10월 31일은 아임웹이 아니라 고시가 정한 날짜입니다

근거는 개인정보보호위원회 고시인 「개인정보의 안전성 확보조치 기준」 제6조제2항입니다. 개인정보처리시스템에 정당한 접근 권한을 가진 사람이 외부에서 접속할 때 인증서, 보안토큰, 일회용 비밀번호 같은 안전한 인증수단을 적용하라는 조항입니다. 이 고시는 2025년 10월 31일 개정·시행됐고, 접근통제와 접속기록 등 일부 조항에는 1년 유예가 붙었습니다. 개정의 핵심은 대상 확대입니다. 외부 접속 시 인증수단을 적용해야 하는 사람이 '개인정보취급자'에서 '정당한 접근권한을 가진 모든 자(정보주체 제외)'로 넓어졌습니다. 플랫폼을 빌려 쇼핑몰을 운영하는 소상공인과 그 관리자 페이지에 드나드는 사람 모두가 여기에 들어온 것입니다. 아임웹 관리자 페이지는 회원 정보와 주문 정보를 다루는 공간이라 이 기준이 그대로 적용됩니다.

소유자 계정이 인증 대상이 되면 작업 동선이 바뀝니다

아임웹 가이드의 자주 묻는 질문에는 이런 대목이 있습니다. 2단계 보안인증은 예전부터 있었지만 그동안 소유자 계정은 인증을 거치지 않았고, 이제 소유자 계정도 대상에 포함되면서 처음으로 인증 창이 뜬다는 설명입니다. 설정은 사이트 전체 운영진에 적용되고, 로그인할 때마다 인증을 거칩니다. 네이버·카카오·구글 간편 로그인도 예외가 아닙니다. 인증 앱은 계정별로 등록되고 초기화도 계정 단위로 이뤄집니다. 제작자 입장에서 달라지는 점은 분명합니다. 클라이언트 소유자 계정으로 들어가 작업하려면 매번 클라이언트에게 6자리 코드를 받아야 합니다. 이메일 인증을 골라도 인증 메일은 로그인한 계정의 메일로 가므로 결과는 같습니다. 반대로 운영자 계정으로 초대받으면 제작자 본인의 인증 앱으로 로그인할 수 있고, 휴대폰을 바꿔 코드를 잃어도 소유자가 [고객 > 운영진] 목록에서 해당 운영자의 OTP를 초기화해 줄 수 있습니다.

인증 방식은 세 가지, 제작 현장에서는 인증 앱이 기본값입니다

설정 위치는 [관리자 페이지 > 설정 > 보안·개인정보 보호 > 보안 설정]의 「운영진 보안 설정」입니다. 고를 수 있는 방식은 인증 앱(OTP), 이메일 인증, SMS 인증 세 가지입니다. SMS 인증은 사이트에 발신번호가 등록돼 있어야 쓸 수 있고, 인증 문자가 사이트의 문자 발송 가능 건수에서 차감됩니다. 운영진이 여럿이고 로그인이 잦은 쇼핑몰이라면 로그인 횟수만큼 문자 비용이 쌓입니다. 인증 앱은 발송 과정이 없어 비용도 대기 시간도 없습니다. 휴대폰 대신 크롬 확장 프로그램으로 코드를 만드는 방법도 가이드에 있지만, 아임웹이 만든 도구가 아니고 여러 사람이 쓰는 컴퓨터에는 등록하지 말라는 단서가 붙어 있습니다. 작업실 공용 PC에 클라이언트 계정 코드를 심어 두는 방식은 피해야 합니다.

설정하지 않으면 책임은 사이트 운영자에게 남습니다

아임웹은 가이드에서 위험을 구체적으로 적어 두었습니다. 인증 의무가 적용되는데도 적용하지 않으면 안전성 확보조치 위반으로 3천만 원 이하 과태료 대상이 될 수 있고, 사고가 함께 확인되면 과징금으로 이어질 수 있다는 설명입니다. 외부 서비스를 쓴다는 이유만으로 브랜드에 책임이 없다고 보기 어렵다는 문장도 있습니다. 같은 달 아임웹 공지 흐름도 이 방향을 가리킵니다. 누끼토끼 칼럼에서 9월 중순에 다룬 9월 14일 스팸 문자 사고 이후 9월 22일에는 소유자와 운영진에게 비밀번호 변경과 개인별 OTP 설정을 요청했고, 9월 29일에는 관리자가 직접 쓰는 문자(SMS/LMS) 수동 발송을 다시 일시 중단했습니다. 주문·배송 자동 알림은 정상 발송됩니다.

납품 전후에 바꿔 둘 네 가지

첫째, 제작 착수 시점에 클라이언트에게 운영자 초대를 요청하고 소유자 계정 정보는 받지 않습니다. 둘째, 운영진 보안 설정에서 2단계 인증을 켜고 방식은 인증 앱으로 맞춥니다. 클라이언트가 인증 앱을 처음 쓴다면 설치와 QR 등록까지 납품 미팅에서 함께 끝내는 편이 빠릅니다. 셋째, 인증 앱을 지우거나 휴대폰을 바꾸면 코드를 만들 수 없으므로, 앱 백업을 켜거나 직접 입력용 키를 따로 보관하도록 안내합니다. 소유자 계정 초기화는 소유자 본인만 [마이페이지 > 정보수정]에서 할 수 있습니다. 넷째, 유지보수 계약이 끝나면 제작자 운영자 계정을 삭제하도록 인수인계 문서에 한 줄 넣어 둡니다. 아임웹이 두 차례 공지에서 반복한 요청이 쓰지 않는 운영진 계정 정리였습니다.

10월 31일부터 아임웹 관리자 페이지 2단계 인증은 권장이 아니라 법령상 적용 대상이고, 소유자 계정도 예외가 아닙니다. 제작자가 소유자 계정을 빌려 쓰던 방식은 매번 코드를 요청하는 불편으로 바뀝니다. 운영자 계정 초대, 인증 앱 방식, 백업 키 보관, 계약 종료 후 계정 삭제까지 네 가지를 납품 체크리스트에 넣어 두면 됩니다.

누끼토끼가 운영하는 아임웹 강의와 칼럼에서는 계정 권한, 납품 체크리스트처럼 제작 이후에 반복되는 실무를 계속 정리하고 있습니다.