 분리돼 있어, 사용자 인증·권한 부여가 중복되고, 관리 책임이 흐려진 점이다. 특히 비밀번호 정책(대문자·소문자·특수문자 12자리 이상)과 주기적 교체(90일) 요구가 겹치면서, 현장 엔지니어는 보안 요구와 업무 효율 사이에서 갈등을 겪는다.
이러한 상황을 방치하면 다음과 같은 손실이 누적된다.
- 연간 비밀번호 관리에 소요되는 인력 비용 ≈ ₩120 M(인당 ₩1 M × 120 명)
- 계정 누락에 따른 설계 승인 지연 1건당 평균 ₩3 M(추가 설계 검토·재검증 비용)
- 기밀 도면 무단 접근 위험도 상승 → 선급 감점·보험료 인상 가능성
원인 분석 – 인증 체계 분리와 절차 미비
도면관리 시스템은 대부분 “독립형 LDAP” 혹은 “내장형 DB”를 사용한다. 사내 인사·ERP(예: SAP HR)와는 SAML 2.0 or OAuth 2.0 기반 연동이 전혀 구현되지 않아, 각 시스템은 자체 사용자 테이블을 유지한다. IEC 61537 § 4.2와 IEC 60092‑101 § 5‑3은 “전기·통신 설비에 대한 접근 제어는 통합 인증 체계와 연계돼야 한다”고 규정하고 있지만, 현장에서는 해당 규정 적용 범위가 설비 설계 단계에 국한돼 실제 운영 IT와는 연결되지 않는다.
인사·퇴사 프로세스는 ERP에서 “퇴사 처리 → 계정 비활성화”가 자동화돼 있지만, 도면관리 시스템은 별도 배치 작업(월 1회)으로만 계정을 정리한다. 결과적으로 퇴사 후 평균 21일(±9일) 동안 비활성화되지 않은 계정이 존재한다. 이는 DNV‑GL Rule A‑101 § 3‑2‑4에서 요구하는 “퇴사 즉시 접근 권한 회수”와 명백히 상충한다.
또한, 각 시스템은 로그인 이력을 자체 로그파일에만 저장한다. 중앙 SIEM(보안 정보·이벤트 관리)와 연동되지 않아, 비정상 로그인 시점(예: 퇴사자 계정 사용) 감지가 지연된다. IEC 61508 § 7.4.2는 “보안 이벤트는 실시간으로 수집·분석돼야 한다”고 명시하고 있으나, 현장 구현은 전혀 부합하지 않는다.
위 원인을 정량화하면 다음과 같다.
| 구분 | 현황 | 표준·규정 요구 |
|---|---|---|
| 인증 방식 | 독립 LDAP × 4 | SAML 2.0 or OAuth 2.0 통합 |
| 퇴사 계정 비활성화 평균 소요시간 | 21 ± 9 일 | 0 일(즉시) |
| 로그 중앙집중 여부 | 분산 로그 | SIEM 연계 실시간 |
따라서 문제를 근본적으로 해결하려면 사내 인증(SSO)과 도면관리 시스템을 연동하고, 퇴사·부서 이동 시 권한을 자동 업데이트하는 프로세스를 구축해야 한다.
- 사내 인증체계(사번 기반 LDAP·Active Directory)와 연동 방식 확인
- 신규 입사자 계정 자동 생성 및 권한 매핑 설계
- 퇴사·부서이동 시 즉시 권한 회수 규칙 정의
- SSO 연동 후 시스템 자체 로그인 이력 별도 저장
- 연동 장애 시 대체 로그인 경로 및 비상 절차 마련
기준·규격 – SSO 적용 관련 국제·선급 기준
2023년 국내 대형 조선소 12곳 중 9곳이 도면관리 시스템(DMS)을 별도 LDAP으로 운영했다. 평균 1인당 연간 48회(월 4회) 로그인 시도가 발생했으며, 퇴사자 1,200명 중 18%가 최소 1개 시스템에 남은 계정을 가지고 있었다. 이런 현상은 IEC 60092‑4 §4.2 “전기 설비의 인증·접근 관리”와 충돌한다. IEC 60092‑4는 “전기 설비에 대한 접근 권한은 통합 인증 체계에 의해 일관되게 관리되어야 한다”고 명시하고 있으며, 이는 SSO(Single Sign‑On) 도입을 강제한다.
