권한 부여는 인증된 사용자가 무엇을 할 수 있는지 결정합니다. 인증은 문을 열어주지만, 권한 부여는 사용자가 어떤 공간에 들어갈 수 있는지를 결정합니다. 예를 들어, 헬프데스크 직원이 성공적으로 로그인했다고 해서 CEO의 이메일을 읽거나 급여 기록을 수정할 수 있는 것은 아닙니다. 권한 부여 시스템은 모든 요청 전에 해당 직원의 권한을 확인하고, 자신의 역할 범위를 벗어나는 모든 요청을 거부합니다.

일반적인 모델로는 역할 기반 접근 제어와 속성 기반 접근 제어가 있습니다. 역할 기반 접근 제어는 직무별로 권한을 그룹화합니다. 모든 회계 담당자는 동일한 권한 집합을 갖습니다. 이 방식은 간단하고 감사가 용이하지만, 관리가 다소 까다로울 수 있습니다. 속성 기반 접근 제어는 부서, 접근 권한 수준, 시간대, 리소스의 중요도 등 여러 요소를 고려하여 정책을 평가합니다. 계약자는 업무 시간 동안 관리되는 장치에서 프로젝트 파일에 접근할 수 있지만, 자정에는 개인 노트북에서 접근할 수 없습니다. 하지만 속성 기반 접근 제어는 복잡성이 높아진다는 단점이 있습니다. 속성 기반 접근 제어는 정책 작성 및 유지 관리가 더 어렵습니다. 대부분의 조직은 역할 기반 접근 제어에서 시작하여 위험도가 높은 경우에만 속성을 추가합니다. 두 방식 모두 기본적으로 접근을 차단하고, 필요한 권한만 부여하며, 부여된 권한을 정기적으로 검토하는 것이 원칙입니다.

권한 부여 모범 사례

• 기본적으로 거부됨 - 명시적으로 허용되지 않는 한 아무것도 허용되지 않습니다.
• 최소 권한 — 업무에 필요한 최소한의 접근 권한
• 직무 분리 — 어느 한 사람도 핵심 프로세스를 처음부터 끝까지 통제하지 않습니다.
• 정기적인 검토를 통해 역할 변경 시 접근 권한을 취소하세요.

권한 부여 실패는 조용히 진행됩니다. 누군가 이를 악용하거나 감사자가 발견하기 전까지는 아무도 추가 권한을 알아차리지 못합니다.