A.5.18
접근 권한
조직적 통제확인사항 6증적 7사례 6
통제 목적
접근 권한 통제는 정보 및 관련 자산에 대한 접근 권한을 업무상 필요와 승인에 근거하여 부여, 변경, 회수하고, 이미 부여된 권한이 시간이 지나도 여전히 타당한지 정기적으로 검토하도록 요구하는 통제입니다. 접근통제 정책(A.5.15)이 접근 규칙을 정한다면, 이 통제는 개별 주체에게 실제 권한을 배정하고 생애주기 전반에 걸쳐 최신 상태로 유지하는 운영 활동에 초점을 둡니다. 권한이 승인 없이 부여되거나 직무 변경/퇴직 이후에도 회수되지 않고 누적되면 최소권한 원칙이 무너지고 권한 오남용 및 내부자 위협 위험이 커지므로, 이를 예방하는 것이 목적입니다.
주요 확인사항
- 접근 권한의 부여/변경/회수가 업무상 필요와 자산 소유자(또는 책임자)의 승인에 근거하여 이루어지고 기록으로 남는가?
- 최소권한 및 알 필요(need-to-know) 원칙에 따라 역할/직무에 상응하는 최소 범위로만 권한이 부여되는가?
- 특권(관리자) 권한 및 민감 자산에 대한 권한은 일반 권한과 구분하여 더 엄격한 승인/기록/제한이 적용되는가?
- 직무 변경/부서 이동/퇴직/계약 종료 등 신분 변동 발생 시 관련 접근 권한이 지체 없이 조정 또는 회수되는가?
- 부여된 접근 권한의 타당성을 자산 소유자가 주기적으로 검토하고, 검토 결과 불필요하거나 과다한 권한에 대해 실제 조치가 이루어지는가?
- 승인된 권한 부여 내역과 시스템에 실제 설정된 권한을 대사하여 정합성을 확인하고, 불일치 항목을 처리하는가?
이행 지침
- 접근 권한의 요청/승인/이행/기록 절차를 표준화하고, 각 단계의 승인권자(자산 소유자/부서장 등)와 기록 항목을 명확히 지정합니다.
- 최소권한 및 알 필요 원칙에 따라 역할 기반 권한 프로파일(RBAC)을 정의하고, 직무 수행에 필요한 최소 범위로만 권한을 배정합니다.
- 특권 계정 및 민감 자산 접근에는 별도의 강화된 승인 절차, 사용 사유 기록, 사용 기간 제한(임시 부여 시 자동 만료) 등을 적용합니다.
- 인사(HR)/계약 관리와 연계하여 입사/직무변경/퇴직/계약종료 이벤트가 접근 권한의 조정 또는 회수로 자동 연결되도록 워크플로를 구성합니다.
- 접근 권한 정기 검토(재인증)의 주기/대상/검토자(자산 소유자)를 정하고, 검토 결과와 조치 내역(회수/축소/유지 사유)을 기록으로 남깁니다.
- 승인된 권한 부여 내역과 시스템 실제 설정을 주기적으로 대사(reconciliation)하여 미승인 권한 및 잔존 권한을 탐지하고 정리합니다.
- 권한의 부여/변경/회수와 관련된 주요 이벤트를 로그로 남겨 책임추적성과 사후 검증이 가능하도록 합니다.
증적자료
- 접근 권한 관리 절차서(부여/변경/회수/검토 단계 및 승인권자 정의 포함)
- 역할별 권한 프로파일 및 권한 매트릭스(RBAC 정의서)
- 접근 권한 부여/변경/회수 요청 및 승인 기록
- 특권 계정/민감 자산 권한 부여 승인서 및 사용 사유/사용 기간 기록
- 접근 권한 정기 검토(재인증) 결과 및 조치(회수/축소) 내역
- 승인된 권한 부여 내역과 시스템 실제 설정 간 대사 결과 및 불일치 처리 기록
- 인사 연계 처리 내역(직무변경/퇴직 시 권한 조정 및 회수 기록)
부적합 사례
- 접근 권한의 부여/변경이 자산 소유자의 승인 없이 담당자 임의로 이루어지는 경우
- 직무 변경 시 이전 직무의 권한이 회수되지 않고 신규 권한과 함께 누적되어 과도한 권한이 잔존하는 경우
- 퇴직자/계약 종료자의 접근 권한이 회수되지 않아 신분 변동 이후에도 접근이 가능한 경우
- 접근 권한 정기 검토가 수행되지 않거나, 검토가 형식적 서명에 그쳐 불필요 권한이 방치된 경우
- 특권(관리자) 권한이 다수 사용자에게 과다 부여되고 별도 승인/기록 없이 관리되는 경우
- 승인된 권한 부여 내역과 시스템 실제 설정이 대사되지 않아 미승인 권한이 존재하는 경우