# 접근 제어

## 개요/소개
접근 제어(Access Control)는 정보 시스템 내에서 자원에 대한 사용자 또는 시스템의 접근 권한을 관리하는 보안 기법입니다. 이는 데이터 유출, 무단 액세스, 시스템 오작동 등의 위험을 방지하기 위해 필수적인 보안 프로토콜로, 조직의 정보 자산을 보호하는 핵심 요소입니다. 접근 제어는 단순한 "허가/거부" 메커니즘을 넘어, 사용자의 역할, 권한, 환경에 따라 동적으로 접근을 조절하는 복잡한 시스템으로 발전했습니다.

## 1. 접근 제어의 정의 및 목적
### 1.1 기본 개념
접근 제어는 **사용자 또는 시스템이 자원(데이터, 장치, 서비스 등)에 접근할 수 있는지 여부를 결정**하는 프로세스입니다. 이는 보안 정책을 기반으로 하며, 일반적으로 다음과 같은 요소를 포함합니다:
- **인증(Authentication)**: 사용자의 신분 확인
- **권한 부여(Authorization)**: 접근 권한의 부여 및 제한

### 1.2 주요 목적
- **데이터 보호**: 민감 정보의 무단 노출 방지
- **리소스 관리**: 시스템 자원의 효율적 사용
- **위험 감소**: 내부/외부 위협에 대한 사전 차단

## 2. 접근 제어 모델
접근 제어는 다양한 모델로 구분되며, 각각의 특징과 적용 분야가 다릅니다.

### 2.1 디스cretionary Access Control (DAC)
- **특징**: 소유자가 자원에 대한 권한을 직접 관리
- **예시**: 파일 시스템에서 사용자별 읽기/쓰기 권한 설정
- **단점**: 보안 정책이 불일치할 수 있음

### 2.2 Mandatory Access Control (MAC)
- **특징**: 중앙 집중식 정책에 따라 접근을 강제
- **예시**: 군사 시스템에서 정보의 등급(비밀/기밀) 기반 접근 제한
- **장점**: 높은 보안 수준

### 2.3 Role-Based Access Control (RBAC)
- **특징**: 역할(Role)을 중심으로 권한 부여
- **예시**: 회사 내 "관리자", "직원" 등 역할별 접근 제어
- **장점**: 관리 효율성 향상

### 2.4 Attribute-Based Access Control (ABAC)
- **특징**: 사용자의 속성(시간, 위치, 장치 등)을 기반으로 동적 권한 결정
- **예시**: 사무실 외부에서의 데이터 접근 제한
- **장점**: 유연성과 정밀도

| 모델 | 특징 | 적합 분야 |
|------|------|----------|
| DAC | 소유자 중심 | 개인 파일 관리 |
| MAC | 중앙 정책 강제 | 고보안 시스템 |
| RBAC | 역할 기반 | 조직 내 권한 관리 |
| ABAC | 속성 기반 | 동적 환경 |

## 3. 접근 제어의 구성 요소
접근 제어 시스템은 다음과 같은 핵심 요소로 구성됩니다:

### 3.1 사용자(Subjects)
- **정의**: 자원에 접근을 요청하는 주체(사용자, 프로그램 등)
- **관리 방법**: ID/패스워드, 생체 인식, 토큰

### 3.2 자원(Resources)
- **정의**: 접근이 필요한 대상(데이터베이스, 파일, 네트워크 장치 등)
- **관리 방법**: 태그, 분류, 보호 레벨 설정

### 3.3 정책(Policies)
- **정의**: 접근을 허가하거나 거부하는 규칙
- **예시**:
  ```plaintext
  if (user.role == "admin") and (time > 9:00 AM) then allow access
  else deny access
  ```

## 4. 구현 방법 및 기술
접근 제어는 다양한 기술을 통해 실현됩니다.

### 4.1 인증(Authentication)
- **단계**: 사용자 신분 확인 (예: ID/비밀번호, 다중 인증(MFA))
- **보안 강화**: 생체 인식(지문, 얼굴), 토큰 기반 인증

### 4.2 권한 부여(Authorization)
- **방법**:
  - **ACL(Access Control List)**: 자원별 사용자 목록 관리
  - **RBAC**: 역할 기반 권한 할당
  - **OAuth, SAML**: 외부 시스템과의 인증 연동

### 4.3 모니터링 및 감사
- **필요성**: 비정상적인 접근 시도 탐지
- **도구**: 로그 분석, SIEM(Security Information and Event Management)

## 5. 도전 과제 및 최선의 실천
### 5.1 주요 문제점
- **복잡한 정책 관리**: 다수의 사용자/역할로 인한 혼란
- **동적 환경 대응**: 클라우드, 모바일 기기 등 변화하는 환경

### 5.2 최선의 실천 방법
1. **최소 권한 원칙(Principle of Least Privilege)**: 필요한 최소한의 권한만 부여
2. **정기적 검토**: 정책과 권한의 주기적 점검
3. **자동화 도구 활용**: RBAC, ABAC 기반의 자동 권한 관리 시스템

## 참고 자료 및 관련 문서
- [NIST SP 800-53: 보안 및 프라이버시 컨트롤](https://csrc.nist.gov/publications/detail/sp/800-53/rev-4/final)
- [ISO/IEC 27001: 정보 보안 관리 시스템 표준](https://www.iso.org/standard/62912.html)
- 관련 문서: [권한 부여(Authorization)](예시 링크), [인증 기술](예시 링크)

접근 제어는 디지털 환경에서 보안을 유지하기 위한 필수 요소로, 적절한 모델과 정책 수립이 성공적인 보안 전략의 핵심입니다.