BeyondTrust Privileged Remote Access

협력사에 VPN을 열면, 내부망 전체가 함께 열립니다

VPN은 한 번 열면 어디까지 열리는지 모릅니다. 계정은 남고, 무엇을 했는지는 남지 않습니다. 2013년 미국 유통기업 Target은 협력업체 VPN 계정 탈취로 1.1억 명의 고객 정보가 유출됐고, 2025년 국내 통신사 사고에서는 외부 보안업체를 경유한 침투로 42,000건의 계정 자격증명이 노출됐습니다. 정문 카드를 내준 것입니다. 방 하나의 열쇠가 아니라.

PRA는 미 연방정부 FedRAMP High와 국방부 CMMC 인증을 제품이 직접 취득한 원격 접근 통제 솔루션입니다. TDG는 BeyondTrust 공식 솔루션 파트너입니다.

왜 지금인가

• 2026년 7월 29일 금융감독원 제3자 IT 리스크 관리 가이드라인 발표
• 2026년 9월 11일 개정 개인정보 보호법 시행, 수탁자에게도 보호책임자 의무 준용
• 2026년 11월부터 업권별 모범규준 순차 적용

위탁해도 관리·감독 책임은 위탁사에 남습니다. 권한을 준 사실이 아니라, 무엇을 했는지가 기록으로 남아 있어야 합니다.

VPN과 무엇이 다른가

서버, 클라우드, OT·제어망, 멀티클라우드 환경에 모두 적용됩니다.

어떻게 동작하나

요청(협력사 담당자가 대상 시스템과 시간을 요청) → 승인(정책과 담당자 승인으로 필요한 때만 열림) → 중개(접속 값은 시스템이 넣음) → 기록(화면과 명령이 영상으로 남음). 접속 이력, 세션 녹화, 파일 전송 목록, 승인 이력이 남습니다.

이 통로를 쓰는 사람은 장비·소프트웨어 유지보수 인력, 외주 개발자와 운영 위탁 인력, 재택·외근 중인 사내 관리자입니다.

도입은 다섯 단계로

접속 조사(누가 어디로 붙는지 외부 접속 경로 정리) → 우선순위(협력사·유지보수 등 위험한 접속부터) → 부분 병행(VPN은 그대로, 선정된 접속만 PRA로) → 정책 확립(승인 절차, 접속 시간, 녹화 보관 기준) → 전면 전환. 감사 대응이 "협력사가 접속했습니다"에서 "3월 12일 14시 07분, A사 담당자, 서버 3대, 녹화 있습니다"로 바뀝니다.

외부 접속 점검

VPN 계정 목록만 봐서는 알 수 없습니다. 협력사·외주에 발급된 외부 계정 수, 미사용 계정, 공유 계정, 각 계정이 실제로 닿을 수 있는 시스템, 접속 이력이 남고 있는지를 TDG 엔지니어가 기존 VPN·방화벽 설정 조회 범위에서 점검하고 1시간 미팅으로 설명합니다. 설정을 변경하지 않습니다.

구성과 산정 기준

클라우드·가상서버·물리장비 배포를 모두 지원하며, 확정 견적은 범위 확정 후 제공됩니다.

TDG가 맡는 일

라이선스 공급과 계약, 설계와 구축, AD·Entra ID 연동, 접속 정책 수립과 협력사 등록, 세션 기록 보관과 감사 보고 지원. 내부 특권계정 관리는 Password Safe와 함께 구성합니다.

출처: BeyondTrust Privileged Remote Access 제품 자료, 금융감독원 제3자 IT 리스크 관리 가이드라인(2026. 7. 29), 개인정보 보호법 일부개정법률(2026. 9. 11 시행).