최소권한은 각 사용자나 프로세스가 맡은 일을 수행하는 데 필요한 접근만 주는 원칙이고, 직무분리는 한 사람이 상충되는 업무를 함께 수행해 오용할 위험을 줄이도록 역할이나 단계를 나누는 원칙입니다. 둘은 연결되지만 서로 대체하지 않습니다.
요청·승인·실행이 모두 한 계정에 모여 있다면 권한 종류를 꼭 필요한 범위로 좁히는 것만으로는 충돌을 막지 못할 수 있습니다. 실제 직무분리의 범위와 예외는 조직이 정한 업무·통제 정책에서 확인해야 합니다.
권한을 줄이는 질문과 일을 나누는 질문은 다릅니다
최소권한은 ‘이 계정이 업무에 꼭 필요한 권한만 가지고 있는가?’를 묻습니다. 직무분리는 ‘한 사람이 서로 견제해야 할 일을 모두 할 수 있는가?’를 묻습니다. NIST SP 800-53의 AC-6은 사용자와 사용자 대신 동작하는 프로세스가 맡은 업무에 필요한 권한만 갖도록 하며, AC-5는 분리가 필요한 업무를 식별하고 이를 지원하는 접근 권한을 정의하도록 설명합니다. NISTIR 7316 §2.2.2는 지출을 요청하는 역할과 승인하는 역할을 한 사용자에게 함께 배정하지 않을 수 있다는 정적 분리 사례를 설명합니다.
두 원칙을 함께 써도 위험이 자동으로 사라지는 것은 아닙니다. 예를 들어 환불 시스템에서 한 운영자가 요청을 만들고 승인하고 지급을 실행할 수 있다면, 각 권한이 업무상 필요해 보이더라도 같은 사람에게 상충 단계가 집중될 수 있습니다. 반대로 역할을 나눴지만 각 역할에 전체 관리자 권한을 부여하면 직무분리 구조는 있어도 최소권한 원칙을 놓칩니다.
가상의 환불 흐름을 권한 표로 분석합니다
| 역할 | 필요한 작업 | 위험을 줄이는 구분 |
|---|---|---|
| 요청 담당자 | 환불 요청과 근거 첨부 | 승인·지급 권한은 부여하지 않음 |
| 승인 담당자 | 요청 근거와 금액을 검토 | 요청 작성과 지급 실행을 겸하지 않음 |
| 지급 담당자 | 승인된 요청을 지급 처리 | 요청 수정·승인 권한은 부여하지 않음 |
표에서 최소권한은 각 역할의 작업 열을 필요한 기능으로 좁히는 데 쓰이고, 직무분리는 같은 환불 건의 중요한 단계가 한 사용자에게 모이지 않게 하는 데 쓰입니다. 실제 조직에서는 소규모 인력, 긴급 대응, 시스템 통합 같은 사정으로 예외가 있을 수 있습니다. 그 경우 책임자 승인, 사후 검토, 변경 기록 등 보완 통제가 적절한지는 조직의 위험 평가와 규정으로 판단해야 합니다.
시험에서 두 원칙을 순서대로 적용합니다
- 업무 단계와 각 단계에서 필요한 기능을 나열합니다.
- 각 역할에 배정된 권한이 맡은 작업에 필요한 범위를 넘는지 확인합니다.
- 요청·승인·실행·감사처럼 상충하는 단계가 같은 주체에게 모이는지 확인합니다.
- 예외가 있으면 누가 승인하고 어떤 독립 검토가 남는지 별도 근거를 적습니다.
흔한 실수는 두 원칙을 ‘권한을 최소로 나눈다’는 한 문장으로 합치는 것입니다. 권한이 적어도 중요한 두 작업이 모두 같은 사람에게 남을 수 있고, 사람을 둘로 나눠도 두 계정에 불필요한 권한이 많을 수 있습니다. 답안에는 원칙 이름뿐 아니라 어떤 권한을 줄이고 어떤 역할을 분리하는지 써야 합니다.
직무분리는 항상 두 명이 모든 단계를 나눠야 한다는 고정 규칙을 뜻하지 않습니다. NIST 통제는 조직이 분리가 필요한 업무를 식별하고 이를 뒷받침하는 접근 권한을 정하도록 안내합니다. 조직은 정적 역할 분리처럼 한 사용자가 두 상충 역할을 동시에 갖지 못하게 하거나, 동적 분리처럼 하나의 거래에서 앞 단계를 수행한 주체와 다른 사람이 다음 단계를 맡도록 설계할 수 있습니다. 이 방식은 업무 흐름과 위험에 따라 선택합니다. 관리자가 역할을 겸임하는 예외가 있다면 그 사실을 숨기지 않고 승인자와 사후 검토 기록을 남겨야 하며, 그 보완 통제가 충분한지는 조직 정책으로 평가합니다.
역할 충돌을 찾으려면 한 사용자에게 여러 역할이 지정됐는지만 보는 데서 그치지 않아야 합니다. 같은 계정이 거래의 작성자이자 승인자인지, 요청 계정과 실행 계정이 공유되는지, 사후 검토자가 승인·지급 권한도 보유하는지 확인합니다. 서로 다른 계정 두 개가 한 사람에게 동시에 배정됐다면 화면에는 분리돼 보여도 실질적인 견제가 되지 않을 수 있습니다. 반대로 동일한 역할 명칭을 가진 두 사람이 거래 단계별로 분리돼 있고 시스템이 작성자와 승인자를 비교한다면 업무 분리가 작동할 수 있습니다. 조직의 역할 모델과 실제 계정 할당을 함께 보아야 합니다.
회상 문제
교육용 상황입니다. 직원은 맡은 업무에 필요한 환불 기능만 받았지만, 같은 환불 건을 직접 요청하고 승인할 수 있습니다. 어떤 원칙이 특히 빠졌으며, 최소권한만으로 충분하지 않은 이유는 무엇인가요?
직무분리가 특히 빠졌습니다. 이 직원의 권한이 업무 범위에 한정돼 있을 수는 있지만 상충되는 요청과 승인 단계를 한 사람이 수행할 수 있기 때문입니다. 업무 권한을 줄이는 최소권한과 승인 주체를 나누는 직무분리를 따로 적용해야 합니다.
접근통제 원칙을 다른 모델과 함께 공부하려면 정보보호론 덱 안내를 확인할 수 있습니다. 환불 절차는 새로 만든 교육용 예시이며 공식 기출문제나 유료 카드 인용이 아닙니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
최소한의 환불 권한만 가진 직원이 동일 건을 요청하고 승인할 수 있다. 특히 빠진 원칙은?
정답과 해설 확인
직무분리입니다.최소권한은 필요한 권한의 범위를 줄입니다. 요청과 승인을 다른 주체로 나누는 직무분리는 별도의 충돌 위험을 통제합니다.