퇴사자 오프보딩은 늘 “계정 비활성화, 라이선스 회수, 매니저 알림” 정도로 끝났다고 생각했는데, ITManagers 쪽에서 본 사례가 꽤 찜찜했다. 한 관리자가 평소처럼 20분 만에 오프보딩을 끝냈는데, 사흘 뒤 매니저가 “왜 아직 퇴사자 메일함을 읽을 수 있냐”고 물었다. 알고 보니 8개월 전 휴직 때 열어둔 delegated mailbox access가 체크리스트 밖에 남아 있었다. 더 무서운 건 그다음이다. 조직 전체 위임 권한을 긁어보니 활성 delegation이 60개, 그중 12개 안팎은 한쪽 계정이 이미 오프보딩된 상태와 얽혀 있었다고 한다. 계정은 꺼졌는데 위임 권한은 따로 회수되지 않은 상태. 어떤 보관 정책 조합에서는 disabled mailbox도 여전히 읽히는 구성이 있었다는 얘기까지 나왔다. 이건 보안팀의 거창한 플랫폼보다, HRIS 이벤트가 들어오면 Exchange/Google Workspace의 위임·공유메일함·캘린더 공유·드라이브 권한을 한 번에 스캔해서 “체크리스트에 없는 잔여 접근권”만 티켓으로 뽑아주는 작은 제품이 먼저 필요해 보인다. 3년 된 오프보딩 문서가 놓친 걸 사람이 기억으로 메우는 방식은 너무 비싸다.