최소 권한 원칙이란 사용자에게 업무 수행에 필요한 최소한의 접근 권한만 부여하는 것을 의미합니다. 그 이상은 허용하지 않습니다. 마케팅 담당자는 캠페인 파일을 편집할 권한만 있으면 됩니다. 도메인 관리자 권한은 필요하지 않습니다. 데이터베이스 분석가는 운영 데이터를 읽을 권한만 있으면 됩니다. 스키마를 수정할 권한은 없습니다. 이 원칙은 당연해 보이지만, 대부분의 조직은 이를 끊임없이 위반합니다. 시간이 지남에 따라 권한이 누적되고, 담당자의 역할이 바뀌어도 이전 접근 권한이 그대로 유지되며, 임시 권한이 영구적으로 부여되기도 합니다. 그 결과, 모든 사람이 모든 것에 접근할 수 있는 네트워크가 만들어집니다.

최소 권한 원칙을 구현하는 데는 노력이 필요합니다. 각 역할에 실제로 필요한 권한이 무엇인지 파악해야 합니다. 즉, 시스템 목록을 작성하고, 워크플로를 매핑하고, 접근 권한을 정기적으로 검토해야 합니다. 또한 일반 사용자 계정에서 로컬 관리자 권한을 제거하는 것도 필요한데, 이는 적응하기 전까지는 불만을 야기할 수 있습니다. 관리자 계정을 제어하고 감사하기 위해 권한 있는 접근 관리 도구를 사용해야 합니다. 하지만 그 효과는 상당합니다. 공격자가 낮은 권한의 계정을 탈취하더라도 자유롭게 활동할 수 없습니다. 권한을 상승시켜야 하는데, 이는 시간이 걸리고 혼란을 야기합니다. 2013년 타겟(Target) 해킹 사건은 HVAC 업체에서 얻은 계정 정보로 시작되었습니다. 해당 업체는 불필요한 네트워크 접근 권한을 가지고 있었습니다. 최소 권한 원칙이 적용되었다면 피해를 최소화할 수 있었을 것입니다. 최소 권한 원칙이 만능 해결책은 아니지만, 너무나 많은 조직에서 간과하고 있는 기본적인 보안 통제입니다.

실제 적용에서의 최소 특권

• 역할 기반 접근 권한 — 직무에 따른 권한 부여
• 즉시 접근 가능 - 승인을 통한 임시 높이 조정
• 권한 접근 관리 — 관리자 계정 제어 및 감사
• 정기적인 검토를 통해 역할 변경 시 접근 권한을 제거합니다.

최소 권한 원칙은 불편합니다. 하지만 바로 그 불편함이 핵심입니다. 최소 권한 원칙은 공격자의 속도를 늦추고 그들의 활동을 드러내기 때문입니다.