185. 접근 제어 메커니즘 (Access Control: MAC, DAC, RBAC, ABAC)

핵심 인사이트

본질: 접근 제어(Access Control)는 "누가(주체), 무엇을(객체), 어떻게(행위) 접근할 수 있는지"를 결정하는 보안 메커니즘으로, MAC(Mandatory Access Control, 강제 접근 제어)·DAC(Discretionary Access Control, 임의 접근 제어)·RBAC(Role-Based Access Control, 역할 기반)·ABAC(Attribute-Based Access Control, 속성 기반)의 4가지 모델로 발전해 왔다.

가치: 최소 권한 원칙(Least Privilege Principle)을 기술적으로 구현하는 핵심 메커니즘으로, 내부자 위협·권한 오남용·데이터 유출의 기술적 방어선이다. 조직 규모와 보안 요건에 따라 적합한 모델 선택이 비용·보안·운영 효율을 결정한다.

판단 포인트: 기술사 시험에서는 4가지 모델의 보안 수준·유연성·운영 비용 트레이드오프, 실제 시스템 적용 사례(군사 보안등급 vs. 기업 RBAC vs. 클라우드 ABAC), 그리고 Bell-LaPadula·Biba 보안 모델과의 연관성이 핵심 논점이다.

Ⅰ. 개요 및 필요성

정보 보안의 근본 목표 중 하나는 "인가된 주체만 인가된 자원에 접근"을 보장하는 것이다. 이를 구현하는 접근 제어 메커니즘은 단순 패스워드 인증을 넘어, 복잡한 조직 구조·법적 규제·비즈니스 정책을 기술적으로 반영해야 한다. 접근 제어 모델은 이 정책을 체계적으로 표현하는 추상화 프레임워크다.

역사적으로 접근 제어 모델은 군사 보안 요건(MAC)에서 출발하여 기업 환경(DAC→RBAC)을 거쳐 클라우드·IoT(Internet of Things) 시대의 동적 환경(ABAC)으로 진화했다. 각 모델은 이전 모델의 한계를 극복하며 등장했으나, 현대 시스템에서는 여러 모델을 혼합하여 적용하는 것이 일반적이다.

「개인정보보호법」, 「전자금융감독규정」, ISO/IEC 27001 등 주요 보안 규제는 접근 권한의 최소화, 주기적 검토, 이상 접근 탐지를 공통으로 요구한다. 이 요건들을 충족하기 위한 기술적 구현 방법이 바로 접근 제어 모델이다.

📢 섹션 요약 비유: 접근 제어는 도서관 입장권 시스템과 같다. MAC은 학생증 등급별로 열람실이 정해지는 방식, DAC은 책 주인이 누가 빌릴 수 있는지 직접 결정하는 방식, RBAC은 사서·학생·교수 역할별로 열람실이 정해지는 방식, ABAC은 시간대·위치·보안 허가까지 종합해서 결정하는 방식이다.

Ⅱ. 아키텍처 및 핵심 원리

┌─────────────────────────────────────────────────────────────┐
│              접근 제어 모델 비교 아키텍처                       │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  MAC (강제 접근 제어)              DAC (임의 접근 제어)        │
│  ┌─────────────────────┐          ┌─────────────────────┐  │
│  │  보안 레이블 시스템   │          │  소유자 기반 ACL     │  │
│  │                     │          │                     │  │
│  │  극비(TS) > 비밀(S)  │          │  소유자가 권한 부여  │  │
│  │  > 기밀(C) > 일반(U) │          │  (임의 결정)        │  │
│  │                     │          │                     │  │
│  │  시스템이 레이블 비교 │          │  ACL, chmod 755    │  │
│  │  후 접근 강제 결정   │          │  umask             │  │
│  └─────────────────────┘          └─────────────────────┘  │
│                                                             │
│  RBAC (역할 기반 접근 제어)         ABAC (속성 기반 접근 제어)  │
│  ┌─────────────────────┐          ┌─────────────────────┐  │
│  │  Role → Permission  │          │  정책 언어 기반       │  │
│  │                     │          │                     │  │
│  │  사용자 → 역할 할당  │          │  주체속성+객체속성   │  │
│  │  역할 → 권한 집합    │          │  +환경속성 → 정책   │  │
│  │                     │          │  평가 → 허용/거부   │  │
│  │  HR 직급별 자동 부여 │          │                     │  │
│  │  권한 (ERP/AD)      │          │  XACML, OPA        │  │
│  └─────────────────────┘          └─────────────────────┘  │
│                                                             │
│  보안↑ ────────────────────────────────────────── 유연↑     │
│  MAC ──────── RBAC ────────── ABAC ──── DAC(객체 단위)       │
└─────────────────────────────────────────────────────────────┘

