주요 정의 및 개념

접근 제어(access control)이란 자원이 어떻게 접근되는지를 제어하여 인간되지 않는수정이나 노출로부터 보호하는 것을 의미합니다.
이때 접근이란 주체와 객체 사이의 흐름을 말합니다. 주체는 사용자나 프로그램 혹은 프로세스와 같은 요소들을 의미하고 객체는 컴퓨터, 데이터베이스, 파일, 컴퓨터 프로그램 등과 같은 수동적인 요소를 말합니다.
그래서 주체가 어떤 작업을 수행하기 위해 객체 혹은 객체 안의 데이터에 대한 접근을 요청하면 프로그램은 주체가 되고 파일은 객체가 됩니다.

접근 제어의 필요성

시스템과 네트워크 등 자원에 시도되는 허가되지 않은 접근에 대응하기 위한 수단으로 조직이나 시스템에서 보안의 3요소 가용성, 무결성, 기밀성을 보호할 수 있게 도와주는 역할을 수행합니다.

접근 제어 실행 단계

식별 → 인증 → 인가 → 책임추적성

식별(Identification)

주체가 인증 서비스에 스스로를 확인시키기 위해 자신의 신원 정보를 제공하는 활동을 의미합니다. 예를 들어 로그인 단계에서 사용하는 ID가 식별 단계라고 할 수 있습니다.

인증(Authentication)

주체가 자신의 신원을 증명하기 위해서 행하는 검증 활동을 의미합니다. 식별 가능한 신원 정보에 대해 비밀번호를 이용해 자신이 맞다는 것을 검증하는 것이 인증이라고 할 수 있습니다.

인가(Authorization)

인증된 주체가 객체에 대한 접근 요청을 판단하여 허용하는 것을 의미합니다. 인증된 주체는 특정 객체에 대해 접근 제어 목록 및 보안 등급이 존재합니다.

책임추적성(Accountability)

문제 발생 시 원인 및 책임 소재를 파악하기 위해 시스템에 접근한 주체가 시스템에 어떤 행위를 하고 있는지를 기록하는 것을 의미합니다.