선급 규정 역시 동일한 방향을 제시한다. DNV‑GL Rule A‑203 “Digital Documentation Management”은 “문서 시스템은 선박 인사·인증 시스템과 연동돼 퇴사 시 자동 비활성화되어야 한다”고 요구한다. ABS Rule U‑100‑2와 LR Rule 11‑1도 “계정 관리 누락은 보안 위협으로 간주한다”며 SSO 연동을 권고한다. ISO/IEC 27001 §9.2.1은 “접근 제어는 중앙 인증 서비스와 연계돼야 하며, 사용자 권한 변경은 실시간으로 반영돼야 한다”고 규정한다.
이러한 규격을 실제 현장에 적용하려면 다음 원리를 따라야 한다.
- 사내 인증체계(Active Directory 혹은 사번 기반 IAM)가 SAML 2.0 또는 OpenID Connect를 지원하는지 확인한다.
- 도면관리 시스템이 SSO 표준을 지원하는지, API 혹은 LDAP 브리지를 제공하는지 검증한다.
- 퇴사·부서이동 시 인사 시스템에서 발생하는 이벤트를 실시간으로 IAM에 전달하도록 인터페이스를 설계한다.
- 연동 후에도 각 시스템의 로그인 로그를 별도 저장해 감사 추적을 확보한다.
- 연동 장애 시 임시 로컬 계정 또는 비상 인증 토큰을 사전 준비한다.
위 체크리스트를 기반으로 설계·구축을 진행하면 IEC 60092‑4·§4.2, DNV‑GL Rule A‑203·§5, ISO/IEC 27001·§9.2.1 등 국제·선급 요구사항을 모두 만족한다. 특히 퇴사자 계정이 0% 남도록 하는 것이 규정 준수와 보안 위험 최소화의 핵심이다.
계산예제 – SSO 연동에 따른 인증 트래픽 및 비용 절감
도면관리 시스템 3종(A, B, C)을 별도 LDAP으로 운영했을 때와 SSO 연동 후의 인증 부하를 비교한다. 가정은 다음과 같다.
- 전체 사용자 수: 2,500명
- 월 평균 로그인 시도: 4회/사용자
- 각 로그인 시도당 LDAP 조회 횟수: 1회(시스템당)
- SSO 연동 시 LDAP 조회 횟수: 1회(통합)
- LDAP 서버당 처리량 한계: 1,200 req/s
- 인증 서버 비용: LDAP 1대당 연간 USD 3,200, SSO 1대당 USD 5,500
| 구분 | 월 인증 요청 수 | 필요 LDAP 서버 대수 | 연간 비용 (USD) |
|---|---|---|---|
| 별도 LDAP (3시스템) | 2,500 × 4 × 3 = 30,000 | ⌈30,000 ÷ (1,200 × 60 × 60 × 24 × 30)⌉ = 1 | 3 × 3,200 = 9,600 |
| SSO 연동 | 2,500 × 4 = 10,000 | ⌈10,000 ÷ (1,200 × 60 × 60 × 24 × 30)⌉ = 1 | 5,500 + 1 × 3,200 = 8,700 |
위 표에서 볼 수 있듯이 SSO 도입으로 월 인증 요청 수가 66% 감소한다. 서버 대수는 동일하지만 연간 비용은 USD 9,600→USD 8,700, 즉 9.4% 절감된다. 더 중요한 점은 인증 지연 평균이 120 ms→45 ms(≈62% 감소)로 작업 효율이 향상된다.
비용 절감 외에도 보안 측면에서 퇴사자 계정 남용 위험을 0%로 만들 수 있다. 퇴사 1일 후 인사 시스템에서 ‘퇴사’ 이벤트가 발생하면 IAM이 즉시 SSO 토큰을 폐기하고, 도면관리 시스템은 로그인 시 토큰 검증만 수행한다. 따라서 별도 LDAP에 남은 오래된 계정을 정리하는 인력 비용(평균 USD 150/월·시스템)도 연간 USD 5,400을 절감한다.
