쓰지 않는 계정 정리, 얼마나 자주 해야 하나요?

지침이 적는 주기는 분기입니다

답부터 적으면 CISA 의 랜섬웨어 지침은 비활성 계정과 미승인 계정을 분기별로 검토하라고 적습니다. 즉 연 4회입니다. 대상도 두 가지로 적혀 있습니다. 쓰이지 않는 계정과 승인되지 않은 계정입니다. 두 대상은 성격이 달라 찾는 방법도 다릅니다.

비활성과 미승인은 다른 문제입니다

비활성 계정은 사람이 떠났거나 용도가 끝났는데 남아 있는 계정입니다. 미승인 계정은 절차를 거치지 않고 만들어진 계정입니다. 전자는 활동 기록으로 찾고 후자는 승인 기록과 대조해 찾습니다. 활동 기록만 보면 최근에 쓰인 미승인 계정을 놓치고, 승인 기록만 보면 승인됐지만 방치된 계정을 놓칩니다.

활동 기록을 보려면 로그가 남아 있어야 합니다

비활성 판단은 마지막 접속 시각으로 합니다. 그 값을 보려면 로그가 그만큼 남아 있어야 합니다. 같은 지침은 중요 시스템 로그를 최소 1년 보관하라고 적고 PowerShell 로그는 최소 180일을 권고합니다. 로그 보관이 짧으면 분기 점검에서 마지막 접속 시각을 알 수 없어 판단이 추측으로 바뀝니다.

지우기 전에 권한을 함께 봅니다

계정을 지우는 것만으로 끝나지 않는 경우가 있습니다. 그 계정이 중요 시스템에 접근 권한을 갖고 있었다면 권한의 회수 여부를 따로 확인합니다. 또 그 계정이 다중 인증 적용 대상 목록에 있었다면 목록에서도 빼야 합니다. 목록을 갱신하지 않으면 적용률 수치가 실제와 어긋납니다.

사례: 계정 34개를 분기 점검으로 정리하기

상황은 직원 18명 조직의 업무 계정 34개입니다. 입력값은 확인일 2026년 10월 19일, 마지막 접속이 180일을 넘은 계정 5개, 승인 기록에 없는 계정 2개, 그중 1개는 최근에도 쓰이고 있음, 나머지 28개는 활동과 승인이 모두 확인됩니다. 계산은 두 기준을 교차해 보는 것입니다. 비활성 5개 중 승인 기록이 있는 4개는 용도 종료 확인 후 정리 대상이고, 승인 기록이 없는 1개는 비활성이면서 미승인이므로 즉시 정리 대상입니다. 최근에도 쓰이는 미승인 1개는 지우기 전에 누가 왜 만들었는지 확인해야 하므로 조사 대상입니다. 최종 결과는 즉시 정리 1개, 용도 확인 후 정리 4개, 조사 1개, 유지 28개로 합계 34개입니다. 결과를 바꾸는 예외는 비활성 4개 중 하나가 연 1회만 쓰는 정산 계정인 경우로, 그때는 180일 미접속이 정상이므로 유지하고 그 사유를 기록합니다. 다음 행동은 계정 34개에 마지막 접속 시각과 승인 기록 두 열을 채우는 것입니다.

연 1회만 쓰는 계정을 걸러내는 방법

접속 간격이 긴 것이 정상인 계정이 있습니다. 결산, 정산, 연례 보고용 계정이 그렇습니다. 미접속 기간만으로 판단하면 이런 계정이 매 분기 정리 후보로 올라옵니다. 그래서 계정 목록에 용도와 예상 사용 주기를 적는 열을 두면 분기마다 같은 판단을 반복하지 않습니다.

점검 기록을 남기는 이유

분기 점검은 반복 작업이라 지난 회차의 판단이 남아 있어야 효율이 생깁니다. 무엇을 유지하기로 했고 그 사유가 무엇이었는지 적어 두면 다음 분기에는 변경분만 봅니다. 기록이 없으면 매 분기 34개를 처음부터 다시 판단하게 되고, 그 부담 때문에 점검이 건너뛰어집니다.

점검에서 갈리는 네 가지 상태