최소 권한 액세스(Least Privilege Access)

최신 최소 권한 액세스의 작동 방식

최소 권한을 구현하려면 조직 내 사용자, 디바이스 또는 애플리케이션의 역할에 따라 회사 리소스에 대한 액세스를 제한할 수 있어야 합니다. 최소 권한 액세스 관리 전략의 핵심 구성 요소에는 ID 인증, 세분화, 디바이스 보안 상태 추적 등이 있습니다.

#1. 신원 인증

업무에 필요한 정보에 대한 사용자의 액세스를 제한하려면 사용자가 누구인지, 조직 내에서 사용자의 역할이 무엇인지 파악해야 합니다. 최소 권한을 구현하기 위한 첫 번째 단계는 사용자를 강력하게 인증하는 것입니다. 여기에서 역할 기반 액세스 제어에 따라 회사 리소스에 대한 사용자의 액세스 요청을 승인하거나 거부할 수 있습니다.

#2. 세분화

액세스 제어는 시행된 경우에만 유용하며, 이는 요청이 액세스 관리 시스템을 통과해야 함을 의미합니다. 디바이스에 내장된 권한 부여 시스템으로 권한을 관리할 수 있지만, 이 방식은 관리가 복잡하고 확장성이 떨어집니다. 보다 확장 가능한 옵션은 네트워크를 세분화하고 세그먼트 경계를 넘어 액세스를 제한하는 것입니다. 마찬가지로 VPN(가상 사설망)은 원격 작업자에게 네트워크 세그먼트 액세스를 확장합니다. 

그러나 제로 트러스트 원칙에 따라 최소 권한 액세스를 구현하려면 조직은 각 개별 애플리케이션, 데이터베이스 등에 대한 적용 경계를 설정할 수 있어야 합니다. 제로 트러스트 네트워크 액세스 (ZTNA)는 독립적이고 내장된 권한 부여 시스템을 관리하거나 차세대 방화벽(NGFW) 및 VPN을 사용하여 전체 네트워크 세그먼트에 대한 광범위한 액세스를 허용하지 않고도 대규모로 이러한 작업을 수행할 수 있는 기능을 제공합니다.

#3. 디바이스 자세

최소 권한 액세스는 사용자 계정으로 제한되어서는 안 됩니다. 회사 리소스에 대한 디바이스의 액세스를 제한하면 감염된 디바이스의 영향을 제한하는 데 도움이 될 수 있습니다.

디바이스를 회사 네트워크에 연결하도록 허용하기 전에 회사 보안 정책을 준수하고 감염이 없는지 검사해야 합니다. 이 검사는 디바이스의 위험 수준을 평가하기 위해 지속적으로 수행해야 합니다. 그런 다음 사용자와 디바이스에 허용되는 액세스 수준은 디바이스의 현재 보안 상태에 따라 결정할 수 있습니다.

조직에서 최소 권한을 구현하는 방법

이 단계를 통해 최소 권한 액세스 관리 정책을 구현하고 적용할 수 있습니다:

• ID 관리: 조직 전체에 최소 권한을 일관되게 구현하려면 기업 네트워크 내의 다양한 애플리케이션과 환경에서 사용자 ID를 추적하고 관리할 수 있어야 합니다. 이를 위해서는 ID 공급자(IDP)를 배포해야 합니다.
• ZTNA를 배포합니다: ZTNA 서비스는 제로 트러스트 보안 전략을 시행하면서 기업 리소스에 대한 액세스를 제공합니다. 이를 통해 조직은 최소 권한 액세스 정책을 시행할 수 있습니다.
• 권한을 정의합니다: 사용자 권한은 조직 내 사용자의 역할에 따라 액세스를 제한하도록 정의해야 합니다. 여기에는 권한 있는 액세스를 제한하고 사용자가 업무 수행에 필요한 리소스에만 액세스할 수 있도록 허용하는 것이 포함됩니다.
• 디바이스 보안 상태를 모니터링하세요: 조직은 사용자의 권한을 관리하는 것 외에도 디바이스의 현재 보안 상태를 모니터링할 수 있는 솔루션도 배포해야 합니다. 이를 통해 회사 정책을 준수하지 않거나 멀웨어에 감염될 가능성이 있는 디바이스에 대한 액세스를 제한할 수 있습니다.