MAC (Mandatory Access Control, 강제 접근 제어)

시스템이 보안 레이블(Security Label)을 기반으로 강제적으로 접근 결정을 내리는 방식이다. 자원 소유자조차 보안 정책을 변경할 수 없다. Bell-LaPadula 모델(기밀성 보호: No Read Up, No Write Down)과 Biba 모델(무결성 보호: No Write Up, No Read Down)이 대표적 이론 모델이다. SELinux(Security-Enhanced Linux), TrustedBSD, 군사 정보 시스템에 적용된다.

DAC (Discretionary Access Control, 임의 접근 제어)

자원 소유자가 다른 주체에 대한 접근 권한을 임의로 결정하는 방식이다. Unix/Linux의 chmod, Windows의 NTFS(NT File System) ACL이 대표 사례다. 유연하지만 권한이 분산되어 일관성 관리가 어렵고, 트로이목마(Trojan Horse) 공격에 취약하다.

RBAC (Role-Based Access Control, 역할 기반 접근 제어)

사용자에게 직접 권한을 부여하지 않고 "역할(Role)"을 통해 간접 부여하는 방식이다. 역할은 조직의 직무·직급·부서를 반영한다. ANSI INCITS 359(RBAC 표준)가 4개 수준(RBAC0~3)을 정의한다. Active Directory 그룹 정책, AWS IAM(Identity and Access Management) 역할이 대표 구현 사례다.

ABAC (Attribute-Based Access Control, 속성 기반 접근 제어)

주체·객체·환경의 속성(Attribute)을 조합한 정책으로 접근을 결정하는 방식이다. 예: "부서=보안팀 AND 시간=업무시간 AND 위치=사무실 AND 기기=관리 단말이면 접근 허용". XACML(eXtensible Access Control Markup Language), OPA(Open Policy Agent)가 대표 구현 표준이다. 클라우드·제로 트러스트 환경에 최적화된 현대적 접근 제어 방식이다.

📢 섹션 요약 비유: RBAC는 직급별로 사원증 색깔이 다른 회사처럼 역할이 권한을 결정하고, ABAC는 직급뿐 아니라 지금 어디에 있는지, 몇 시인지, 어떤 기기인지까지 보고 문 잠금을 결정하는 "스마트 도어락"이다.

Ⅲ. 비교 및 연결

구분	MAC	DAC	RBAC	ABAC
권한 결정 주체	시스템(관리자)	자원 소유자	역할 관리자	정책 엔진
유연성	낮음	높음	중간	매우 높음
관리 복잡도	낮음(레이블)	높음(분산)	중간(역할)	높음(정책)
보안 강도	최고	낮음	높음	매우 높음
적용 환경	군사·정부	일반 OS	기업 ERP·AD	클라우드·ZTA
내부자 위협 방어	강력	취약	보통	강력
동적 조건 처리	불가	불가	제한적	가능
표준/구현	SELinux, Biba	Unix chmod	AD, AWS IAM	XACML, OPA

접근 제어 3A 프레임워크

접근 제어는 인증(Authentication), 인가(Authorization), 감사(Accounting/Audit)의 AAA(Triple-A) 프레임워크로 완성된다. 접근 제어 모델은 "인가(Authorization)" 단계를 구현하는 메커니즘이며, 강력한 인증(MFA)과 상세 감사 로그가 함께 구성되어야 완성된 접근 보안이 된다.

📢 섹션 요약 비유: AAA 프레임워크는 호텔 입실 절차와 같다. 신원 확인(Authentication)→입실 등록(Authorization)→미니바·TV 사용 기록(Accounting). 셋 중 하나라도 빠지면 보안에 구멍이 생긴다.

Ⅳ. 실무 적용 및 기술사 판단

접근 제어 모델 선택 기준

조직 규모와 복잡도: 소규모 조직은 DAC 또는 단순 RBAC으로 충분하다. 수천 명 이상 대기업은 RBAC 기반 IAM 시스템이 필수다.
보안 규제 요건: 금융·의료·국방 등 고보안 환경은 MAC 요소(레이블 기반 분류)를 RBAC에 결합한 하이브리드 모델을 적용한다.
클라우드 환경: 멀티클라우드·SaaS 환경에서는 ABAC이 유일한 실용적 선택이다. AWS IAM 정책, Azure AD Conditional Access가 ABAC 기반이다.
권한 남용 감지: 어떤 모델을 쓰든 PAM(Privileged Access Management)으로 관리자 권한을 별도 통제하고, UBA(User Behavior Analytics)로 이상 접근 패턴을 탐지한다.

