해외법인 IT 관리·보안 통제 — 본사가 미국 법인 IT에서 확인해야 할 것
📋 이 글의 대상 — 이미 운영 중인 미국 법인의 IT를 한국 본사에서 관리·통제해야 하는 담당자. 현지에 IT 전담자가 없을 때 본사가 무엇을 확인하고, 어떤 보고를 받아야 하는지 정리했습니다.
본사가 해외법인 IT를 관리할 때 가장 큰 문제는 무엇인가요?
“현지에서 무슨 일이 일어나고 있는지 본사가 모른다”는 것입니다. 패치가 되고 있는지, 백업이 성공하는지, 퇴사자 계정이 정리됐는지, 관리자 비밀번호를 누가 갖고 있는지 확인할 방법이 없으면, 보안 사고가 나서야 문제를 알게 됩니다. 본사 보안 점검 양식이 와도 현지에서 답할 사람이 없는 경우도 많습니다.
본사가 반드시 갖고 있어야 할 것
1. 최상위 관리자 계정
도메인, DNS, Microsoft 365·Google Workspace, 방화벽의 최상위 관리자 계정은 본사(또는 법인) 명의로 유지해야 합니다. 현지 직원이나 현지 업체 개인 명의로 되어 있으면, 퇴사나 업체 교체 때 회사가 자기 시스템에 들어가지 못합니다.
2. 자산·계정 대장
현지 PC·서버·네트워크 장비 목록, 사용자 계정 목록, 소프트웨어 라이선스와 갱신일이 문서로 있어야 합니다. 이 대장이 있어야 감사·보안 점검에 답할 수 있습니다.
3. 망 구성도와 접속 경로
본사와 법인을 잇는 VPN, 외부에 공개된 서비스, 원격 접속 경로가 그려진 문서입니다. 외부에서 들어올 수 있는 길을 본사가 알고 있어야 합니다.
매달 받아야 할 보고
| 항목 | 확인 내용 | 왜 중요한가 |
|---|---|---|
| 패치 현황 | OS·소프트웨어 업데이트 적용률 | 알려진 취약점 공격 방어 |
| 백신·EDR | 설치·정상 동작 기기 비율 | 랜섬웨어 1차 방어 |
| 백업 결과 | 성공·실패 내역, 복구 테스트 결과 | 사고 시 복구 가능 여부 |
| 계정 변경 | 입사·퇴사 계정 처리, 관리자 권한 변경 | 퇴사자 접근 차단 |
| 장애 내역 | 발생·원인·조치·재발 방지 | 반복 장애 파악 |
| 회선·장비 상태 | 회선 장애, 장비 수명·보증 만료 | 교체 예산 계획 |
현지 IT 업체에 맡기고 있다면 이 보고를 한국어로, 같은 양식으로 매달 받는 것을 계약 조건에 넣으세요. 양식이 같아야 달마다 비교할 수 있습니다.
보안 통제는 어디까지 해야 하나요?
- 다단계 인증(MFA) — 메일·VPN·관리자 계정에는 필수입니다. 해외법인 계정 탈취는 본사 메일 시스템까지 이어질 수 있습니다.
- 퇴사자 처리 절차 — 현지 인사 담당자가 퇴사를 알리면 당일 계정을 막는 절차가 있어야 합니다.
- 본사 접속 범위 제한 — 법인에서 본사 시스템으로는 필요한 것만 접속하게 하고, 법인 PC가 감염돼도 본사로 번지지 않게 구역을 나눕니다.
- 원본과 분리된 백업 — 랜섬웨어는 연결된 백업까지 암호화합니다. 외부 스토리지에 분리된 사본이 있어야 합니다.
- 생산 설비망 분리 — 공장 법인은 설비망(PLC·MES)을 사무망과 반드시 분리합니다.
현지 IT 담당자 vs 현지 업체 위탁, 무엇이 나은가요?
| 구분 | 현지 IT 직원 | 현지 업체 위탁(Managed IT) |
|---|---|---|
| 장점 | 상주, 빠른 현장 대응 | 여러 분야 전문 인력, 휴가·퇴사 공백 없음, 문서화 |
| 단점 | 1인 의존, 퇴사 시 공백, 채용 기간 | 현장 방문은 예약제, 범위 밖 작업 별도 비용 |
| 맞는 경우 | 직원 수 많은 대형 법인·공장 | IT 전담자가 없는 중소 법인, 다지점 |
현지 직원이 일상 지원을, 외부 업체가 모니터링·보안·백업·야간 대응을 맡는 혼합 방식(Co-managed)도 많이 씁니다.
자주 묻는 질문
해외법인 보안 점검 양식에 현지에서 답할 사람이 없어요.
월간 리포트(패치·백신·백업·계정)를 받고 있다면 대부분의 항목에 바로 답할 수 있습니다. 리포트가 없다면 현지 IT 점검부터 받아 현재 상태를 문서로 만드는 것이 첫 단계입니다.
현지 업체가 관리자 비밀번호를 안 넘겨줘요.
계약서에 계정·문서 인도 조항이 있는지 확인하세요. 도메인·Microsoft 365는 법인 서류로 소유권을 되찾는 절차가 있습니다. 앞으로는 최상위 계정을 회사 명의로 두고 업체에는 위임 권한만 주는 구조로 바꾸세요.
본사와 미국 법인 시차 때문에 장애 대응이 늦어요.
현지 업무 시간 장애는 현지 업체가 1차 대응하고, 결과를 한국 아침에 한국어로 보고받는 구조로 바꾸면 시차 문제가 줄어듭니다.
여러 나라 법인을 같은 기준으로 관리할 수 있나요?
보고 양식과 보안 기준을 본사가 정하고, 각 법인 업체가 같은 양식으로 보고하게 하면 됩니다. 미국 법인은 한 업체가 여러 주의 지점을 함께 관리할 수 있습니다.
VOICEASIA 그룹 안내
VOICEASIA 그룹은 한국 본사와 한국어로 소통하며 미국 법인의 IT를 운영합니다. 원격 모니터링·패치·백업·헬프데스크와 월간 한국어 리포트는 CallCube Managed IT가, 현장 시공은 CASTCUBE가 맡습니다. 현지 업체를 고를 때는 IT 유지보수 업체 고르는 법을, 담당자 퇴사 대응은 IT 담당자 퇴사 체크리스트를 참고하세요.
관련 글
