IT 자산 관리 시스템: 기기·SaaS·계정 생애주기 [2026]
기기·소프트웨어·SaaS·계정의 조달·배정·회수·폐기를 사건으로 관리합니다. HR·IdP·MDM·회계·SaaS 대사, 퇴사자 접근과 실물 회수 기준을 정리했습니다.
이 글을 쓴 알파카랩스카카오·네이버·쿠팡 출신, 재하청 0%, 대기업·공공기관 등 18개사+ 레퍼런스
IT 자산 관리 시스템은 노트북과 소프트웨어 수량을 세는 대장이 아니라 하드웨어·소프트웨어·SaaS·서비스·계정이 어떤 업무와 사용자에게 어떤 권한·비용·위험으로 연결됐는지 조달부터 배정·변경·회수·폐기까지 증명하는 생애주기 시스템입니다. 구매 목록과 네트워크 탐지 결과 중 하나만으로는 실제 책임과 승인 상태를 알 수 없습니다.
자산에는 물리적 기기, 설치 소프트웨어, SaaS 구독, 클라우드 서비스, 인증서·도메인, 데이터와 공급자 서비스가 포함될 수 있습니다. 모든 항목을 같은 수준으로 관리하기보다 업무 중요도·데이터 접근·비용·복구 영향을 기준으로 범위와 통제를 정해야 합니다.
정확한 자산 상태는 하나의 시스템에만 있지 않습니다. 구매·회계는 소유와 비용, MDM·EDR은 관측된 기기, IdP는 계정 접근, HR은 사용자 상태, SaaS는 실제 사용을 보여 줍니다. ITAM은 이 원천을 공통 식별자와 대사 규칙으로 연결해야 합니다.
자산 종류마다 정체성·소유·관측·책임을 분리한다#
호스트명이나 구매 품목명을 고유 키로 쓰지 않고 변하지 않는 내부 ID와 외부 식별자를 연결합니다.
| 자산 | 정체성·원천 | 책임 관계 | 검증 증거 |
|---|---|---|---|
| 기기 | asset_id·serial·MDM/EDR ID | 소유·보관·사용·관리 | 실물·관측 대사 |
| 소프트웨어 | 제품·버전·설치 ID·라이선스 | 계약·설치·사용 권한 | 탐지·구매 대사 |
| SaaS·서비스 | tenant·subscription·account ID | 계약·관리자·사용자·비용 | 관리 콘솔·청구 |
| 인증·데이터 | 도메인·인증서·키·데이터셋 ID | 소유자·만료·접근·보관 | 레지스트리·로그 |
입고·배정·이동·수리·회수·폐기를 사건으로 남긴다#
현재 사용자 필드를 덮어쓰지 않고 인수인계와 책임 시점을 재현합니다.
| 사건 | 필수 입력 | 연결 통제 | 종료 증거 |
|---|---|---|---|
| 입고·등록 | 발주·수령·serial·보증 | 중복·소유·기준 구성 | 검수 기록 |
| 배정·이동 | 사용자·위치·기간·승인 | HR·IdP·MDM 정책 | 수령·정책 적용 |
| 수리·분실 | 고장·데이터·대체·보험 | 접근 차단·보존·사고 | 복구·조사 |
| 회수·폐기 | 반납·삭제·재배정·매각 | 계정·키·라이선스 회수 | 삭제·폐기 증명 |
실무 시나리오: 퇴사자 노트북은 없고 SaaS 토큰은 살아 있다#
HR 퇴사 처리는 완료됐지만 장비 반납이 확인되지 않고 개인에게 발급된 SaaS·클라우드 접근이 남은 경우를 가정합니다.