Role Explosion 문제

RBAC의 실무 운영 시 빈번하게 발생하는 문제다. 예외 업무 처리를 위해 역할이 계속 추가되면서 수천 개의 세분화된 역할이 생성되어 관리 비용이 폭발적으로 증가한다. 이 문제를 해결하기 위해 RBAC에 ABAC 요소를 추가한 하이브리드 모델(ReBAC: Relationship-Based Access Control 등)이 실무에서 활용된다.

📢 섹션 요약 비유: Role Explosion은 회사에서 직급 외 예외 업무가 생길 때마다 "특수사원증"을 새로 만들다가 결국 수천 종류의 사원증이 생겨서 관리가 불가능해지는 상황이다. ABAC은 사원증 하나로 상황에 따라 다른 권한을 동적으로 부여하여 이 문제를 해결한다.

Ⅴ. 기대효과 및 결론

적절한 접근 제어 모델의 도입은 최소 권한 원칙 실현, 권한 남용 예방, 데이터 유출 경로 차단, 감사 추적 가능성 확보라는 네 가지 효과를 제공한다. 접근 제어는 방화벽·암호화와 함께 정보 보안의 3대 기술 기둥 중 하나다.

현대 접근 제어의 트렌드는 정적 모델(RBAC)에서 동적 모델(ABAC)로, 온프레미스 IAM에서 클라우드 네이티브 IAM으로 이동하고 있다. 특히 제로 트러스트 아키텍처의 확산과 함께 ABAC 기반의 동적 접근 제어가 표준이 되어가고 있다. 또한 AI/ML 기반 이상 탐지와 접근 제어를 결합한 "적응형 접근 제어(Adaptive Access Control)"가 차세대 방향으로 주목받고 있다.

결론적으로 접근 제어 모델 선택은 기술적 결정이 아니라 조직의 보안 전략, 규제 요건, 운영 역량을 종합한 비즈니스 결정이다. 어떤 모델을 선택하든 "최소 권한, 직무 분리, 정기 검토"라는 세 원칙은 모든 환경에서 불변의 기준이다.

📢 섹션 요약 비유: 접근 제어 모델의 진화는 일반 열쇠(DAC) → 마스터키 등급 시스템(MAC) → 사원증 층별 접근(RBAC) → 얼굴인식+시간+위치 통합 스마트 도어(ABAC)로의 여정이다.

📌 관련 개념 맵

개념	설명	연관 키워드
MAC (Mandatory Access Control)	보안 레이블 기반 시스템 강제 접근 제어	Bell-LaPadula, SELinux
DAC (Discretionary Access Control)	자원 소유자가 권한 임의 결정	ACL, chmod, NTFS
RBAC (Role-Based Access Control)	역할을 통한 간접 권한 부여	AD, IAM, ANSI INCITS 359
ABAC (Attribute-Based Access Control)	속성+정책 기반 동적 접근 결정	XACML, OPA, ZTA
Bell-LaPadula 모델	기밀성 보호 - No Read Up, No Write Down	MAC, 군사 보안
Biba 모델	무결성 보호 - No Write Up, No Read Down	MAC, 데이터 무결성
PAM (Privileged Access Management)	관리자 권한 별도 통제 시스템	최소권한, 특권계정
Role Explosion	RBAC에서 역할이 과도하게 증가하는 문제	RBAC 한계, ABAC 전환

👶 어린이를 위한 3줄 비유 설명

MAC은 군사 비밀처럼 "비밀등급 3급이면 3급 이하 문서만 볼 수 있다"는 식으로 나라(시스템)가 규칙을 정하면 아무도 바꿀 수 없는 방식이에요.
RBAC은 선생님·학생·교장 역할에 따라 쓸 수 있는 교실이 정해지는 것처럼, 내 역할이 무엇이냐에 따라 접근 가능한 정보가 달라지는 방식이에요.
ABAC은 "선생님이고, 수업시간이고, 학교 안에 있을 때만" 성적 시스템에 접근할 수 있도록 여러 조건을 동시에 확인하는 가장 똑똑한 접근 제어 방식이에요.