액세스 제어란? | 권한 부여와 인증

기사 요약:

• 액세스 제어는 누가 리소스를 볼 수 있는지 또는 사용할 수 있는지를 규제하는 기본 보안 프로세스로, 사용자의 신분을 인증하고 권한을 부여하여 데이터 유출 위험을 효과적으로 완화합니다.
• 기업에서는 물리적 및 디지털 환경 내에서 권한을 관리하고 기밀 정보를 보호하기 위해 역할 기반(RBAC) 또는 필수(MAC)와 같은 다양한 액세스 제어 모델을 구현합니다.
• 최신 액세스 제어 시스템은 Zero Trust 보안 및 Single Sign-On(SSO)을 활용하여 사용자를 지속적으로 확인하고, 권한이 부여된 개인만 내부 애플리케이션 및 데이터에 접근하도록 보장하는 경우가 많습니다.

액세스 제어란 무엇인가요?

액세스 제어는 정보, 도구, 물리적 위치에 대한 액세스를 제한하기 위한 일련의 정책을 지칭하는 데 사용되는 보안 용어입니다.

물리적 액세스 제어란?

이 글에서는 정보 액세스 제어에 중점을 두고 있지만, 물리적 액세스 제어는 전반적인 개념을 이해하는 데 유용한 비교입니다.

물리적 액세스 제어는 누구에게 물리적 위치에 대한 액세스 권한이 부여되는지를 제어하기 위한 일련의 정책입니다. 물리적 액세스 제어의 실제 예는 다음과 같습니다.

• 술집 경비원
• 지하철 개찰구
• 공항 세관 직원
• 기업 사무실의 키카드 또는 배지 스캐너

이 모든 예에서 사람이나 장치는 제한된 물리적 위치에 액세스할 수 있는 사람을 결정하기 위한 일련의 정책을 따릅니다. 예를 들어, 호텔 키 카드 스캐너는 호텔 키가 있는 승인된 손님에게만 액세스 권한을 부여합니다.

정보 액세스 제어란?

정보 액세스 제어는 데이터 및 해당 데이터를 조작하는 데 사용되는 소프트웨어에 대한 액세스를 제한합니다. 예에는 다음이 포함됩니다.

• 비밀번를 사용하여 노트북에 로그인
• 지문 스캔으로 스마트폰 잠금 해제
• VPN을 사용하여 고용주의 내부 네트워크에 원격으로 액세스

이러한 모든 경우에 소프트웨어는 디지털 정보에 액세스해야 하는 사용자를 인증하고 권한을 부여하는 데 사용됩니다.인증 및 권한 부여는 정보 액세스 제어의 필수 구성 요소입니다.

인증과 권한 부여의 차이점은?

인증은 자신이 누구인지 확인하는 보안 방식이고 권한 부여는 각 사용자에게 부여된 액세스 수준을 결정하는 프로세스입니다.

예를 들어, 호텔에 체크인하는 여행자를 생각해 보세요. 프론트 데스크에서 등록할 때 예약자 이름이 본인임을 확인하기 위해 여권을 제시해야 합니다. 이는 인증의 예입니다.

호텔 직원이 게스트를 인증하면 게스트는 제한된 권한이 있는 키 카드를 받습니다. 이는 권한 부여의 예입니다. 손님의 키 카드로는 방, 손님용 엘리베이터, 수영장에 액세스할 수 있지만, 다른 손님의 방이나 서비스 엘리베이터는 이용할 수 없습니다. 반면에 호텔 직원은 손님보다 호텔의 더 많은 영역에 액세스할 수 있습니다.

컴퓨터 및 네트워킹 시스템에도 유사한 인증 및 권한 부여 제어 기능이 있습니다. 사용자가 이메일이나 온라인 뱅킹 계정에 로그인할 때는 자신만 알고 있어야 하는 로그인 및 비밀번호 조합을 사용합니다. 소프트웨어는 이 정보를 사용하여 사용자를 인증합니다. 일부 애플리케이션에는 다른 애플리케이션보다 훨씬 더 엄격한 인증 요구 사항이 있습니다. 일부는 비밀번호로 충분하지만, 나머지는 2단계 인증, 지문이나 얼굴 ID 스캔 등의 생체 인증이 필요할 수 있습니다.

인증된 사용자는 액세스 권한이 있는 정보만 볼 수 있습니다. 온라인 뱅킹 계좌의 경우 이용자는 자신의 개인 뱅킹 계좌와 관련된 정보만 볼 수 있습니다. 한편, 은행의 펀드 매니저는 동일한 애플리케이션에 로그인하여 은행의 전체 금융 지주사에 대한 데이터를 볼 수 있습니다. 은행은 아주 중요한 개인 정보를 취급하기 때문에 아무도 데이터에 무제한으로 액세스할 수 없습니다. 은행장이나 보안 책임자조차도 개별 고객의 전체 데이터에 액세스하려면 보안 프로토콜을 통과해야 할 수 있습니다.

