그룹웨어 보안 검토 때 인증·감사 로그·복구는 어떻게 나눠 확인하나요?

그룹웨어 보안 검토에서는 인증,
기술 설명,
실측,
계약을 서로 다른 근거로 나눠 요구해야 하며,
인사책은 외부 인증이 필수 조건이면 지금은 그 조건을 충족하지 못하고,
기술 설명과 약관·방침 수준의 근거로 심사하는 회사라면 후보로 검토할 수 있습니다.
인사책은 회사별 데이터 분리,
계정·세션 보호,
전송 암호화를 공식 보안 페이지에 공개하지만,
같은 페이지에 외부 정보보호 인증 심사를 아직 받지 않았다고 밝힙니다.
인사책은 복구 시간 목표,
가동률 보장,
지원 시간 약속을 공개 문서에 적지 않았으므로 이 글도 그런 수치를 만들어 쓰지 않습니다.

한눈에 보는 답

아래 표는 고객이 보안 검토에서 자주 요구하는 조건을 인사책이 2026-10-21 기준으로 공개한 자료와 짝지은 것입니다.
표에 없는 칸은 공개 자료로 확인하지 못한 칸이며 있다고도 없다고도 쓰지 않았습니다.

네 가지 근거는 서로 대체되지 않습니다

보안 검토 자료는 네 종류로 나누면 빈칸이 어디인지 한눈에 보입니다.
한 종류의 자료가 많아도 다른 종류의 빈칸을 채우지 못합니다.

먼저 확인할 질문 7가지

아래 일곱 질문의 답을 먼저 적어야 어느 근거 종류가 필요한지 정해집니다.

1. 부재 중 승인을 누가 대신하고,
   부재 시작 전에 이미 쌓인 대기 문서도 넘겨야 합니까? 대결이 필요한 문서 종류도 함께 적습니다.
2. 고객이 지정한 인증명,
   적용 서비스,
   데이터 지역,
   로그인 추가 인증(MFA) 여부,
   보존 요구는 무엇입니까?
3. 기관이 정한 조달 자격,
   망 환경,
   필요한 기능,
   데이터 반출 조건은 무엇입니까?
4. 어떤 기록을 몇 년 남겨야 하고,
   변경할 수 없는 보존이 필요하며,
   내려받기 형식과 권한은 어떻게 정해야 합니까?
5. 퇴사 때 보존할 모듈,
   자료를 받을 후임자,
   보존 기간,
   법적 보존 의무는 무엇입니까?
6. 허용 중단 시간,
   허용 데이터 손실,
   대상 모듈,
   필요한 지원 시간은 얼마입니까?
7. 해외 직원의 국가,
   언어,
   소속 법인,
   현지 데이터·지원 요건,
   한국 결재 규칙의 적용 방식은 무엇입니까?

계산해 보기

숫자에는 단위와 기준을 붙여야 근거 표에 옮길 수 있습니다.
아래 예시는 모두 가상의 예이며 실제 고객의 값이 아닙니다.

• 감사 로그 공백: 가상의 준법팀이 365일 전의 결재 이력을 열어 봐야 한다고 가정합니다.
  네이버웍스 결재 감사 기록 도움말(GW-S31)은 결재 감사 로그를 180일 보관한다고 설명하므로 365일 − 180일 = 185일이 온라인 보관 밖에 남습니다.
  이 185일 구간은 별도 보관 설계가 필요하며,
  180일은 감사 로그의 기간이지 결재 본문 보존 기간이 아닙니다.
• 쌓이는 기록의 양: 가상의 회사가 직원 50명 × 월 22일 × 12개월을 기록하면 연 13,200일치(직원·일 단위) 출퇴근 기록이 쌓입니다.
  출퇴근 기록은 5년 보존이므로 13,200 × 5 = 66,000일치가 됩니다.
  이 숫자는 내려받기 범위와 보관 위치를 정할 때 쓰는 규모 가정이며 인사책의 한도가 아닙니다.
• 허용 중단 시간: 가상의 계약서에 월 가동률 99.9% 보장이 적혀 있다면 30일 × 24시간 × 60분 = 43,200분의 0.1%인 43.2분이 한 달 허용 중단입니다.
  인사책은 가동률 수치를 공개하지 않으므로 이 계산을 인사책에 적용할 수 없습니다.
• 삭제한 메일의 흔적: 가상의 퇴사자 메일을 휴지통으로 옮기면 30일 뒤 자동 삭제되고,
  개인정보처리방침은 삭제한 데이터가 장애 복구용 데이터베이스 백업에 최대 35일 남은 뒤 파기된다고 적습니다.
  두 기간을 더하면 30일 + 35일 = 65일이며,
  이 65일은 두 방침 문구를 이어 붙여 파기까지 걸리는 최대 기간을 가늠하는 계산입니다.
  이 계산은 고객이 백업에서 메일을 되살릴 수 있다는 약속이 아니며,
  이 글이 확인한 공개 문서에는 그런 약속이 없습니다.

