접근통제 설계: 인증·인가 모델과 제로 트러스트 운영

정보자산을 지키는 권한 경계

접근통제는 정보시스템, 네트워크, 데이터 같은 정보자원에 누가 어떤 조건으로 접근할 수 있는지 제한하고 관리하는 보안 메커니즘이다. 무단 접근, 정보 유출, 데이터 조작에 대응하는 핵심 방어 수단이며, 디지털 트랜스포메이션이 확대되면서 중요성도 커지고 있다.

설계와 운영의 출발점은 최소 권한의 원칙(Principle of Least Privilege)이다. 업무에 필요한 범위만 권한을 부여하고, 내부자 위협(Insider Threat)에 대응할 수 있도록 권한의 부여와 사용을 통제한다.

접근통제는 식별, 인증, 인가의 흐름으로 구분할 수 있다.

식별(Identification)은 시스템이나 네트워크에 접속하려는 사용자의 신원을 구분하는 단계다. 사용자 ID, 계정명, 이메일 주소 등이 식별에 쓰이며, 기업 네트워크 로그인에서 사원번호나 이메일 주소를 입력하는 과정이 여기에 해당한다.
인증(Authentication)은 사용자가 주장한 신원이 실제 본인인지 확인하는 과정이다. 패스워드와 PIN 번호처럼 아는 것(Something you know), 스마트카드·OTP·보안토큰처럼 가진 것(Something you have), 지문·홍채·얼굴인식처럼 자신인 것(Something you are)을 활용한다. 다중 인증(MFA)은 2개 이상의 인증 요소를 조합하며, 패스워드와 OTP의 조합이 한 예다. 단일 인증 수단에 의존하지 않고 서로 다른 인증 요소를 함께 요구해 한 수단의 취약점을 보완하는 운영 원칙으로 적용할 수 있다.
인가(Authorization)는 인증된 사용자에게 자원 접근 권한을 부여하는 단계다. 역할, 책임, 직무와 접근통제 정책·규칙에 따라 권한을 달리한다. 예를 들어 인사팀은 직원 정보 DB에, 영업팀은 고객 DB에 접근할 수 있다.

권한을 결정하는 모델의 차이

소유자가 권한을 정하는 DAC

임의적 접근통제(DAC: Discretionary Access Control)는 자원 소유자가 접근 권한을 결정하는 방식이다. 접근통제 매트릭스나 접근통제 목록(ACL)으로 구현할 수 있다. 유연성이 높지만 중앙 관리가 어렵다는 특성이 있다. 윈도우 파일 시스템에서 폴더와 파일의 공유 권한을 설정하는 방식이 예다.

⤢✕

정책이 우선하는 MAC

강제적 접근통제(MAC: Mandatory Access Control)는 시스템 정책이 중앙에서 권한을 결정한다. 사용자 같은 주체와 자원 같은 객체에 보안 레이블을 부여해 접근 여부를 판단하며, 군사·정부처럼 높은 보안이 요구되는 환경에서 주로 사용된다. SELinux와 군사용 시스템의 기밀 정보 분류 체계가 사례다.

⤢✕

조직의 역할로 관리하는 RBAC

역할 기반 접근통제(RBAC: Role-Based Access Control)는 사용자에게 직접 개별 권한을 부여하기보다 역할에 권한을 연결하는 모델이다. 직무 분리(Separation of Duties)를 구현하는 데 효과적이며, 대규모 조직에서 권한 관리를 수월하게 한다. 기업에서 관리자, 개발자, 영업사원 등 직무별로 시스템 접근 권한을 차등 부여하는 방식이 여기에 속한다.

⤢✕

속성과 상황을 함께 보는 ABAC

속성 기반 접근통제(ABAC: Attribute-Based Access Control)는 사용자 속성, 자원 속성, 환경 속성을 함께 사용해 접근을 판단한다. 동적이고 세분화된 제어가 가능해 복잡한 접근통제 정책에 적합하다. 시간, 위치, 디바이스 종류에 따라 민감 데이터 접근을 제한하는 사례가 있다.

⤢✕

통제는 물리·논리·관리 영역에서 함께 작동한다

물리적 접근통제는 출입통제 시스템, 생체인식 장치, 스마트카드, 출입카드, CCTV, 모션 센서, 경보 시스템 등을 포함한다. 맨트랩(Mantrap)은 이중 출입문으로 물리적 접근을 제한하는 방식이다. 데이터센터 출입에서 카드 인증, 생체인식, 보안요원 확인을 함께 적용하는 경우가 있다.

