Bell-Lapadula 모델로 보는 기밀성 중심 접근 제어
Bell-Lapadula 모델의 보안 수준, No Read Up·No Write Down 규칙과 Trusted Subject, Blind Write 한계를 정리한다.
2026-08-14 · 최초 발행 2025-05-23
기밀 정보가 내려가지 않도록 설계된 접근 제어 모델
Bell-Lapadula 모델은 1970년대 초 David Bell과 Leonard LaPadula가 개발한 정보보안 모델이다. 미국 공군의 의뢰로 설계된 최초의 수학적으로 검증된 보안 모델이며, 여러 보안 수준이 공존하는 시스템에서 기밀성(Confidentiality)과 정보 유출 방지에 초점을 둔다.
이 모델은 DAC(Discretionary Access Control) 기반에서 주체와 객체를 구분한다. 주체는 사용자나 프로세스처럼 정보에 접근하는 활성 개체이고, 객체는 파일이나 데이터베이스처럼 접근 대상이 되는 수동적 개체다. 각 주체와 객체에는 서로 다른 보안 레벨이 할당된다.
보안 레벨은 계층으로 다뤄진다
Top Secret은 유출 시 국가 안보에 심각한 위험을 줄 수 있는 최고 수준의 기밀 정보다. Secret 역시 국가 안보에 심각한 위험을 초래할 수 있는 중요 기밀 정보이며, Confidential은 Secret보다 낮은 수준의 기밀 정보다. Public/Unclassified는 일반 대중에게 공개할 수 있는 정보에 해당한다.
읽기와 쓰기에 적용되는 규칙
상위 등급은 읽지 않는다: No Read Up
단순 보안 규칙(Simple Security Property)은 주체가 자신의 보안 레벨보다 높은 객체를 읽지 못하게 한다. Secret 레벨 사용자는 Top Secret 문서를 읽을 수 없다.
읽기 허용 조건은 S(주체) 레벨 ≥ O(객체) 레벨이다.
하위 등급으로는 쓰지 않는다: No Write Down
*-속성 규칙(Star Property)은 주체가 자신의 보안 레벨보다 낮은 객체에 쓰기 작업을 하지 못하게 한다. 상위 등급 정보가 하위 등급 문서로 흘러가는 것을 막기 위한 규칙이다. 따라서 Top Secret 레벨 사용자는 Secret 문서에 정보를 기록할 수 없다.
쓰기 허용 조건은 S(주체) 레벨 ≤ O(객체) 레벨이다.
같은 등급에서만 읽고 쓰는 Strong Star Property
Strong Star Property는 읽기와 쓰기를 모두 동일한 보안 레벨의 객체에서만 허용한다. 허용 조건은 S(주체) 레벨 = O(객체) 레벨이며, 세 규칙 가운데 가장 엄격한 적용 방식이다.
군사 체계와 기업 문서 관리에서의 해석
군사 정보 시스템에서는 Top Secret 등급의 정보에 해당 보안 허가를 가진 인원만 접근하도록 하고, 정보 분류체계와 접근 권한을 엄격히 관리한다. 미국 국방부의 JWICS(Joint Worldwide Intelligence Communications System)가 예시로 언급된다.
기업 기밀 문서 관리에도 계층을 적용할 수 있다. 임원진은 Top Secret, 중간 관리자는 Secret, 일반 직원은 Confidential, 외부 인원은 Public에 대응시킬 수 있다. 이 구조에서 임원진은 모든 문서에 접근할 수 있고, 일반 직원은 Confidential 이하 문서에만 접근한다.
규칙만으로 해결되지 않는 운영상의 문제
Trusted Subject 문제는 여러 보안 레벨을 넘나들며 작업해야 하는 주체에서 발생한다. 예를 들어 정보를 분류하는 보안 관리자는 여러 수준의 정보에 접근해야 한다. 이런 주체에는 기본 규칙을 위반할 수 있는 권한이 필요하며, 신뢰된 주체(Trusted Subject) 자체가 보안 위협이 될 가능성도 남는다.
Blind Write도 주의할 지점이다. 객체의 원본 데이터를 읽지 않은 채 덮어쓰는 쓰기 작업이 가능할 수 있다. 주체가 객체 내용을 볼 수 없는데도 쓰기 권한을 갖는 경우이며, 정보 무결성(Integrity)을 훼손할 위험이 있다.
Bell-Lapadula는 기밀성에 중점을 둔 모델이므로 데이터 무결성 보장에는 한계가 있다. 이 영역을 보완하기 위해 Biba 모델 등이 별도로 개발됐다. 또한 복잡한 현대 시스템에서는 역할 기반 접근 제어(RBAC) 같은 추가 메커니즘이 필요하며, 실제 환경에서는 다른 보안 모델과 함께 사용된다.
기밀성·무결성·이해충돌을 다루는 모델의 차이
Bell-Lapadula는 기밀성 보장에 초점을 둔다. Biba는 무결성을 보장하며 Bell-Lapadula와 반대 방향의 규칙을 적용한다. Clark-Wilson은 상업 환경의 무결성을 다루고, Chinese Wall은 이해 충돌 방지에 중점을 둔다.
Bell-Lapadula 모델은 보안 레벨에 따른 주체·객체 접근 통제와 정보 유출 방지 원칙을 이해하는 이론적 토대다. No Read Up과 No Write Down은 기밀성 통제의 핵심이지만, Trusted Subject와 Blind Write 같은 한계를 고려해 실제 보안 체계에서는 다른 모델 및 접근 제어 방식과 함께 적용해야 한다.