| 단계 | 확인 질문 | 대응 | 종료 증거 |
|---|---|---|---|
| 격리 | 어떤 기기·계정·서비스·데이터가 연결됐나 | 세션·토큰·원격 접근 차단 | 접근 영향 목록 |
| 회수 | 실물 위치와 수령 책임자는 | 연락·택배·분실 절차·보존 | 인수 또는 사고 기록 |
| 정리 | 키·라이선스·소유 문서를 누가 넘겨받나 | 회전·재배정·내보내기 | 새 소유자·비용 대사 |
| 종료 | HR·IdP·MDM·SaaS·자산대장이 일치하나 | 차이 큐 해소·승인 | 퇴사 체크 대사 |
하드웨어뿐 아니라 소프트웨어·서비스·데이터 생애주기를 관리한다#
NIST Cybersecurity Framework 2.0의 Asset Management는 하드웨어, 소프트웨어·서비스·시스템, 공급자 서비스, 데이터와 메타데이터 인벤토리 및 생애주기 관리를 별도 결과로 제시합니다. CSF는 방법과 제품을 지정하지 않는 위험 관리 프레임워크이므로 자산 범위·필드·대사 주기와 보존 조건은 조직의 업무·위험·계약·법률 환경에 맞게 정해야 합니다.
- NIST Cybersecurity Framework 2.0: 조직 규모·산업과 무관한 고수준 사이버 위험 결과 체계
- NIST CSF 2.0 PDF: ID.AM 하드웨어·소프트웨어·서비스·공급자·데이터 인벤토리와 생애주기
- NIST CSF Identify: 업무 목적과 위험 전략에 따른 자산 식별·우선순위
권위 원천·대사 주기·예외 큐·소유자 SLA를 운영한다#
자산 속성마다 권위 원천을 정합니다. 구매·비용은 조달·회계, 사용자 상태는 HR, 인증은 IdP, 기기 관측은 MDM·EDR, SaaS 사용은 각 관리자 콘솔처럼 구분하고 ITAM은 출처·수집 시각·신뢰도를 보존합니다.
매일 또는 위험에 맞는 주기로 HR 활성 사용자와 IdP 계정, 자산 배정과 MDM 관측, 구매 라이선스와 설치·SaaS 활성 사용자를 대사합니다. 알 수 없는 기기·소유자 없는 서비스·중복 serial·퇴사자 접근은 이유·소유자·기한이 있는 예외 큐로 보냅니다.
자산 데이터 접근 자체도 민감합니다. 개인 위치·사용 로그는 목적과 필요 범위를 제한하고 역할 기반 권한·보관·감사·삭제를 둡니다. 공급자 종료와 제품 폐기 때 데이터 반출·계정 회수·키 회전·계약 종료와 증명을 함께 처리합니다.
기기 보안 정책은 MDM 도입 기준에서 구체화합니다. 입퇴사 업무 연결은 온보딩 시스템과 함께 보세요. 배정·회수 승인은 전자결재 시스템을 참고하세요.
실물·관측·계약·접근을 대체 담당자가 대사하면 승인한다#
신규 입사·부서 이동·휴직·퇴사·재입사, 분실·수리·대체, 공유 기기, 중복 serial, 미승인 소프트웨어, 미사용 SaaS, 관리자 이탈, 오프라인 기기와 폐기를 표본에 포함합니다.
대체 담당자가 자산 ID 하나로 구매·검수·배정·정책·접근·비용·수리·회수·삭제·폐기를 재현하고, HR·IdP·MDM·회계·SaaS 차이를 목표 시간 안에 닫을 수 있을 때 IT 자산 관리 시스템을 승인합니다.
핵심 요약
- ✓하드웨어·소프트웨어·SaaS·서비스·인증·데이터 자산의 범위를 위험에 맞게 정한다
- ✓내부 asset_id에 serial·MDM·IdP·계약·구독 식별자를 연결한다
- ✓입고·배정·이동·수리·회수·폐기를 현재값이 아닌 사건으로 남긴다
- ✓HR·IdP·MDM·회계·SaaS를 권위 원천별로 대사하고 차이를 예외 큐로 관리한다
- ✓퇴사자의 실물·계정·토큰·라이선스·데이터를 함께 회수하는 것을 승인 기준으로 삼는다
자주 묻는 질문