정보보안 이해와 활용 · SEC-02
조회만 필요한 계정에 삭제 권한까지
가상 이야기 · 핵심노트 기반
핵심노트 개념: 최소 권한 — 필요한 일만 할 수 있게 한다
이 글에서 배우는 교훈
자료를 조회하는 업무에 삭제 권한까지 주면 실수나 계정 도용 때 불필요한 피해가 생길 수 있습니다.
핵심노트를 바탕으로 만든 가상 이야기입니다. 실제 사건이나 검증된 성과가 아닙니다.
근거: 최소 권한 — 필요한 일만 할 수 있게 한다 · 핵심노트 2
구체적으로는 관리자는 보고서 작성 계정에 조회 권한만 주고 추가 권한은 목적과 기간을 확인해 따로 승인했습니다.
관련 교재 내용
정보보안 이해와 활용 · II. 기반기술 · 최소권한정책
최소권한은 사람이나 프로그램이 맡은 일을 하는 데 필요한 자료와 기능만 허용하는 원칙입니다. 조회만 하는 담당자에게 삭제 권한까지 줄 필요는 없습니다.
이 사례에 적용한 내용: 보고서를 만드는 계정의 삭제 권한을 없애고 조회 권한과 추가 승인 절차를 분리합니다.
교재 원리의 실무 적용 · 교재 원문 인용이 아닌 자체 설명입니다.
본문
분석 담당자는 보고서를 만들기 위해 운영 데이터베이스 계정을 받았습니다. 계정에 삭제 권한도 있어 실수로 실행한 문장이 원본에 영향을 줄 수 있었습니다.
관리자는 분석에 필요한 조회 권한만 부여했습니다. 추가 권한은 업무 목적과 기간을 확인해 별도로 승인하도록 했습니다.
결론
편의상 넓게 준 권한이 불필요한 피해 경로가 될 수 있었습니다. 필요한 일과 필요한 권한을 대응시키는 것이 최소 권한의 출발점입니다.