정보보안 이해와 활용 · SEC-03
로그인만 하면 모든 문서를 볼 수 있었다
가상 이야기 · 핵심노트 기반
핵심노트 개념: 인증과 인가 — 본인 확인과 허용 범위를 구분한다
이 글에서 배우는 교훈
로그인은 본인 확인이며 모든 자료에 접근해도 된다는 허가는 아니므로 자료별 권한을 따로 검사해야 합니다.
핵심노트를 바탕으로 만든 가상 이야기입니다. 실제 사건이나 검증된 성과가 아닙니다.
근거: 인증과 인가 — 본인 확인과 허용 범위를 구분한다 · 핵심노트 3
구체적으로는 개발팀은 문서를 요청할 때마다 조회·다운로드 권한을 확인하고 다른 부서 계정으로도 시험했습니다.
관련 교재 내용
정보보안 이해와 활용 · II. 기반기술 · 식별·인증·인가
아이디로 누구인지 밝히는 것이 식별, 비밀번호 등으로 본인임을 확인하는 것이 인증입니다. 인증한 사람이 어떤 자료를 읽거나 바꿀 수 있는지 정하는 것은 인가입니다.
이 사례에 적용한 내용: 로그인 여부만 확인하던 문서 시스템에서 대상 문서별 조회·다운로드 권한을 검사합니다.
교재 원리의 실무 적용 · 교재 원문 인용이 아닌 자체 설명입니다.
본문
문서 시스템은 로그인 여부만 확인했습니다. 다른 팀 문서의 주소를 알면 권한이 없는 직원도 내용을 볼 수 있었습니다.
개발팀은 문서 요청마다 대상 문서에 대한 접근 권한을 검사했습니다. 다른 부서 계정으로 조회와 다운로드를 모두 시험했습니다.
결론
신원을 확인하는 것과 특정 자료를 볼 권한을 확인하는 것은 다릅니다. 로그인 성공 뒤에도 대상별 권한 검사가 필요합니다.