논리적 접근통제는 시스템과 네트워크 경계에서 적용한다. 방화벽(Firewall)은 네트워크 트래픽을 필터링하고, 침입탐지/방지 시스템(IDS/IPS)은 비정상 접근 시도를 감지하고 차단한다. VPN(Virtual Private Network)은 암호화된 접속 채널을 제공하며, NAC(Network Access Control)는 네트워크에 접속하는 장치의 보안 상태를 검증한다. PAM(Privileged Access Management)은 특권 계정을 관리하고 모니터링한다.

관리적 접근통제는 기술을 운영 가능한 체계로 만든다. 접근통제 정책, 암호 정책, 계정 관리 정책을 두고, 중요 업무의 권한을 분산하는 직무 분리를 적용한다. 최소 권한 원칙에 따라 권한을 부여하며, 접근 권한의 정기적 검토와 재인증, 사용자 보안 인식 교육 및 훈련을 병행한다.

기업 환경에서 이어지는 인증과 권한 관리

기업 정보시스템에서는 식별, 인증, 인가, 자원 접근의 순서를 권한 관리와 모니터링 체계에 연결할 수 있다. 접근통제 정책 저장소는 권한 관리 시스템에 정책을 적용하고, 로그 분석 시스템과 SIEM은 인증·인가 과정의 이상 징후를 모니터링한다.

⤢✕

클라우드 환경에서는 AWS IAM(Identity and Access Management)으로 사용자, 그룹, 역할 기반의 세분화된 권한을 관리할 수 있다. 임시 보안 자격 증명 발급은 권한 남용 방지에 활용되며, 다중 인증(MFA)은 계정 보안을 강화한다.

Azure AD(Active Directory)는 조건부 접근 정책(Conditional Access)을 제공한다. 사용자 위치, 디바이스 상태, 위험 수준에 따라 동적 접근 제어를 적용할 수 있고, PIM(Privileged Identity Management)으로 특권 계정을 관리한다.

제로 트러스트로 확장되는 검증 범위

제로 트러스트(Zero Trust)는 "신뢰하지 말고 항상 검증하라(Never Trust, Always Verify)"는 원칙을 따른다. 네트워크 위치와 무관하게 모든 접근 요청을 검증하고, 마이크로 세분화(Micro-segmentation)를 통해 최소 접근 경로를 제공한다. 인증과 권한 검증은 한 번으로 끝나지 않고 지속적으로 수행된다.

⤢✕

컨텍스트 기반 접근통제는 사용자 행동 패턴, 위치, 시간, 디바이스 같은 맥락 정보를 활용한다. 이상 행동이 감지되면 단계적으로 접근을 제한하거나 추가 인증을 요구하며, AI/ML 기반 사용자 행동 분석(UBA) 기술과 연계할 수 있다. 평소와 다른 위치에서 접속할 때 추가 인증을 요구하는 방식이 한 사례다.

생체인식도 접근통제의 범위를 넓힌다. 지문, 홍채, 안면인식 같은 전통적 생체인식이 고도화되고 있으며, 키보드 타이핑 패턴과 마우스 사용 패턴을 활용하는 행동 생체인식도 발전하고 있다. 이는 로그인 이후에도 사용자를 확인하는 지속적 인증(Continuous Authentication)에 활용될 수 있다.

운영에서 놓치기 쉬운 경계

접근 제한이 과도하면 업무 효율성이 떨어질 수 있다. 사용자 경험(UX)을 고려해 메커니즘을 설계하고, SSO(Single Sign-On)처럼 편의성을 제공하는 기술을 활용할 필요가 있다. 위험 기반 접근통제는 상황에 따라 보안 수준을 유연하게 적용하는 방법이다.

권한은 부여하는 순간보다 변경과 회수 과정에서 문제가 생기기 쉽다. 미사용 계정과 휴면 계정을 정기적으로 정리하고, 직무 변경이나 퇴사에 맞춰 권한을 조정하는 프로세스를 마련해야 한다. 특권 계정은 별도 관리 체계를 두며, 접근 권한 검토 자동화 도구를 활용할 수 있다.

규제와 감사 요구사항도 설계에 반영한다. GDPR, CCPA 등 개인정보보호 규제와 금융권 PCIDSS 같은 산업별 요구사항을 고려하고, 감사 추적(Audit Trail) 및 증거 수집 체계를 구축한다. 내부통제 기준과 프레임워크인 SOX, COSO 등의 준수도 함께 검토한다.

접근통제는 단순한 차단 기능이 아니다. 위험과 맥락에 따라 권한을 판단하는 체계이며, 제로 트러스트 기반 전략 안에서 기술적·관리적·물리적 통제가 균형 있게 구현되어야 한다.