접근통제 모델과 권한 관리 체계

권한 요청을 허용하거나 막는 기준

접근통제는 권한을 가진 사용자에게만 자원 접근을 허용하고, 권한이 없는 사용자의 접근은 제한하는 정책과 보안 기술의 묶음이다. 무단 접근, 변경, 파괴, 유출로부터 정보자산을 보호하며, 조직의 정보보안 정책을 실제 시스템에 적용하는 수단이기도 하다.

개인정보보호법, GDPR, HIPAA 등의 규제 준수에도 접근통제는 필수 요소로 다뤄진다.

접근 판단은 세 대상의 관계로 구성된다.

• 주체(Subject): 자원에 접근을 시도하는 능동적 개체다. 사용자, 프로그램, 프로세스가 여기에 속하며, 요청 전에는 적절한 신원확인과 인증을 거쳐야 한다.
• 객체(Object): 파일, 디렉터리, 프로그램, 데이터베이스, 네트워크 장비처럼 보호 대상이 되는 수동적 개체다.
• 접근규칙(Access Rules): 주체가 객체에 접근할 수 있는 조건과 방법을 정의한다. 권한 부여 정책과 제한 사항을 포함하며, 선택한 접근통제 모델과 정책에 따라 구현된다.

식별부터 감사까지 이어지는 통제 흐름

접근통제는 사용자가 누구인지 밝히고, 그 신원을 확인한 뒤, 요청한 자원에 대한 권한을 판단하고, 활동을 남기는 과정으로 이어진다.

⤢✕

식별(Identification) 단계에서는 사용자가 사용자 ID나 계정명으로 자신의 신원을 제시한다. 접근통제의 출발점이므로 고유한 식별자가 필요하다.

인증(Authentication) 은 제시된 신원이 정당한지 확인하는 절차다. 비밀번호나 생체정보처럼 사용자가 제공한 증거를 검증하며, 인증 방식은 지식 기반, 소유 기반, 생체 기반, 행위 기반으로 구분된다.

인가(Authorization) 는 인증을 통과한 사용자에게 특정 자원에 대한 접근 권한을 부여하는 판단이다. 접근통제 정책과 규칙에 따라 허용 여부를 결정하고, 최소 권한의 원칙(Principle of least privilege)에 따라 필요한 권한만 부여한다.

책임추적성(Accountability) 은 보안 관련 활동을 기록하고 추적할 수 있는 능력이다. 감사(Audit)를 통해 누가, 언제, 무엇을, 어떻게 접근했는지 확인할 수 있으며, 사고 조사와 증거 수집의 기반이 된다.

자산과 조직 구조에 따라 달라지는 접근통제 모델

임의적 접근통제(DAC: Discretionary Access Control)

DAC는 자원의 소유자가 직접 접근 권한을 정하고 관리하는 방식이다. 사용자 ID나 그룹 ID를 기준으로 권한을 설정한다. 유연성이 높고 구현이 상대적으로 쉽지만, 관리 복잡성이 커지고 권한 관리의 일관성을 유지하기 어려울 수 있다.

Windows NTFS 파일 시스템의 권한 설정과 Unix/Linux 파일 권한이 사례다.

강제적 접근통제(MAC: Mandatory Access Control)

MAC에서는 중앙 관리자가 정책에 따라 접근 권한을 결정한다. 주체와 객체에 보안 레이블(Security Label)을 부여하고 시스템 전체에 일관된 보안 정책을 적용한다. 군사 및 정부 시스템에서 주로 사용된다.

높은 수준의 보안과 중앙 집중식 관리가 장점인 반면, 구현과 관리가 복잡하고 엄격하다. SELinux와 TrustedSolaris가 사례다.

역할 기반 접근통제(RBAC: Role-Based Access Control)

RBAC는 개인에게 직접 권한을 붙이기보다 역할(Role)을 기준으로 권한을 관리한다. 직무와 책임에 맞춘 권한 관리에 적합하며, 관리 효율성과 권한 관리의 일관성을 높일 수 있다. 대부분의 기업용 시스템과 애플리케이션에서 활용된다.

⤢✕

속성 기반 접근통제(ABAC: Attribute-Based Access Control)

ABAC는 주체, 객체, 환경의 다양한 속성을 토대로 접근을 결정한다. 상황을 인식하는 동적 통제가 가능하며, 정책 기반 접근 제어를 발전시킨 형태다. 세밀한 접근 제어와 동적 환경 대응이 장점이다.

XACML(eXtensible Access Control Markup Language) 기반 시스템이 사례다.

규칙 기반 접근통제(Rule-Based Access Control)

규칙 기반 접근통제는 사전에 정의한 규칙으로 요청을 판단한다. IF-THEN 형식의 조건문으로 정책을 구현하며, 명확한 규칙 중심의 관리가 가능하다. 방화벽 규칙과 네트워크 장비의 ACL(Access Control List)이 대표 사례다.

물리·기술·관리 통제를 함께 설계한다

물리적 접근통제는 시설과 장비에 대한 접근을 제한한다. 출입통제 시스템, 생체인식 장치, 스마트카드 등을 사용하며 데이터센터 출입 통제나 전산실 접근 제한이 여기에 속한다. 물리 보안과 정보보안이 만나는 지점이기도 하다.

