보안 담당자가 바뀌는데 인수인계를 뭘 해야 할까요: 계정·문서·연락처·일정 네 묶음으로 넘기고 받는 순서

담당자가 바뀌는 그 몇 주가 왜 가장 위험한 때일까요

보안 담당자가 그만둔다는 소식이 돌고 나면, 남은 사람들 사이에 '그건 그분만 아는데'라는 말이 늘어나기 시작하죠. 아시죠 그 느낌? 떠나는 사람은 마지막 날까지 하던 일에 쫓기고, 받는 사람은 무엇을 물어봐야 하는지조차 모르니 인수인계가 폴더 하나 복사하는 것으로 끝나 버려요. 이 글은 보안 담당자가 바뀔 때 넘겨야 할 것을 네 묶음으로 나누고, 넘기는 쪽과 받는 쪽이 각각 밟을 순서를 알려 드려서 '전임자만 알던 것'이 남지 않게 하려는 글이에요.

담당자 교체가 유난히 위험한 이유는 보안 일의 상당 부분이 '지금 켜져 있는 것'을 지켜보는 일이기 때문이에요. 로그 알림이 어디로 오는지, 외부 업체가 사고를 알릴 때 누구에게 전화하는지, 인증 갱신 심사가 언제 돌아오는지 같은 것은 문서보다 담당자의 머릿속과 받은편지함에 더 많이 들어 있어요. 사람이 바뀌는 순간 그 받은편지함이 닫히면, 알림은 울리는데 아무도 듣지 않는 상태가 조용히 시작돼요.

이 글은 특정 회사의 인사 절차나 노무 규정을 다루지 않아요. 퇴직 절차와 법적 의무는 조직마다 다르고, 개인정보 보호 책임자 같은 지정 제도는 개인정보보호위원회 안내처럼 공식 확인처에서 현재 기준을 보시는 것이 정확해요. 여기서는 어느 조직이든 비슷하게 통하는 인수인계의 구조와 순서만 정리할게요.

인수인계는 폴더 하나가 아니라 네 묶음이에요: 계정·문서·연락처·일정

현장에서 인수인계가 잘된 경우와 그렇지 않은 경우를 모아 보면, 차이는 문서의 양이 아니라 묶음을 나눠 생각했는지에서 갈려요. 보안 담당자가 쥐고 있던 것은 대개 아래 네 묶음으로 정리돼요. 묶음마다 '넘길 것'과 '끊을 것'이 따로 있다는 점이 핵심이에요.

• 계정 — 서버·클라우드·보안 장비·외부 서비스의 관리자 계정과, 그 계정에 걸린 2단계 인증 수단이에요. 넘길 것은 '어떤 계정이 있고 무엇을 할 수 있는지' 목록이고, 끊을 것은 떠나는 사람의 개인 명의로 된 로그인과 인증 기기 등록이에요. 비밀번호를 쪽지로 넘기는 것이 아니라, 후임 명의로 새로 만들고 전임 명의는 회수하는 것이 원칙이에요.
• 문서 — 정책·지침·절차 문서, 자산 목록, 위험 평가 결과, 지난 점검과 사고의 기록이에요. 넘길 것은 '어디에 있고 무엇이 최신인지'이고, 끊을 것은 개인 노트북이나 개인 저장소에만 있던 사본이에요. 문서는 많을수록 좋은 게 아니라 최신본이 어느 것인지 한 줄로 가리킬 수 있어야 해요.
• 연락처 — 외부 보안 업체, 호스팅·클라우드 창구, 인증 심사 기관, 사고 신고 창구, 그리고 사내에서 보안 일을 함께 결정하는 사람들이에요. 넘길 것은 '어떤 일이 생기면 누구에게 먼저'라는 짝이고, 끊을 것은 외부에 등록된 담당자 연락처가 떠나는 사람의 개인 번호나 개인 메일로 되어 있는 상태예요.
• 일정 — 인증 갱신 심사, 정기 점검, 교육, 계약 만료, 인증서와 도메인 같은 만료일이에요. 넘길 것은 '언제 무엇이 돌아오는지'이고, 끊을 것은 떠나는 사람의 개인 달력에만 적혀 있던 알림이에요. 일정은 놓치면 바로 사고가 되는 묶음이라 가장 먼저 공용 달력으로 옮겨 두는 편이 마음이 놓여요.

넘기는 사람의 순서: 끊을 것부터 정리하고, 넘길 것은 '어디·누가·언제'로 적어요

솔직히 말하면 떠나는 사람이 가장 하기 싫은 일이 인수인계 문서 쓰기예요. 그래서 순서를 거꾸로 잡으면 부담이 많이 줄어요. 방대한 문서를 처음부터 쓰는 대신, 먼저 '내 이름으로 켜져 있는 것'을 끊고, 그다음 네 묶음을 한 장씩 짧게 적는 거예요. 긴 설명보다 '어디에 있고, 누가 알고, 언제 돌아오는지' 세 칸이 채워진 목록이 후임에게 훨씬 쓸모 있어요.