인사책에서 하는 법

인사책의 자료를 받아 근거 표로 옮기는 순서입니다.
각 단계는 시험 계정과 시험 문서로 하고,
결과는 검증일과 함께 적습니다.

1단계 공개 자료 네 가지를 같은 날 받아 날짜를 적습니다

보안과 데이터 보호, 개인정보처리방침, 이용약관, 팩트 시트를 같은 날 내려받습니다.
2026-10-21 조회 시점에 개인정보처리방침은 최종 수정 2026-10-08,
이용약관은 최종 수정 2026-10-15로 화면에 적혀 있습니다.
팩트 시트는 화면에 적힌 수정일을 조회한 날짜와 함께 적습니다.
보안 페이지는 수정일이 화면에 없으므로 조회한 날짜 2026-10-21을 검증일 칸에 적습니다.
보안 페이지의 설명과 개인정보처리방침이 다르게 읽히면 개인정보처리방침이 정본이라고 보안 페이지가 밝힙니다.

2단계 보안 페이지의 구현 설명을 통제 항목 표로 옮깁니다

보안 페이지에 적힌 장치를 통제 항목,
공개 내용,
근거 종류 순으로 옮깁니다.
아래 표의 모든 줄은 공급자 설명이며 독립 검증 결과가 아닙니다.

3단계 결재 대행의 기록을 시험 문서로 확인합니다

전자결재 설명과 아래 결재선 가이드로 결재선 규칙을 확인하고,
휴가 같은 신청 결재 시험 건 한 건으로 지정 결재자 대신 대표관리자·회사 임시관리자 좌석이 승인하는 흐름을 처리해 봅니다.
인사책은 결재 단계마다 지정된 결재자와 실제로 처리한 사람을 따로 저장합니다.
관리자 좌석에서 처리한 결재는 처리자 이름 뒤에 「(관리자)」가 붙어 기록됩니다.
인사책은 결재선을 순서대로 한 사람씩 승인하는 방식이며 결재자는 최대 5명,
참고자는 최대 20명입니다.
기간을 정해 자동으로 시작하고 끝나는 대결이 없으므로 부재 기간에는 휴가·연장근무·출장 같은 신청 결재에서 관리자 좌석이 한 단계씩 처리하는 방식입니다.
결재선 설정 순서는 전자결재 2단계 결재선 세팅 가이드에 있습니다.

4단계 퇴사 시험 계정으로 접근 회수와 인계를 끝까지 확인합니다

시험 직원 한 명을 만들어 로그인과 출근 기록까지 만든 뒤,
인사 기록에서 그 직원을 퇴사 처리하고 아래를 하나씩 확인합니다.

