90일 후 감사에서는 세션의 현재 만료일이 아니라 권한 부여 이력을 확인해야 합니다. 실제로 조회할 항목을 정리합니다.
권한 부여 90일 후 실시하는 HIPAA 감사(day-90 audit)에서 놓치기 쉬운 것은, 벤더의 세션 접근 권한을 부여한 뒤 만료 시점이 연장된 경우입니다. 원래 기간을 넘겨 접근 권한이 유지돼도 일반적인 접근 목록 검토에서는 이상을 알아채기 어렵습니다. 분기별 검토나 90일 후 감사에서는 각 권한의 현재 상태뿐 아니라 이력도 함께 조회해야 합니다. 만료일이 최신으로 보이는지 확인해서는 이 문제를 잡을 수 없습니다.
HIPAA 적용 대상인 한 의료기관이 AI 문서 작성 보조 도구를 도입한다고 가정해 보겠습니다. 법무팀은 BAA에 서명하고, 보안팀은 접근 범위를 정합니다. 엔지니어링팀은 벤더의 통합 담당 엔지니어가 설정을 마치면 접근이 끝나도록 기한을 둔 세션을 발급합니다. 이 접근 권한은 별도 조치 없이 스스로 만료되어야 합니다. 기간을 정해 세션을 발급하는 이유가 여기에 있습니다.
90일 뒤 내부 감사에서는 그 세션이 아직 열려 있다는 사실을 발견합니다. 그 사이 누군가 다시 승인하거나 해지 목록에서 누락한 것은 아닙니다. 만료 시점이 한 번 조용히 연장됐지만, 이상 신호로 보일 만큼 눈에 띄지 않았을 뿐입니다.
여기서 초점을 맞추는 것은 벤더 권한이 처음부터 과도했는지, 계약을 검토했는지가 아닙니다. 승인 뒤에 만료 시점을 바꿀 수 있는 플랫폼에서는 자동 만료를 전제로 발급한 접근 권한도 원래 기간을 넘겨 계속 남아 있을 수 있습니다. 컴플라이언스 검토 절차가 "세션은 만료된다"는 전제에 머물면, 그 전제가 실제로 지켜졌는지 확인하기 어렵습니다.
서류상 HIPAA 규정만으로는 이 문제가 잡히지 않는 이유
HIPAA 보안 규칙(Security Rule)은 적용 대상 기관(covered entity)과 사업 제휴자(business associate)에게 "implement policies and procedures that... establish, document, review, and modify a user's right of access to a workstation, transaction, program, or process"를 요구합니다(45 CFR §164.308(a)(4)(ii)(C)). 여기서 눈여겨볼 표현은 review(검토)입니다. "30일마다 검토"도 아니고 "90일마다 검토"도 아닙니다. 보안 규칙은 이 검토 주기를 숫자로 정해두지 않습니다.
검토 의무에 관해 이 규칙은 구체적인 간격을 정하지 않습니다. §164.308(a)(8)의 평가 조항은 standard(표준)이므로 이행이 의무이지만, 여기서도 "periodic(주기적)"이라는 표현만 씁니다. 위에서 다룬 접근 검토 조항과 의료기관 자신의 인력 해지 조항(§164.308(a)(3)(ii)(C))은 모두 addressable(조건부 적용)입니다. 적용 대상 기관이 이를 이행하지 않으려면 자신의 환경에서 왜 합리적이고 적절하지 않은지 문서로 남겨야 합니다. 합리적이고 적절한 동등한 대체 조치가 있다면 그 조치도 이행해야 합니다(45 CFR §164.306(d)).
벤더의 지시를 받아 일하는 통합 담당 엔지니어는 그 의료기관의 인력(workforce)에 해당하지 않습니다. §160.103은 직접 지휘·통제 여부를 기준으로 삼습니다. 해지 의무는 벤더가 §164.302에 따라 보안 규칙의 적용을 받는 사업 제휴자로서 직접 집니다. 그렇다고 이 조항들이 의료기관에 정기 검토 주기를 만들어 주지는 않습니다. 벤더 세션이 조용히 원래 기간을 넘겨 유지된다고 해서 그 순간 문서화된 위반이 되는 것도 아닙니다. 누군가 직접 들여다볼 때만 드러나는 사각지대이므로 90일 후 감사가 필요합니다.
2025년에 나온 HIPAA 보안 규칙 NPRM(2025-01-06 연방관보 게재)은 required(필수)와 addressable 구분을 없애고, 제한된 예외를 제외한 이행 명세를 모두 required로 바꾸는 내용을 담고 있습니다. 이 글을 쓰는 시점 기준으로 이 규칙은 아직 proposed(제안) 단계이고 final(확정) 규칙이 아닙니다. OCR은 아직 최종 규칙을 내지 않았고, OMB Unified Agenda의 RIN 0945-AA22 항목은 최종 조치 시점을 2027년 7월로 잡고 있습니다(컴플라이언스 업계 매체 Medcurity는 이보다 앞선 2026년 봄을 목표 시점으로 제시했습니다). 알아둘 만한 내용이지만, 지금 효력이 있는 규정을 바꾸지는 않습니다.
OCR이 서류상 통제를 보는 방식에는 변화가 있습니다. 2026년에 나온 랜섬웨어 관련 합의 4건, 총 $1.165M 규모(HHS OCR; Sidley Data Matters)은 모두 §164.308(a)(1)(ii)(A)에 따른 정확하고 철저한 위험 분석을 하지 않았다는 점을 지적했습니다. 컴플라이언스 업계는 이를 위험 분석 문서의 존재만으로는 충분하지 않으며, OCR이 이제 그 분석 결과로 무엇을 했는지까지 살펴보기 시작했다는 신호로 읽습니다(ComplianceHub). "접근 정책이 있다"는 말과 "지금 무엇이 열려 있는지 안다"는 말은 같지 않습니다. 90일 후 감사는 지금 열려 있는 접근 상태를 검증하는 몇 안 되는 수단입니다.