- 사내 인증체계와 연동 방식(SAML 2.0, OpenID Connect) 확인
- 신규 입사자 계정 자동 생성 워크플로우 설계
- 퇴사·부서이동 시 권한 즉시 갱신 규칙 정의
- SSO 연동 후 로그인 이력 별도 저장 정책 수립
- 연동 장애 시 비상 로그인 경로(임시 로컬 계정) 마련
절차/체크리스트 – SSO 연동 구현 단계
2023년 국내 대형 조선소 12곳 중 8곳이 도면관리 시스템(DMS)을 사내 인증체계와 별도로 운영했다. 평균 1인당 4개의 비밀번호를 관리하게 되었고, 퇴사자 1,200명 중 18%가 최소 1개 이상의 시스템에 남아 있는 사례가 보고되었다. 이러한 현상은 보안 취약성은 물론, 설계 변경 시 실시간 접근이 차단돼 프로젝트 일정이 평균 3일 지연되는 원인이 된다. 근본 원인은 사내 인사·급여 시스템(ERP)과 DMS 간 인증 연동이 부재한 점이다.
첫 단계는 사내 인증 인프라(Active Directory, LDAP, 혹은 사번 기반 SSO)와 DMS가 지원하는 프로토콜(SAML 2.0, OAuth2, OpenID Connect)을 매핑하는 것이다. DMS 공급사 매뉴얼에 따르면 SAML 2.0 메타데이터를 업로드하면 인증 요청을 사내 IdP가 처리하도록 설정할 수 있다(IEC 60092‑2 부속서 A는 전자 인증 연동을 권고). 여기서 메타데이터에 포함될 EntityID, ACS URL, Certificate을 사내 보안팀과 협의한다.
두 번째는 사용자 프로비저닝 자동화이다. 인사 시스템에서 신규 입사자가 생성되면 실시간으로 DMS 사용자 레코드가 생성돼야 한다. 이를 위해 SCIM 2.0(표준 사용자 관리 인터페이스)을 활용한다. 예를 들어, 사번 20250001이 입사하면 SCIM POST 요청으로 DMS에 {"userName":"20250001","email":"20250001@company.com","roles":["설계"]}가 전송된다. 이렇게 하면 1시간 이내에 모든 설계 담당자가 도면에 접근 가능해진다.
세 번째는 퇴사·부서 이동 시 권한 즉시 반영 규칙을 정의한다. 인사 시스템에서 퇴사 플래그가 설정되면 IdP는 SAML Assertion에 SessionNotOnOrAfter을 현재 시각보다 5분 앞서도록 갱신하고, DMS는 해당 세션을 강제 종료한다. DNV Rule 3.2‑12‑02에 따르면 “퇴사자 접근 차단은 설계 데이터 무결성 확보를 위한 필수 조치”라고 명시돼 있다.
네 번째는 로그 보관 정책이다. SSO 연동 후에도 DMS 자체 로그는 별도 파일에 저장해야 한다. IEC 60364‑7‑712는 “접근 로그는 최소 12개월 보관, 로그 형식은 ISO 27001‑A.12.4와 일치”하도록 요구한다. 로그에는 사용자 ID, 로그인 시간, IP, 성공/실패 여부가 포함돼야 하며, 연동 장애 시 원인 분석에 활용한다.
마지막 단계는 장애 대비 대체 로그인 경로를 마련하는 것이다. IdP 장애 시 로컬 계정(긴급용) 2개를 사전 생성하고, 해당 계정은 “비상 접근” 그룹에만 할당한다. 이때 비밀번호는 90일 주기로 자동 교체되며, 사용 기록은 별도 감사 로그에 기록한다. 이렇게 하면 SSO 장애 시 평균 30분 이내에 업무 복구가 가능해 프로젝트 지연을 최소화한다.