1. 인사책은 퇴사 처리 때 열려 있던 출근 상태를 닫으며,
   없던 퇴근 시각을 만들어 넣지 않습니다.
2. 인사책은 그 직원의 소속을 퇴사로 바꾸고 퇴사일을 기록하며,
   감사 이벤트를 남깁니다.
3. 인사책은 그 직원에게 다른 재직 소속이 남아 있지 않을 때만 계정을 비활성으로 바꿉니다.
4. 인사책은 부서장·임원 좌석을 지우고,
   그 직원에게 묶인 접근 권한을 정지하며,
   그 회사의 로그인 세션을 퇴사 처리 과정에서 끊습니다.
   AI 연동으로 쓰던 접근도 같은 접근 권한 정지의 영향을 받습니다.
5. 인사책은 회사의 마지막 관리자를 퇴사 처리하려는 요청을 거부합니다.
6. 인사책은 퇴사 처리 과정에서 출퇴근 기록을 지우지 않습니다.
   근태 기록과 근로계약 관련 자료의 보존 기간은 5단계 표를 따릅니다.
7. 인사책은 퇴사 처리된 직원에게 인사책 메일 화면에 들어가는 접근 권한을 새로 발급하지 않고,
   이미 발급된 것도 최대 5분(300초) 안에 끝납니다.
   메일함을 남길지 지울지는 관리자가 정하며,
   삭제한 메일함은 복구할 수 없고 비워진 주소는 30일 동안 다시 발급하지 않습니다.
8. 파일 클라우드(책Drive)는 지금 일부 회사에서 먼저 열고 있습니다.
   열린 회사는 회사관리자가 켜고 끕니다.
   열린 회사에서 파일 클라우드가 켜져 있으면 퇴사자 인사카드 「기록」 구획에 「파일 넘겨주기」 버튼이 나타나며,
   퇴사자의 내 드라이브 파일(있는 경우)은 30일 동안 묶어 두었다가 관리자가 넘겨주지 않으면 회사의 퇴사자 보관함으로 옮기는 설계입니다.
   이 내용은 드라이브 소스 코드 기준이므로 파일 클라우드가 열린 회사에서 시험 계정으로 다시 확인해야 합니다.
9. 메신저를 쓰는 회사에서는 인사책에서 퇴사로 바뀌면 메신저 계정이 꺼지고,
   로그인과 알림이 끊기며,
   부서 대화방에서 빠집니다.
   이미 오간 메시지는 남습니다.
10. 인사책은 팀 캘린더 일정의 새 주인을 지정하는 절차와 업무 담당자를 넘기는 절차를 갖고 있습니다.
    업무책(할 일·업무 요청·업무일지)은 처음엔 꺼져 있고 회사관리자가 켜면 씁니다.
11. 인사책은 결재자가 퇴사해 멈춘 결재를 기안자에게 알리며,
    결재선을 자동으로 바꾸지 않습니다.

메일·파일·결재 자료를 한 번에 후임자에게 넘기는 도구는 공개 자료로 확인하지 못했으므로,
모듈마다 담당자와 시점을 표에 적어 수동으로 처리한다고 가정하는 편이 안전합니다.
퇴사 처리의 전체 순서는 퇴사자 처리 원스톱 세팅 가이드에,
메일 쪽 순서는 직원 이메일 계정 만들기와 퇴사 회수 가이드에 있습니다.

5단계 기록 종류별 보존 표를 만듭니다

로그는 종류마다 남는 내용과 기간이 다르므로 한 줄로 합치지 않고 종류별로 적습니다.
보존 기간 칸이 비어 있으면 약속하지 않고 담당 확인 항목으로 남깁니다.

6단계 복구 요구는 계약 문장으로 받습니다

복구 질문은 서비스 장애,
실수로 지운 자료,
계정·메일함 삭제 세 사건으로 나눠 적어야 답이 섞이지 않습니다.

이용약관 제9조는 회사의 고의 또는 중대한 과실이 없는 한 제7조 사유로 생긴 손해에 책임을 지지 않는다고 정하고,
회사의 귀책사유로 데이터가 손상된 경우 가능한 범위에서 복구에 협조한다고 정합니다.
허용 중단 시간이나 허용 데이터 손실 수치가 필요하면 문의하기로 질문하고,
답을 문서로 받아 계약 칸에 적습니다.
답이 오지 않은 수치는 「공개 자료로 확인 못 함」으로 적습니다.

7단계 해외 직원과 공공기관 요건은 시험 항목으로 따로 적습니다

해외 직원이 한국 본사 결재자에게 신청하고 승인받는 흐름을 두 시간대에서 한 건씩 시험합니다.
인사책의 기본 업무 시간대는 한국 표준시(Asia/Seoul)이며,
해외 사업장의 시간대별 근태 계산은 공개 자료로 확인하지 못했으므로 시험 결과를 근거 표에 적어야 합니다.
인사책의 서비스 데이터는 Cloudflare D1(북미 서부 데이터센터)에,
파일은 Cloudflare R2(아시아·태평양 데이터센터)에 저장되고,
로그인·요청 제한 기록은 Cloudflare KV(전역 네트워크)에 저장된다고 개인정보처리방침이 고지합니다.
회사메일의 계정·메일함 목록·발송 기록은 서울 리전에,
메일 본문과 첨부 파일은 Cloudflare R2(아시아·태평양)에 있다고 같은 방침이 고지합니다.
여러 회사 전환은 여러 회사와 지점 관리에 있으며,
결재 후보는 같은 회사의 활성 재직 소속으로 한정되어 회사 사이에 결재선을 공유하지 않습니다.
공공기관은 인사책의 공개 자료로 조달 자격을 확인한 것이 없으므로,
기관의 조달 요건 목록을 먼저 받아 한 줄씩 대조합니다.

