ERP 권한 관리 — 역할 기반 접근 통제
요약
- ERP 시스템 권한 관리(RBAC·역할 기반), 직무·부서별 권한 매트릭스, 인사 변경 시 권한 조정, 권한 감사를 정리했어요.
ERP 권한 관리란?
ERP (전사적 자원 관리) 시스템에서 직원별·역할별 접근 권한을 통제하는 활동.
ERP에는 회계·자금·인사 등 모든 데이터 → 부적절 접근 시 큰 위험. 신입 회계 담당자는 ERP 권한 원칙을 알아야 해요.
---
ERP 권한 관리 핵심 원칙
| 원칙 | 내용 |
|---|---|
| 최소 권한 (Least Privilege) | 업무에 필요한 최소 권한만 |
| 권한 분리 (SoD) | 한 명이 모든 권한 ❌ |
| 역할 기반 (RBAC) | 직무·역할별 권한 |
| 정기 갱신 | 인사 변경 시 즉시 조정 |
| 감사 추적 | 모든 접근 로그 |
---
역할 기반 접근 통제 (RBAC)
RBAC 개념
Role-Based Access Control
- 사용자 → 역할 → 권한
- 직무 기반 권한 부여
- 변경 용이
역할별 권한 예시
역할:
- 회계 사원
- 회계 주임
- 회계 부장
- 자금 사원
- 자금 부장
- CFO
각 역할별 권한:
| 역할 | 회계 분개 | 결재 | 보고서 조회 | 시스템 관리 |
|---|---|---|---|---|
| 회계 사원 | ✅ 작성 | ❌ | ✅ 부분 | ❌ |
| 회계 주임 | ✅ 작성·검토 | ✅ 1차 | ✅ 부분 | ❌ |
| 회계 부장 | ✅ 검토 | ✅ 2차 | ✅ 전체 | ❌ |
| CFO | ❌ | ✅ 최종 | ✅ 전체 | ❌ |
| IT 관리자 | ❌ | ❌ | ❌ | ✅ |
---
단계별 권한 설계
1단계: 직무 분석
- 부서·직위별 직무
- 필요 권한
- 권한 분리 위반 확인
2단계: 역할 정의
- 표준 역할 5~20개 정의
- 직무별 매핑
3단계: 권한 매트릭스
- 역할별 권한 명확화
- 모듈·기능별
4단계: 권한 부여
- 직원에 역할 부여
- 시스템 자동 권한 적용
5단계: 감사 추적
- 모든 접근 로그
- 로그인·트랜잭션·변경
- 정기 검토
6단계: 정기 갱신
- 분기·인사 변경 시
- 권한 매트릭스 재검토
---
권한 분리 (SoD) 적용
위험 조합 (한 명이 가지면 안 됨)
- 작성 + 결재
- 결재 + 송금
- 매출 등록 + 매출 인식
- 매입 + 결제
- 인사 정보 + 급여 처리
시스템 자동 차단
- 권한 충돌 시 자동 차단
- 알림 발송
---
인사 변경 시 권한 조정
입사
- 직무에 맞는 역할 부여
- 비밀번호·OTP 발급
- 교육 후 시스템 접근
부서 이동
- 기존 권한 회수
- 신규 권한 부여
- 1주 내 완료
승진·강등
- 역할 변경
- 권한 매트릭스 재적용
퇴직
- 즉시 권한 회수
- 비밀번호·OTP 차단
- 시스템 계정 비활성화
- 1개월 후 데이터 정리
---
권한 감사
정기 감사 (분기)
- 권한 vs 직무 일치
- SoD 위반 확인
- 사용 안 되는 권한 회수
외부 감사 (연)
- 회계법인 IT 통제 감사
- 권한 관리 검증
- K-SOX IT 통제
감사 발견 시
- 즉시 시정
- 권한 조정
- 시스템 개선
---
권한 관리 도구
ERP 자체 기능
- 사용자·역할·권한 매트릭스
- 자동 충돌 감지
IAM (Identity & Access Management)
- 통합 ID 관리
- 자동 권한 적용
- SoD 자동 검증
IGA (Identity Governance & Administration)
- 권한 거버넌스
- 정기 검토 자동화
- 컴플라이언스
---
사례: ERP 권한 사고
사례 1: 권한 누적 사고
㈜A 직원이 5년간 부서 이동 4번:
- 매번 신규 권한 추가, 기존 회수 ❌
- 결과: 한 명이 작성·결재·송금 모두 가능
- 부정 가능성 ↑
예방: 정기 권한 검토.
사례 2: 퇴직자 권한 미회수
㈜B 직원 퇴직 후 1개월간 권한 유지:
- 외부에서 시스템 접근
- 거짓 거래 등록
- 회사 손실
예방: 퇴직 즉시 권한 회수.
---
자주 묻는 질문 (FAQ)
Q1. 권한 매트릭스 누가?
IT 부장 + 부서장 협의. 외부 자문 (회계법인) 활용.
Q2. 권한 관리 비용?
ERP 자체 기능: 무료. 별도 IAM: 수천만~수억.
Q3. 권한 위반 발견?
즉시 조정 + 사용 로그 검토. 부정 의심 시 조사.
Q4. 임원 권한 제한?
일부 제한 (SoD). 단 시스템 접근 광범위.
Q5. 권한 매트릭스 갱신 빈도?
분기 권한 검토 + 인사 변경 즉시.
---
자주 하는 실수
- 권한 누적: 부서 이동 시 회수 ❌.
- 퇴직자 권한 유지: 외부 접근 위험.
- 권한 분리 위반: 한 명에 모든 권한.
- 감사 안 함: 위반 발견 ❌.
- 로그 보관 부실: 추적 불가.
---
실무 체크리스트
- ERP 역할 기반 권한 (RBAC)을 적용하나요?
- 권한 매트릭스가 문서화되어 있나요?
- 권한 분리 (SoD)를 시스템에서 자동 검증하나요?
- 인사 변경 (입사·이동·퇴직) 시 즉시 권한 조정하나요?
- 모든 접근 로그를 보관하나요?
- 분기 권한 감사를 수행하나요?
- 외부 감사인 IT 통제 검토 받나요?
---