최소 권한 원칙이란?

최소 권한 원칙이란?

"최소 권한 액세스"라고도 하는 최소 권한 원칙은 사용자가 자신의 책임을 수행하기 위해 절대적으로 필요한 항목에만 액세스할 수 있어야 한다는 개념입니다.특정 사용자가 더 많은 항목에 액세스할 수 있을수록 계정이 손상되거나 내부자 위협이 되는 경우 부정적인 영향이 커집니다.

최소 권한 원칙은 다양한 설정에 적용되지만, 이 글에서는 회사 네트워크, 시스템, 데이터에 이 원칙이 적용되는 방법에 중점을 둡니다. 이 원칙은 기업 보안의 중요한 측면이 되었습니다.

예: 마케터는 웹 사이트에 콘텐츠를 추가하고 업데이트하기 위해 조직의 웹 사이트 CMS에 액세스해야 합니다. 그러나 콘텐츠를 업데이트하는 데 필요하지 않은 코드베이스에 대한 액세스 권한까지도 부여되면, 계정이 손상될 경우 부정적인 영향이 훨씬 더 커질 수 있습니다.

최소 권한 원칙으로 보안을 강화하는 방법은?

Dave가 새 집으로 이사했다고 가정해 보겠습니다. Dave는 집 열쇠 두 개를 만듭니다. 자신이 사용할 한 개를 간직하고 비상시에 사용하도록 친구 Melissa에게 한 개를 줍니다. 그렇지만 Dave는 열쇠를 20개 복제해서 이웃에게 하나씩 나누어주지 않습니다. Dave는 이것이 훨씬 더 위험하다는 것을 알고 있습니다. 이웃 사람 중 하나가 열쇠를 잃어버리거나, 우발적으로 신뢰할 수 없는 사람에게 주거나, 빼앗길 수 있으며, 그 결과 누군가가 잃어버린 열쇠를 사용하여 집에 몰래 들어가 고가의 텔레비전을 훔칠 수 있습니다.

마찬가지로, 회사에 고가의 텔레비전은 없을 수도 있지만, 안전하게 보관하고 싶은 귀중한 데이터는 분명히 있습니다. 회사에서 해당 데이터에 더 많은 액세스를 허용할수록(더 많은 "키"가 제공됨) 일부 악의적인 사람이 합법적인 사용자의 자격 증명을 훔쳐 해당 데이터를 훔치는 데 사용할 가능성이 커집니다.

최소 권한 원칙은 Zero Trust 보안과 어떤 관련이 있을까요?

Zero Trust 보안은 모든 사용자 또는 장치가 위협이 될 수 있다고 가정하는 새로운 보안 철학입니다.이 철학은 내부 네트워크 내부의 모든 연결을 신뢰할 수 있는 것으로 간주하는 이전 보안 모델과 대비됩니다.

최소 권한 원칙은 Zero Trust 보안의 핵심 개념 중 하나입니다. Zero Trust 네트워크는 한 번에 하나씩 연결을 설정하고 정기적으로 다시 인증합니다. 사용자와 장치에 절대적으로 필요한 액세스만 제공하므로 네트워크 내부의 잠재적인 위협을 더 잘 차단할 수 있습니다.

예를 들어, Zero Trust가 아닌 접근 방식에서는 회사 리소스에 액세스하려면 가상 사설망(VPN)에 연결해야 할 수 있습니다. 그러나 VPN에 연결하면 해당 VPN에 연결된 다른 모든 항목에 액세스할 수 있습니다. 이는 대부분의 사용자에게 너무 많은 액세스 권한을 부여하는 경우가 많으며 한 사용자의 계정이 손상되면 전체 사설 네트워크가 위험에 노출됩니다. 공격자는 종종 그러한 네트워크 내에서 상당히 빠르게 내부망 이동을 할 수 있습니다.

최소 권한 원칙은 액세스 제어에 대해 보다 세분화된 접근 방식을 취합니다.각 사용자는 수행해야 하는 작업에 따라 다른 수준의 액세스 권한을 가질 수 있습니다.그리고 필요한 데이터에만 액세스할 수 있습니다.

Dave가 Melissa에게 자신의 집 여벌 열쇠를 주었지만, 자신의 파일 캐비넷에 있는 개인 문서를 보는 것은 원하지 않는다고 가정해 보겠습니다. 현관문과 캐비닛의 잠금 장치가 다르기 때문에 집 열쇠는 주면서도 파일 캐비닛에 접근하는 것은 막을 수 있습니다.

이는 최소 권한 원칙과 비슷합니다. Melissa는 필요한 경우 Dave의 집 자물쇠를 여는 데 필요한 액세스 권한만 가지고 있습니다. 그러나 액세스 제어에 VPN을 사용하는 것은 현관문과 파일 캐비닛에 동일한 키를 사용하는 것과 같습니다.

최소 권한 액세스를 구현하는 방법

Zero Trust 네트워크를 설정하면 조직에서 최소 권한 원칙을 실행할 수 있습니다.Zero Trust의 핵심 기술 구현 중 하나는 Zero Trust 네트워크 액세스(ZTNA)입니다. ZTNA 작동 방식에 대해 자세히 알아보세요.

Cloudflare Zero Trust는 기업에서 네트워크 보안을 위한 Zero Trust 접근 방식을 신속하게 구현할 수 있도록 해주는 플랫폼입니다. 네트워크 보안 솔루션에 대하여 자세히 알아보세요.