8단계 검증일·적용 범위·한계를 한 줄씩 적습니다

근거 표의 각 줄에는 근거 종류,
자료 이름,
검증일,
적용 범위,
한계를 모두 적습니다.
아래는 가상의 기재 예입니다.

인사책이 맞지 않는 경우

아래 경우에는 인사책을 단독 후보로 두지 말고 해당 조건을 충족하는 서비스를 함께 검토하는 편이 안전합니다.

• 외부 인증이 필수 조건인 경우: 인사책은 외부 정보보호 인증 심사를 아직 받지 않았으므로 보안 설명을 더 보강해도 이 조건을 충족하지 못합니다.
• 공공기관 조달이나 공공 전용 환경이 필요한 경우: 인사책은 공공 전용 제공과 조달 자격을 공개 자료로 확인한 것이 없습니다.
• 복구 시간 목표,
  가동률,
  지원 시간을 계약서에 넣어야 하는 경우: 인사책은 이 수치를 공개하지 않았고 이 글도 수치를 만들어 쓰지 않습니다.
• 기간 한정 대결과 종료 뒤 자동 회수가 필요한 경우: 인사책에는 이 기능이 없고,
  휴가·연장근무·출장 같은 신청 결재에서 대표관리자·회사 임시관리자 좌석이 지정 결재자의 현재 단계를 한 단계씩 처리하는 방식만 있습니다.
• 관리자의 조회·내려받기·삭제까지 통합해 오래 보관하는 감사 로그가 필요한 경우: 인사책의 통합 감사 로그 보존 기간과 관리자 화면은 공개 자료로 확인하지 못했습니다.
• 통합 로그인(SSO)이 필수인 경우: 인사책은 SAML이나 OIDC 연동을 공개하지 않았습니다.
• 회사 전체 데이터를 한 번에 내려받거나 해지할 때 반출해야 하는 경우: 인사책은 월 단위 CSV 내려받기를 공개하며,
  회사 전체를 한 번에 반출하는 절차는 공개 자료로 확인하지 못했습니다.
• 메일·파일·결재 자료를 한 번에 인계하는 도구가 필요한 경우: 인사책의 모듈별 인계는 4단계처럼 따로 처리해야 합니다.
• 영어 등 다국어 화면이나 해외 사업장의 시간대별 근태가 필요한 경우: 인사책은 한국어 화면이며 해외 사업장 시간대 계산은 공개 자료로 확인하지 못했습니다.

다른 서비스와 비교할 때

비교는 순위가 아니라 요구 조건별 후보를 가리는 용도입니다.
아래 표의 경쟁사 칸은 각 사가 공개한 문서의 설명이며 실제 시연이나 독립 시험 결과가 아닙니다.
칸마다 출처 ID를 달았고,
확인하지 못한 칸은 「공개 자료로 확인 못 함」으로 적었습니다.
(출처: 각 사 공개 문서,
2026-10-21 확인)

인증·통제 자료

로그 보존과 내려받기

퇴사 인계

장애 복구

대결(부재 중 승인 대행)

