정보보안 이해와 활용 · SEC-13
부서를 옮겨도 예전 권한이 남았다
가상 이야기 · 핵심노트 기반
핵심노트 개념: 계정 수명주기 — 생성부터 회수까지 관리한다
이 글에서 배우는 교훈
사람의 업무가 바뀌면 새 권한을 추가하는 것뿐 아니라 예전 권한이 여전히 필요한지도 확인해야 합니다.
핵심노트를 바탕으로 만든 가상 이야기입니다. 실제 사건이나 검증된 성과가 아닙니다.
근거: 계정 수명주기 — 생성부터 회수까지 관리한다 · 핵심노트 13
구체적으로는 조직은 부서 이동 때 기존 고객 자료 접근을 재검토하고 인사 변경과 권한 회수를 연결했습니다.
관련 교재 내용
정보보안 이해와 활용 · VII. 시스템 보안 · 불필요한 계정 관리
계정이 존재한다는 이유만으로 계속 유지하지 않고 불필요한 접근 계정을 제거하는 관리 활동을 설명합니다.
이 사례에 적용한 내용: 인사 이동과 기존 권한 검토·퇴사 계정 회수를 연결합니다. 인사 연계 절차는 이 원리의 적용입니다.
교재 원리의 실무 적용 · 교재 원문 인용이 아닌 자체 설명입니다.
본문
직원이 영업에서 기획으로 이동한 뒤 새 권한만 추가되었습니다. 이전 고객 자료 접근 권한은 계속 남아 담당 업무보다 넓은 정보를 볼 수 있었습니다.
인사 변경을 권한 검토와 연결했습니다. 이동 시 기존 권한의 필요성을 다시 확인하고 퇴사 계정은 정해진 절차로 회수했습니다.
결론
권한은 최초 발급 뒤에도 바뀌어야 합니다. 사람의 업무 변화와 계정의 수명주기를 함께 관리해야 합니다.