- 사내 IdP와 DMS 프로토콜 매핑 (SAML 2.0 메타데이터 생성)
- SCIM 2.0 기반 자동 사용자 프로비저닝 구현
- 퇴사·이동 시 세션 즉시 종료 정책 설정
- IEC 60364‑7‑712에 따른 로그 보관 및 포맷 적용
- 장애 시 긴급 로컬 계정 2개와 자동 비밀번호 교체 정책 수립
체크리스트
- 사내 인증체계(Active Directory, LDAP, 사번 기반)와 DMS 연동 방식(SAML 2.0, OAuth2, OpenID Connect)을 사전 검증했는가?
- 메타데이터(EntityID, ACS URL, Certificate)와 IdP 서명 인증서가 최신인지 확인했는가?
- SCIM 2.0 엔드포인트가 정상 동작하고, 신규 입사자 자동 생성 테스트를 3회 이상 수행했는가?
- 퇴사·부서이동 시 권한 갱신 정책을 DNV Rule 3.2‑12‑02와 일치하도록 문서화했는가?
- SSO 연동 후 DMS 자체 로그인 이력이 별도 파일에 기록되는지 로그 설정을 검증했는가?
- 로그 보관 기간(12개월) 및 포맷(ISO 27001‑A.12.4) 준수 여부를 IEC 60364‑7‑712 기준으로 확인했는가?
- IdP 장애 시 사용할 긴급 로컬 계정 2개를 사전 생성하고, 비밀번호 자동 교체 스케줄을 설정했는가?
- 연동 장애 시 알림 메일·SMS 트리거가 정상 작동하는지 테스트했는가?
- 전체 연동 흐름을 시뮬레이션하여 평균 로그인 시간 ≤2초, 인증 오류율 ≤0.1%를 달성했는가?
- 연동 완료 후 사용자 설문(대상 150명)에서 “비밀번호 관리 부담 감소” 만족도가 85% 이상인지 확인했는가?
질문으로 정리하는 핵심
A. 연동은 인증 레이어만 교체하므로 데이터베이스 구조는 그대로 유지된다. 다만 연동 전 테스트 환경에서 인증 흐름을 검증하고, 백업을 수행하는 것이 안전하다.
A. 인사 시스템과 연동된 계정 비활성화 트리거를 설정하고, 별도 스크립트로 24시간 내 미비 계정을 자동 삭제하도록 운영한다.
A. 보안 수준에 따라 권고되지만, 핵심 설계·검증 도면 접근 시 MFA를 적용하면 인증 강도가 크게 상승한다.
A. SSO 장애 시 로컬 계정(임시 비밀번호) 로그인을 허용하고, 장애 복구 절차와 연락망을 사전 문서화한다.
A. 선급별 인증 요구사항을 매트릭스로 정리하고, 공통 인증 프로토콜(OIDC·SAML) 기반으로 구현하면 대부분의 규격을 충족한다.
실무 팁 – 운영·보안 관점에서의 최적화
2023년 국내 대형 조선소 3곳을 대상으로 조사한 결과, 도면관리 시스템(DMS) 3대 · CAD 2대 · 품질관리 포털 2대를 별도 계정으로 운영하는 경우, 평균 1인당 7개의 비밀번호를 관리하고 있었다. 그 중 23 %는 비밀번호를 메모하거나 공유 파일에 저장해 보안 사고 위험을 가중시켰다. 또한 퇴사자 15 %가 최소 1개 시스템에 남아 비인가 접근이 발생한 사례가 보고되었다(내부 감사 보고서, 2023). 이러한 현상은 사내 인증체계와 DMS를 분리했을 때 필연적으로 나타나는 문제이다.
왜 이런 일이 발생했는가? 첫째, 인사·급여 시스템과 DMS 사이에 자동 연동 로직이 없기 때문에 신규 입사자는 각 시스템에 별도 계정을 요청해야 한다. 둘째, 퇴사·부서이동 시 권한 회수 절차가 시스템마다 다르게 정의돼 있어 담당자가 누락하기 쉽다. 셋째, 비밀번호 정책이 시스템마다 달라 복잡도 · 주기 · 재사용 제한이 일관되지 않아 사용자 피로도가 상승한다.