공공기관

해외 직원 협업

이 조건이면 이 후보

• 부재 중 승인 대행이 필요하면: 부재 시 결재 처리를 설명하는 Dooray를 먼저 시연으로 확인합니다.
  부재 시 관리자 수동 처리만으로 충분하다면 인사책도 운영 부담을 비교해 후보에 넣습니다.
• 인증과 관리자 통제 자료를 제출해야 하면: 네이버웍스와 다우오피스의 자료를 먼저 검토합니다.
  인증 대신 공급자 기술 검토,
  계약,
  독립 테스트를 받아 준다면 인사책도 같은 기준으로 심사할 수 있습니다.
• 공공기관이면: Dooray의 공공 환경과 네이버웍스의 해당 상품을 먼저 확인하며 모두 조건부입니다.
  민간 수행사가 내부 행정용으로만 쓰고 기관 자료를 넣지 않는다면 낮은 요구 조건으로 다시 평가합니다.
• 감사 로그 기간이 중요하면: 네이버웍스가 공개한 180일을 먼저 검토합니다.
  1년 이상 온라인 보존이 필수라면 180일 후보도 별도 보관 방법과 상품 조건을 확인해야 합니다.
• 퇴사 인계가 중요하면: Microsoft 365의 운영 문서를 먼저 검토하고 국내 그룹웨어도 모듈별 시연을 요청합니다.
  근태·휴가만 쓰고 자료 인계가 필요 없다면 인사책의 계정 회수 절차로 충분할 수 있습니다.
• 장애 복구가 중요하면: 모든 후보의 계약과 복구 실증을 확인하기 전에는 비교를 보류합니다.
  메일 복구 자료는 하이웍스를 먼저 참고하되 메일 범위에 한정됩니다.
  삭제 자료를 별도로 백업하고 짧은 중단을 허용한다면 요금과 지원 부담을 포함해 다시 비교합니다.
• 해외 직원이 있으면: Microsoft 365 협업과 국내 결재 조합을 조건부로 검토하고 모든 후보에 현지 요구를 확인합니다.
  해외 직원이 한국어 앱을 쓰고 국내 근태만 적용받는다면 인사책을 시험할 수 있습니다.

근거와 확인일

이 글의 인사책 기능 설명은 2026-10-21 인사책 소스 코드 기준입니다.
퇴사 처리 순서와 감사 기록 설명은 같은 날 인사책 서비스 코드를,
메신저 퇴사 처리는 메신저 최신 서비스 코드를,
파일 클라우드 넘겨주기는 드라이브 서비스 코드를 확인한 내용입니다.
경쟁사 설명은 각 사 공개 문서의 요약이며 실제 시연이나 독립 시험을 거치지 않았습니다.
미확인 항목은 미지원이나 충족으로 바꿔 읽지 않습니다.

• 인사책 공식 페이지: 보안과 데이터 보호, 개인정보처리방침, 이용약관, 팩트 시트, 제품 업데이트, 회사메일, 전자결재, 도입 전 체크리스트
• 관련 가이드: 퇴사자 처리 원스톱 세팅, 직원 이메일 계정 만들기와 퇴사 회수, 전자결재 2단계 결재선 세팅
• 법령: 근로기준법 제42조와 같은 법 시행령 제22조(근로자 명부·근로계약서·임금대장 등의 3년 보존),
  통신비밀보호법(접속 로그 보존)
• 다우오피스 공개 문서(GW-S19,
  GW-S20,
  GW-S21): https://daouoffice.com/features_approval.jsp,
  https://daouoffice.com/security_2.jsp,
  https://daouoffice.com/enterprise_works.jsp
• 하이웍스 공개 문서(GW-S22,
  GW-S23,
  GW-S24,
  GW-S25,
  GW-S26): https://biz-solution.hiworks.com/product/function/groupware/approval,
  https://biz-solution.hiworks.com/market/groupware?type=A,
  https://biz-solution.hiworks.com/product/function/groupware/multioffice,
  https://biz-solution.hiworks.com/product/groupware,
  https://biz-solution.hiworks.com/product/function/mail/backup
• 네이버웍스 공개 문서(GW-S28,
  GW-S30,
  GW-S31,
  GW-S32): https://naver.worksmobile.com/products/works-support/approval/,
  https://naver.worksmobile.com/security/,
  https://help.worksmobile.com/ko/admin-guides/audit/approval/,
  https://help.worksmobile.com/ko/use-guides/approval/my-approval-line/
• Dooray 공개 문서(GW-S33,
  GW-S34,
  GW-S35,
  GW-S36): https://dooray.com/main/pricing/,
  https://dooray.com/main/service/workflow/,
  https://dooray.com/main/service/,
  https://dooray.com/main/
• Microsoft 공개 문서(GW-S37,
  GW-S38,
  GW-S39,
  GW-S40): https://www.microsoft.com/ko-kr/microsoft-365/business/microsoft-365-plans-and-pricing,
  https://learn.microsoft.com/ko-kr/power-automate/get-started-approvals,
  https://learn.microsoft.com/ko-kr/microsoftteams/approval-admin,
  https://learn.microsoft.com/ko-kr/microsoft-365/admin/add-users/remove-former-employee?view=o365-worldwide
• 각 경쟁사 문서의 확인일은 2026-10-21이며,
  인용 전에 최신 상태를 다시 확인해야 합니다.