• 1단계 — 내 명의로 된 것을 모아요. 관리자 계정, 2단계 인증이 등록된 내 휴대폰, 외부 서비스의 담당자 메일, 알림이 오는 내 받은편지함을 전부 적어요. 이게 왜 중요하냐면요, 이 목록이 곧 '내가 떠나면 끊기는 것'의 목록이거든요.
• 2단계 — 끊을 것을 공용이나 후임 명의로 옮겨요. 관리자 권한은 후임 계정에 새로 부여하고, 알림 수신처는 개인 메일이 아니라 보안 담당 공용 주소로 바꾸고, 외부 업체에 등록된 담당자도 바꿔 달라고 요청해요. 옮기기 전에 지우지 않는 것이 요령이에요. 받을 사람이 들어갈 수 있는지 확인한 뒤에 내 것을 회수해요.
• 3단계 — 네 묶음을 한 장씩 적어요. 계정은 '무엇·어디·권한 범위', 문서는 '어디·최신본·마지막 수정', 연락처는 '어떤 일·누구에게·어떤 경로', 일정은 '언제·무엇·준비물'로 칸을 맞춰요. 비밀번호 자체는 문서에 적지 않아요. 조직에서 쓰는 안전한 보관 방식으로 넘기고, 문서에는 '어디에 보관되어 있는지'만 적어요.
• 4단계 — '아직 끝나지 않은 일'을 따로 적어요. 진행 중인 점검, 답을 기다리는 외부 요청, 보류해 둔 위험 항목처럼 중간에 멈춘 일은 문서에 잘 안 남아요. 사실과 추정을 나눠 짧게 적어 두면, 후임이 처음 몇 주를 '왜 이게 이 상태지'로 보내지 않아도 돼요.
• 5단계 — 마지막 날 전에 후임과 같이 한 바퀴 돌아요. 목록을 보면서 계정에 실제로 들어가 보고, 문서를 실제로 열어 보고, 알림이 실제로 공용 주소로 오는지 확인해요. 이 한 바퀴가 인수인계 문서 열 장보다 나아요.

받는 사람의 순서: 첫날엔 켜져 있는 것, 첫 달엔 내가 손댈 것을 가르기

받는 쪽은 상황이 둘로 갈려요. 전임자가 아직 있는 경우와, 이미 떠나서 물어볼 사람이 없는 경우예요. 어느 쪽이든 첫날에 할 일은 같아요. 이해가 아니라 확인이에요. 지금 켜져 있는 알림이 나에게 오는지, 관리자 계정에 내가 들어갈 수 있는지, 가장 가까운 일정이 무엇인지 이 세 가지만 확인하면 첫날은 충분해요. 근데 말이죠, 많은 분이 첫날부터 모든 문서를 읽으려다 지쳐요. 문서는 일이 생겼을 때 찾아 읽어도 늦지 않아요.

전임자가 아직 있다면 질문은 '왜'로 하는 편이 좋아요. '이 설정은 왜 이렇게 되어 있나요', '이 업체에는 왜 이 경로로 연락하나요' 같은 질문이 목록에 없는 맥락을 꺼내 줘요. 전임자가 이미 떠났다면 받은편지함과 공용 달력, 그리고 외부 업체의 담당자 등록부터 내 이름으로 바꾸는 것이 먼저예요. 물어볼 사람이 없어도 알림과 연락은 끊기지 않게 할 수 있어요.

첫 달의 목표는 하나예요. 내가 손대지 않아도 돌아가는 것과 내가 손대야 하는 것을 가르는 거예요. 자동으로 도는 백업과 점검은 '정상인지 보는 법'만 익히면 되고, 인증 갱신 준비나 위험 평가처럼 사람이 움직여야 하는 일은 날짜를 역산해 내 달력에 넣어요. 이 사이트의 첫 담당자 글에서 다룬 것처럼 처음부터 전부 바꾸려 하지 않아도 괜찮아요. 전임자의 결정은 일단 그대로 두고, 이유를 알게 된 것부터 하나씩 손대면 훨씬 안전해요.

후임이 없는 공백기와 다시 안 생기게 하는 습관, 그리고 이렇게 하면 돼요

담당자는 떠났는데 후임은 아직 없는 공백기가 사실 가장 흔한 상황이에요. 이럴 때 조직이 해 둘 최소한은 세 가지예요. 첫째, 임시로 책임지는 사람 한 명을 정해요. 전문가가 아니어도 '알림이 오면 누가 보는지'가 정해져 있는 것과 아닌 것은 전혀 달라요. 둘째, 알림 수신처와 외부 업체의 담당자 등록을 그 사람이나 공용 주소로 바꿔요. 셋째, 사고가 의심될 때 연락할 창구를 한 줄로 공지해요. 사내에서는 임시 책임자, 밖으로는 KISA 118 같은 공식 기관이 먼저라는 것만 알려 두어도 공백기의 불안이 많이 가라앉아요.

다시 안 생기게 하는 습관은 거창하지 않아요. 담당자가 재직 중일 때부터 네 묶음을 한 장씩 유지하는 거예요. 계정 목록은 권한이 바뀔 때, 연락처는 업체가 바뀔 때, 일정은 심사나 계약이 끝날 때 한 줄씩 고쳐 두면 인수인계 문서는 따로 쓸 필요가 없어져요. 알고 보니 인수인계를 잘하는 담당자는 떠날 때 열심히 쓰는 사람이 아니라, 평소에 '내가 없어도 돌아가게' 적어 두는 사람이더라고요. 그 기록은 휴가 때도, 아플 때도 똑같이 힘이 돼요.

이제 이렇게 하시면 돼요. 넘기는 분은 내 명의로 켜져 있는 것부터 끊어서 옮기고, 네 묶음을 '어디·누가·언제' 세 칸으로 한 장씩 적은 뒤 후임과 한 바퀴 돌아 보세요. 받는 분은 첫날에 알림·계정·가장 가까운 일정 세 가지만 확인하고, 첫 달에 손댈 것과 안 댈 것을 가르면 돼요. 공백기라면 임시 책임자·수신처·연락 창구 세 가지를 정해 두고요. 이렇게 하면 담당자가 바뀌어도 보안은 그대로 이어지고, 떠나는 사람도 받는 사람도 마음이 한결 가벼워져요.