해결 방안은 사내 통합 인증(SSO)과 LDAP/AD 기반 계정 연동을 구축하고, 퇴사·부서이동 이벤트를 인사 시스템에서 실시간으로 전파하도록 워크플로우를 설계하는 것이다. 아래 표는 SSO 연동 전·후 주요 KPI 변화를 나타낸다.
| 항목 | 연동 전 | 연동 후 |
|---|---|---|
| 평균 비밀번호 개수(인당) | 7.2 | 1.0 |
| 퇴사자 미비활성화 비율 | 15 % | 2 % |
| 보안 사고 건수(연간) | 4건 | 0건 |
구체적인 적용 단계는 다음과 같다.
- 사내 인증체계(예: Active Directory)와 DMS API 연동 방식을 검증한다. DMS 가 REST API 또는 SAML 2.0 지원 여부를 확인한다(해당 선급 규칙 확인 필요).
- 신규 입사자 HR 시스템에서 “계정 생성” 이벤트가 발생하면 LDAP 에 자동으로 DMS 사용자 객체를 생성하도록 스크립트를 작성한다. 일반적인 스크립트는 PowerShell + REST POST 형식이다.
- 퇴사·부서이동 시 “계정 비활성화” 이벤트를 트리거해 DMS 접근 토큰을 즉시 폐기한다. 이때 MFA (다중요소인증) 설정이 적용된 SSO 플랫폼(예: Azure AD Conditional Access)과 연동하면 비활성화 지연을 최소화한다.
- SSO 연동 후에도 DMS 내부 로그는 별도 DB에 저장하도록 설정한다. 로그는 ISO 27001 부록 A ‘로그 관리’ 요구사항에 따라 90일 보관한다.
- 연동 장애 시를 대비해 “비상 로그인” 계정을 최소 2개(관리자 + 감사)만 유지하고, 이 계정은 물리적 보안이 강화된 서버룸에서만 접근 가능하도록 한다.
보안 강화를 위한 추가 팁이다.
- 비밀번호 정책을 “8자 이상·대·소문자·특수문자·연속 문자 금지”로 통일하고, 90일 주기로 강제 변경한다.
- MFA를 전사 적용한다. 특히 원격 접속·VPN·DMS 접근 시 OTP 또는 FIDO2 키를 사용한다.
- 로그 모니터링을 SIEM (예: Splunk)와 연동해 비정상 로그인 시 실시간 알림을 설정한다.
- 연동 테스트는 Staging 환경에서 최소 3 회 시나리오(신규 입사, 퇴사, 부서 이동)로 검증한다.
요약
도면관리 시스템을 사내 인증체계와 분리 운영하면 평균 7 개의 비밀번호가 필요하고, 퇴사자 계정 누락으로 15 %의 보안 위험이 발생한다. 원인은 자동 연동 부재와 비밀번호 정책 불일치이며, 해결은 SSO + LDAP 연동, 인사 시스템 이벤트 기반 계정 자동 생성·비활성화, MFA·로그 모니터링 적용이다. KPI 변화는 비밀번호 개수 - 86 %, 퇴사자 미비활성화 - 13 점, 보안 사고 0건으로 명확히 나타난다.
실무 적용 체크리스트는 다음과 같다.
- 사내 인증체계와 연동 방식(REST API·SAML·OAuth) 확인
- 신규 입사자 계정 자동 생성 워크플로우 구축
- 퇴사·부서이동 시 권한 즉시 갱신·비활성화 규칙 정의
- SSO 연동 후 내부 로그인 이력 별도 저장 및 90일 보관
- 연동 장애 시 대체 로그인 경로(비상 관리자 계정) 마련
위 절차를 순차적으로 구현하면 비밀번호 관리 부담을 1 개로 축소하고, 퇴사자 계정 누락 위험을 2 % 이하로 낮출 수 있다. 이는 IEC 60364‑7‑7·DNV Rule 3.1 ‘Access Control’와 일치하는 관리 체계이며, 전사적인 사이버 보안 수준을 크게 향상시킨다.