A.5.11
자산 반납
조직적 통제확인사항 6증적 6사례 5
통제 목적
자산 반납은 임직원 및 외부자가 업무 수행을 위해 지급받거나 접근한 조직의 자산을 고용/계약/협약의 변경 또는 종료 시점에 빠짐없이 회수하도록 요구하는 통제입니다. 반납이 누락되면 퇴직/이동 이후에도 정보가 무단으로 반출되거나 접근권한이 그대로 남을 수 있고, 자산이 분실되어 자산 대장의 정확성이 떨어질 수 있습니다. 반납 대상에는 노트북/모바일 등 물리적 기기뿐 아니라 문서, 보조저장매체, 인증수단, 지적재산, 조직이 통제하는 계정/권한이 포함됩니다. 물리적으로 반납할 수 없는 자산은 관련 정보를 이관하거나 삭제하거나 접근을 차단해야 합니다.
주요 확인사항
- 퇴직/직무변경/계약 종료 시 반납해야 할 자산의 범위와 목록을 사전에 정의하고, 개인별 지급 자산과 1:1로 대조할 수 있는가?
- 자산 반납 절차가 인사/계약 종료 프로세스와 연계되어 누락 없이 실행되며, 반납 확인 기록(서명/확인서)이 남는가?
- 자산 반환이 지연되는지와 관계없이 퇴직/계약 종료의 효력 발생 시점 또는 위험도에 따라 그보다 이른 시점에 불필요한 물리적/논리적 접근권한이 회수되는가?
- 반납이 어려운 자산(개인 소유 기기에 저장된 업무정보, 클라우드 계정 등)에 대해 정보 이관/삭제/접근 차단 방안을 마련하고 이행 결과를 확인하는가?
- 업무 지식/노하우 등 무형 자산의 인수인계와 문서화가 이루어지는가?
- 반납 지연 또는 반환 불가 자산에 대한 위험을 평가하고 보완통제를 적용하는가?
이행 지침
- 지급 시점에 자산을 대장에 등록하고 보관 책임자를 지정하여, 반납 시 지급 내역과 대조해 회수 여부를 검증할 수 있도록 관리합니다.
- 퇴직/직무변경/계약만료 체크리스트에 자산 반납 항목을 포함하고, 인사/총무/보안/IT 부서 간 역할과 처리 순서를 명확히 정의합니다.
- 노트북/모바일/보조저장매체/스마트카드/토큰/열쇠/출입증/보안문서 등 유형별로 반납 방법과 검증 절차(초기화, 데이터 삭제 확인, 재지급 전 점검)를 규정합니다.
- BYOD 기기의 업무정보는 승인된 절차에 따라 법적 권한 범위 안에서 조직 저장소로 이관하고 선택적으로 삭제합니다. 개인 소유 정보와 필요한 보존 기록을 보호하고, 기기 지원 여부와 연결 상태를 고려하여 삭제 결과 또는 한계를 기록합니다.
- 계정, 세션, 토큰 및 출입권한은 자산 반환 완료를 기다리지 않고 퇴직/계약 종료의 효력 발생 시점 또는 위험도에 따라 그보다 이른 시점에 회수합니다. 직무 변경 시에는 더 이상 필요하지 않은 권한을 회수하며, 미반환 자산은 별도로 추적하고 접근 차단 등 보완통제를 적용합니다.
- 반납 확인서/서명 등 증빙을 남기고 자산 대장의 상태(반납/폐기/재지급)를 갱신하여 자산 현황과 일치시킵니다.
증적자료
- 자산 반납 절차/지침 및 퇴직/직무변경/계약종료 체크리스트
- 개인별 자산 지급/반납 대장 및 반납 확인서(서명본)
- 계정/권한 회수 이력(비활성화 로그, 출입권한 삭제 기록)
- BYOD/모바일 기기 원격 삭제/선택적 초기화 결과 기록
- 반납 지연/불가 자산에 대한 위험평가 및 보완통제 적용 내역
- 반납 자산의 재지급 전 초기화/데이터 삭제 점검 기록
부적합 사례
- 퇴직자가 반납한 노트북/저장매체를 초기화하지 않고 재지급하거나 방치하여 이전 사용자의 정보가 잔존하는 경우
- 반납 절차는 문서화되어 있으나 실제 반납 확인 기록이 없어 지급 자산의 회수 여부를 증빙하지 못하는 경우
- 계약이 종료된 외부자의 출입증/계정이 회수되지 않아 종료 후에도 물리적/논리적 접근이 가능한 경우
- BYOD 기기에 저장된 고객정보/영업자료에 대한 삭제 절차가 없어 퇴직 후에도 개인 기기에 업무정보가 남아 있는 경우
- 직무변경 시 이전 업무에 사용하던 권한/토큰을 회수하지 않아 불필요한 권한이 누적되는 경우