기술적 접근통제는 적용 계층에 따라 다르게 구성된다.

• 운영체제 수준에서는 파일 시스템 권한과 사용자 계정을 관리한다. 윈도우 ACL과 유닉스 파일 권한(rwx)이 해당한다.
• 네트워크 수준에서는 방화벽, VPN, NAC(Network Access Control), 네트워크 세그멘테이션, VLAN 분리를 사용한다.
• 애플리케이션 수준에서는 웹 애플리케이션 권한 관리와 API 접근 제어(API Gateway, OAuth 등)를 적용한다.
• 데이터베이스 수준에서는 뷰(View)를 통한 접근 제한과 행/열 수준 보안(Row-level/Column-level Security)을 적용한다.

관리적 접근통제는 정책, 절차, 지침을 문서화하고 직무 분리(Separation of Duties), 최소 권한 원칙(Principle of Least Privilege), 권한 검토와 감사 프로세스를 운영하는 영역이다.

운영 환경에서 확인할 조건

통제가 지나치게 엄격하면 업무 효율이 떨어지고, 느슨하면 보안 취약점이 생긴다. 리스크 기반 접근방식으로 두 요구 사이의 균형을 잡아야 한다.

조직 규모가 커질수록 권한 관리의 복잡성도 증가한다. 확장성과 유지보수성을 고려하고, 자동화된 권한 관리 도구를 활용할 수 있다.

비상 상황도 별도로 다뤄야 한다. Break-Glass 정책(비상시 접근 정책), 재해 복구 시 접근통제 예외 처리, 임시 권한 상승 메커니즘과 감사가 필요하다.

변화하는 인증과 권한 관리 방식

제로 트러스트(Zero Trust) 아키텍처는 “신뢰하지 말고 항상 검증하라(Never trust, always verify)”는 원칙을 둔다. 네트워크 위치와 무관하게 모든 접근 요청을 검증하고, 최소 권한 원칙과 지속적인 인증·인가를 강화한다. 마이크로 세그멘테이션과 상황 인식 접근 제어도 이 흐름에 포함된다.

다중 인증(MFA: Multi-Factor Authentication)은 두 가지 이상의 인증 요소를 결합한다. 지식(비밀번호), 소유(OTP), 생체(지문) 요소를 조합해 계정 탈취 공격에 대응하며, 적응형 인증(Adaptive Authentication) 기법을 적용할 수 있다.

클라우드 환경에서는 IDaaS(Identity as a Service), CASB(Cloud Access Security Broker), API 기반 접근통제와 권한 관리가 활용된다. 멀티/하이브리드 클라우드 환경에서는 통합 접근통제가 과제가 된다.

권한 관리 자동화에는 IGA(Identity Governance and Administration) 솔루션, 자동화된 권한 부여·회수 프로세스, 주기적인 접근 권한 검토와 재인증, 이상 권한 탐지와 대응이 포함된다.

AI/ML을 활용한 접근통제는 사용자 행동 분석(UBA: User Behavior Analytics), 이상 행동 탐지와 실시간 대응, 상황 인식 접근 제어, 자동화된 위협 대응 및 권한 조정으로 이어진다.

ERP와 금융 환경에서의 적용 방식

대기업 ERP 환경에서는 재무, 인사, 구매 등 직무별 역할을 정의한 RBAC 모델을 적용할 수 있다. SSO(Single Sign-On) 통합 인증체계를 연동하고, 승인자와 처리자를 분리하는 직무 분리 원칙을 적용한다. SAP_ALL 등의 특수 권한은 엄격히 관리하며, 권한을 주기적으로 검토하고 정리한다.

⤢✕

금융권에서는 OTP, 생체인식 등을 포함한 다중 인증(MFA)을 의무화하고, 중요 데이터에는 MAC 모델을 적용할 수 있다. DB 접근제어 솔루션으로 개인정보 쿼리를 감사하며, 관리자 계정은 Privileged Access Management로 특별 관리한다. 망분리 환경에서는 안전한 자료 전송 체계도 필요하다.

로그와 감사가 권한 관리를 완성한다

접근 로그를 수집하고 분석하며, SIEM(Security Information and Event Management)과 연동해 권한 남용과 이상 징후를 탐지한다. 정기적인 권한 검토와 정비, 접근통제 정책 준수 여부 감사도 운영 범위에 포함된다.

관련 법규와 표준으로는 개인정보보호법의 접근통제 요구사항, 정보통신망법의 접근통제 조항, 금융권 전자금융감독규정의 접근통제 지침, ISO/IEC 27001의 접근통제 통제항목, NIST SP 800-53의 접근통제 프레임워크가 있다.

접근통제는 정보자산 보호를 위한 핵심 메커니즘이지만, 단독으로 완벽한 보안을 제공하지는 않는다. 조직의 특성과 보안 요구사항에 맞는 모델을 선택하고, 기술적·관리적·물리적 통제를 연결해 심층 방어(Defense in Depth) 전략의 일부로 운영해야 한다.