'접근 권한 부여'와 '계속 열려 있는 권한 관리'의 차이
정책 문서만 보면 두 가지가 비슷해 보입니다. 하지만 90일 후 감사에서 확인해야 하는 대상은 서로 다릅니다.
**접근 권한 부여(provisioning)**는 누가 어떤 범위로 얼마 동안 접근할 수 있는지를 처음 정하는 일입니다. 벤더 온보딩을 제대로 운영하는 조직이라면 이 단계는 대체로 이미 갖추고 있습니다. 접근 검토, 최소 권한 범위 지정, 명확한 만료 시점은 보안팀이 계약 전에 이미 요구하는 항목입니다.
**계속 열려 있는 권한을 관리하는 일(governing what stays open)**은 한 번 승인하고 끝낼 일이 아닙니다. 지금 남아 있는 접근 권한이 승인 당시의 범위 안에 여전히 있는지 계속 확인해야 합니다. 세션이 정해진 때에 자동으로 만료된다면 아무도 지켜보지 않아도 접근이 끝나므로, 이 확인 부담은 줄어듭니다.
문제는 만료 시점을 뒤로 미룰 수 있을 때입니다. 처음의 권한 부여 결정이 적절했더라도, 만료일이 곧 실제 종료일이라는 전제는 시점이 바뀌는 순간 깨집니다. 그 변화는 사고처럼 보이지 않습니다. 승인 절차 없이 시점 변경을 허용하는 플랫폼에서는 오류나 경고, 거부된 요청도 남지 않습니다. 만료 시점만 달라집니다.
벤더 접근 질문지는 접근 권한을 내주기 전에 무엇을 확인해야 하는지를 다룹니다. 90일 후 감사가 다루는 것은 그 이후입니다. 권한 부여 결정은 합리적이었고 검토 절차도 서류상 존재했지만, 아무도 점검 대상으로 삼지 않았던 만료 시점 변경이 남아 있었습니다.
90일 후 감사에서 실제로 확인해야 할 항목
요약: 90일 후 감사에서는 활성 권한의 현재 상태와 이력을 함께 확인해야 합니다. 서비스 토큰과 API 키는 세션과 별도로 조회하고, 플랫폼이 지원한다면 세션 안에서 실행된 명령도 점검합니다.
HIPAA 환경에서 벤더나 AI 에이전트의 접근 권한을 운영한다면, 어떤 플랫폼을 쓰든 다음 내부 검토에 아래 세 가지를 추가하시길 권합니다.
- 권한 부여 이력을 조회합니다. 활성 권한 목록과 각 권한의 만료 시점만 보지 말고, 각 권한이 연장된 적이 있는지와 누가 연장했는지까지 확인합니다.
- 서비스 토큰과 API 키는 별도로 조회합니다. 통합에 발급된 토큰이나 키는 세션 만료와 무관하게 존재하므로, 세션 권한 검토만으로는 드러나지 않습니다.
- 플랫폼이 지원한다면 세션 안에서 실제로 무엇이 실행됐는지 확인합니다. 세션이 기술적으로 아직 열려 있는지만 보지 말고, 실행된 명령이 그 세션을 열었던 목적과 맞는지 대조합니다.
원래 일정대로 활성 상태인 권한은 권한 부여가 제대로 이뤄졌다는 신호입니다. 원래 일정을 넘겨 계속 활성 상태인데 누가 승인했는지 기록조차 없다면 90일 후 감사에서 잡아내야 합니다. addressable로 분류된 HIPAA 이행 명세는 이 문제를 자동으로 알려주지 않습니다.
접근 권한을 제대로 부여하는 일은 출발점일 뿐입니다. 더 어렵고 오래 다뤄야 하는 문제는 서명 시점 이후에도 열려 있는 권한을 관리하는 일입니다. 감사 일정에도 이 관점을 반영할 필요가 있습니다.
세션이 아직 열려 있다는 사실만으로는 그 안에서 무엇이 실행됐는지 알 수 없습니다. 감사에서는 세션이 계속 열려 있었는지뿐 아니라, 그 안에서 무엇이 실행됐고 세션을 연 목적과 맞았는지도 확인해야 합니다.
FAQ
HIPAA는 90일마다 검토를 의무화하나요? 아닙니다. 45 CFR §164.308(a)(4)(ii)(C)의 접근 검토 조항은 "review(검토)"라고만 규정할 뿐 구체적인 숫자 주기를 정하지 않고, 이 조항 자체도 addressable(조건부 적용)입니다. 90일 후 감사나 분기별 주기는 감사 일정에서 흔히 택하는 관행이며, 법규가 직접 정한 숫자는 아닙니다.
세션에 적힌 만료일만 확인하면 제때 종료됐는지 알 수 있나요? 아닙니다. 권한에 적힌 만료일은 현재 상태만 보여줍니다. 플랫폼이 권한 부여 뒤 만료 시점을 앞으로 미루도록 허용한다면, 세션은 원래 기간을 넘겨도 일반적인 접근 목록 검토에서는 이상 신호로 잡히지 않습니다. 현재 상태가 아니라 권한의 이력을 조회해야 누구도 재승인하지 않은 연장을 잡아낼 수 있습니다.