액세스 제어의 기본 유형은?

인증 프로세스가 완료된 후 다음과 같은 여러 방법 중 하나로 사용자 권한이 결정될 수 있습니다.

필수 액세스 제어(MAC): 필수 액세스 제어로는 개별 사용자와 액세스가 허용된 리소스, 시스템, 데이터에 대한 엄격한 보안 정책이 설정됩니다.이러한 정책은 관리자가 제어합니다. 개별 사용자에게는 기존 정책과 모순되는 방식으로 권한을 설정, 변경, 취소할 수 있는 권한은 부여되지 않습니다.

이 시스템에서는 주체(사용자)와 객체(데이터, 시스템, 기타 리소스)는 서로 상호 작용하기 위해 유사한 보안 속성을 할당받아야 합니다. 이전 예시로 돌아가서 은행장이 고객 데이터 파일에 액세스하려면 올바른 보안 허가가 필요할 뿐만 아니라 시스템 관리자가 사장이 이러한 파일을 보고 변경할 수 있도록 지정해야 합니다. 이 프로세스는 중복되는 것처럼 보일 수 있지만, 이 프로세스 덕분에 사용자가 특정 데이터 또는 리소스에 대한 액세스 권한을 얻는 것만으로는 무단 작업을 수행할 수 없게 됩니다.

역할 기반 액세스 제어(RBAC): 역할 기반 액세스 제어는 그룹(은행 직원과 같이 정의된 사용자 집합) 및 역할(은행 창구 직원이나 지점 관리자가 수행할 수 있는 작업과 같이 정의된 작업 집합)을 기반으로 권한을 설정합니다.개인은 자신의 역할에 할당된 모든 작업을 수행할 수 있으며 필요에 따라 여러 역할이 할당될 수 있습니다.MAC과 마찬가지로 사용자는 자신의 역할에 할당된 액세스 제어 수준을 변경할 수 없습니다.

예를 들어, 은행 창구 역할이 주어진 은행 직원은 계좌 거래를 처리하고 새 고객 계좌를 개설할 권한을 부여받을 수 있습니다. 반면 지점 관리자는 계정 거래를 처리하고, 고객 계정을 개설하며, 은행 창구 역할을 신입 직원에게 할당하는 등의 권한이 부여되는 여러 역할을 맡을 수 있습니다.

임의의 액세스 제어(DAC): 사용자에게 개체에 대한 액세스 권한이 부여되면(일반적으로 시스템 관리자에 의해 또는 기존 액세스 제어 목록을 통해) 필요에 따라 다른 사용자에게 액세스 권한을 부여할 수 있습니다.그러나 사용자가 시스템 관리자의 엄격한 감독 없이 보안 설정을 결정하고 권한을 공유할 수 있으므로 보안 취약점이 생길 수 있습니다.

조직에 가장 적합한 사용자 권한 부여 방법을 평가할 때는 보안 요구 사항을 고려해야 합니다. 일반적으로 높은 수준의 데이터 기밀성을 필요로 하는 조직(예: 정부 기관, 은행 등)에서는 MAC과 같은 보다 엄격한 형식의 액세스 제어를 선택하는 반면, 더 많은 유연성과 사용자 또는 역할 기반 권한을 선호하는 조직에서는 RBAC 및 DAC 시스템을 선호하는 경향이 있습니다.

액세스 제어를 구현하는 방법에는 어떤 것이 있을까요?

정보 액세스 제어에 널리 사용되는 도구는 가상 사설망(VPN)입니다.VPN은 원격 사용자가 사설 네트워크에 연결되는 것처럼 인터넷에 액세스할 수 있도록 하는 서비스입니다.기업 네트워크에서는 종종 VPN을 사용하여 지리적 거리에 걸쳐 내부 네트워크에 대한 액세스 제어를 관리합니다.

예를 들어, 어떤 회사에서 샌프란시스코에 사무실이 있고 뉴욕에 또 다른 사무실이 있으며 전 세계에 원격 근무 직원이 있는 경우, VPN을 사용하면 모든 직원이 물리적 위치와 관계없이 내부 네트워크에 안전하게 로그인할 수 있습니다. 직원이 공개 WiFi 네트워크에 연결된 경우 VPN에 연결하면 경로상 공격으로부터 직원을 보호하는 데 도움이 됩니다.

