Summary

  • 2026년 10월 28일 발표된 연준 이사회 감찰관 감사는 한 부서 내 IT 조직의 이용자 약 97%가 특정 응용 프로그램에서 피싱에 강한 다중 인증의 예외를 적용받았다고 밝혔다. 이 수치는 이사회 전체의 비율도, 그 이용자의 모든 로그인에 두 번째 인증 수단이 없다는 뜻도 아니다.
  • 이사회는 예외를 중앙에서 통합 추적하지 않았다. 경영진은 일부 면제 이유를 즉시 설명하지 못했고, 중앙 IT 부서는 예외의 유지 기간과 만료 시점을 파악하지 못했다. 감찰관은 기관 전체 기준과 예외 대상 검토를 권고했다.

예외는 늘었는데 종료일을 적을 장부가 없었다

연준 이사회에는 피싱에 강한 다중 인증 규칙이 있다. 감사 원문에 따르면 예외는 여러 부서가 서로 다른 절차로 관리했다. 한 내부 IT 조직에서는 특정 응용 프로그램 이용자 약 97%가 예외였다. 보고서가 말하는 것은 전 직원의 인증 부재가 아니다. 제한된 영역에서조차 강한 인증 요건을 벗어나는 결정이 통상 업무가 됐다는 사실이다.

중앙 IT 부서에는 면제가 얼마나 오래됐는지, 언제 끝나는지 보여주는 완전한 목록이 없었다. 관리자들도 일부 예외의 이유를 쉽게 제시하지 못했다.

감찰관은 한 내부 IT 조직의 기술적 제약 때문에 면제 시정 작업이 진전되지 못했다고 적었다. 이사회는 해당 환경의 일부를 중앙 IT로 옮기고 있었지만 보고서 작성 시점에 이전은 끝나지 않았다. 예외가 어떤 집단의 거의 모든 사람에게 적용된다면, 그 집단의 실제 규칙은 본문보다 예외 조항에 가깝다. 이전 사업의 성패는 새 조직도가 아니라 폐지된 면제 기록으로 확인할 수 있다.

여러 부서를 지원하는 내부 IT 조직은 취약점 관리에서도 별도 절차를 유지했다. 그 조직의 정책은 정보보안 책임자에게 취약점을 보고할지를 현장 재량에 맡긴 반면, 기관 전체 규칙은 의무적인 상급 보고를 요구했다.

시스템 목록에서도 필수 32개 필드 유형 가운데 시스템 책임자와 승인 경계를 포함한 10개 유형이 비어 있었다. 현장의 위험 판단과 대상 시스템의 소유자가 모두 흐리면 중앙의 우선순위도 흐려진다.

감찰관은 2026 회계연도 정보보안 성숙도를 5단계 중 2단계로 평가했다. 유효 기준은 4단계이며, 2025년은 3단계, 2024년은 4단계였다. 보고서는 실제 통제 약점과 함께 점수 계산법 및 거버넌스 항목의 비중 변화도 하락 요인으로 든다. 점수를 침해 사고의 연표로 바꿀 수는 없다.

이전 연례 감사 권고 17건 중 13건이 열려 있었고, 새 권고 8건에 이사회는 동의했다. 동의 서명은 예외 종료 기록이 아니다.

Sources