VPN에는 몇 가지 단점도 있습니다.예를 들어 VPN은 성능에 부정적인 영향을 미칩니다.VPN에 연결되면 사용자가 보내거나 받는 모든 데이터 패킷은 대상에 도달하기 전에 추가 거리를 이동해야 합니다. 각 요청과 응답이 대상에 도달하기 전에 VPN 서버에 도달해야 하기 때문입니다.이 프로세스에서는 대기 시간이 늘어나는 경우가 많습니다.

VPN을 사용하면 일반적으로 네트워크 보안에 대해 양자택일(all or nothing) 접근 방식이 제공됩니다.VPN은 인증을 제공하는 데는 훌륭하지만, 세분화된 권한 부여 제어를 제공하는 데는 좋지 않습니다.조직에서 직원마다 다른 수준의 액세스 권한을 부여하려면 여러 VPN을 사용해야 합니다.따라서 복잡성이 커지고 여전히 Zero Trust 보안의 요구 사항을 충족하지 못합니다.

제로 트러스트 보안이란 무엇입니까?

Zero Trust 보안은 네트워크 경계 내부에 있든 외부에 있든 상관없이 사설 네트워크의 리소스에 액세스하려는 모든 사람과 장치에 대해 엄격한 ID 확인을 요구하는 IT 보안 모델입니다.Zero Trust 네트워크는 또한 세분화를 활용합니다.세분화는 네트워크의 개별 부분에 대한 별도의 액세스를 유지하기 위해 보안 경계를 작은 영역으로 나누는 방식입니다.

오늘날 많은 조직이 VPN을 SASE 솔루션(예: Cloudflare One)으로 대체하고 있습니다. SASE 보안 솔루션은 VPN 사용의 주요 단점을 방지하면서 사무실 근무 직원과 원격 근무 직원 모두에 대한 액세스 제어를 관리하는 데 사용할 수 있습니다.

FAQ

액세스 제어란 무엇인가요?

액세스 제어는 누가 특정 위치에 접근하거나 디지털 정보 및 도구와 상호작용할 수 있는지를 제한하는 정책을 의미합니다. 이는 승인된 사용자만 제한된 영역에 접근할 수 있도록 보장하는 보호 장치 역할을 합니다.

인증과 권한 부여의 차이점은?

인증(Authentication)은 사용자가 주장하는 신원이 실제로 맞는지 확인하는 과정입니다. 권한 부여(Authorization)는 그 다음 단계로, 해당 사용자가 어떤 특정 리소스나 영역에 액세스할 수 있는지를 결정하는 과정입니다.

필수 액세스 제어(MAC)는 어떻게 작동하나요?

필수 액세스 제어(MAC)는 개별 사용자가 아닌 중앙 관리자가 설정한 엄격한 보안 정책에 기반해 작동합니다. 사용자가 특정 리소스와 상호작용하려면 사용자와 데이터 모두에 동일한 보안 속성이 할당되어 있어야 합니다.

역할 기반 액세스 제어(RBAC)란?

이 방식은 조직 내의 특정 역할과 그룹을 기준으로 권한을 할당합니다. 특정 역할이 부여된 직원은 해당 역할에 정의된 작업을 수행할 수 있지만, 그 역할에 내재된 액세스 수준을 변경할 수는 없습니다.

임의 액세스 제어(DAC)는 다른 방법과 어떻게 다른가요?

DAC 시스템에서는 특정 객체에 대한 액세스 권한을 부여받은 사용자가 필요에 따라 그 권한을 다른 사용자에게도 전달할 수 있습니다. 유연하다는 장점이 있지만, MAC이나 RBAC와 같은 중앙 집중식 관리가 부족하기 때문에 보안상의 취약점이 발생할 수 있습니다.

조직들이 VPN에서 Zero Trust 보안으로 전환하는 이유는 무엇인가요?

VPN은 인증을 수행하지만, 세분화된 권한 부여 제어가 부족한 경우가 많습니다. 또한 데이터가 VPN 서버를 경유해야 하기 때문에 추가적인 거리 이동이 발생해 성능이 저하될 수 있습니다. Zero Trust 보안은 모든 사용자와 기기에 대해 엄격한 검증을 요구하고, 원격 VPN 서버가 아닌 네트워크 에지에서 보안 정책을 적용함으로써 이러한 문제를 해결합니다.

액세스 제어에서 마이크로세분화의 이점은 무엇인가요?

마이크로세그멘테이션은 네트워크를 더 작고 격리된 영역으로 분할하는 보안 방식입니다. 이를 통해 조직은 네트워크의 각 영역에 대해 별도의 권한 부여 체계를 유지할 수 있으며, 사용자가 필요한 특정 리소스에만 접근하도록 보장할 수 있습니다.