CPPG 28. 접근 권한의 관리

1. 접근 권한 차등 부여

• 개인정보처리자가 가명정보를 처리하는 경우, 가명정보에 접근권한이 있는 담당자가 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하는 것을 방지하기 위하여 가명정보에 접근할 수 있는 담당자와 추가 정보에 접근할 수 있는 담당자
• 가명정보에 접근권한이 있는 담당자가 특정 개인을 식별할 수 있는 정보에 접근할 수 없도록 제한
• 가명정보와 추가정보에 대한 접근 권한의 분리가 어려운 정당한 사유가 있는 경우, 업무 수행에 필요한 최소한의 접근 권한 부여 및 접근 권한의 보유 현황을 기록으로 보관
• 개인정보처리시스템의 데이터베이스에 대한 직접적인 접근을 데이터베이스 운영 관리자에 한정하는 등의 안전조치를 적용할 필요가 있다.

2. 개인정보처리자 비밀번호 작성규칙

• 비밀번호는 문자, 숫자의 조합, 구성에 따라 최소 8자리 또는 10자리 이상의 길이로 구성
• 최소 8자리 이상: 두 종류 이상의 문자를 이용하여 구성한 경우
  • 문자 종류: 알파벳 대문자와 소문자 특수문자, 숫자
• 최소 10자리 이상: 하나의 문자종류로 구성한 경우
  • 단, 숫자로만 구성할 경우 취약할 수 있음
• 비밀번호는 추측하거나 유추하기 어렵도록 설정
• 동일한 문자 반복, 키보드 상에서 나란히 있는 문자열, 일련번호, 가족이름, 생일, 전화번호 등은 사용하지 않음
• 비밀번호가 제삼자에게 노출되었을 경우 지체 없이 새로운 비밀번호로 변경

3. 비밀번호 공격방법

• 사전공격: 자주 사용되는 단어를 비밀번호에 대입하는 공격 방법
• 무작위 대입공격: 가능한 한 모든 값을 비밀번호에 대입해 보는 공격 방법
• 레인보우 테이블 공격: 무작위 대입공격 시 더 빠르게 비밀번호를 시도해 보기 위해서 해시 함수를 사용하여만 만들어낼 수 있는 값들을 왕창 저장

4. 계정 권한 관리 서비스

• SSO
  • 한번의 로그인으로 다양한 시스템 혹은 인터넷 서비스를 사용할 수 있게 해주는 보안 설루션
  • PKI, LDAP
  • 단일로그인, 여러 자원 접근
  • 장점: 사용 편의성, 단점: 인증 이외에 보안 취약
• EAM
  • SSO와 사용자의 인증을 관리하여 애플리케이션 및 데이터에 대한 사용자 접근을 관리하기 위하여 보안정책 기반의 단일 메커니즘을 이용한 설루션
    • SSO, AC, LDAP, PKI, 암호화
    • SSO + 통합권한 관리
    • 장점: 보안성 강화, 단점: 사용자 관리 어려움
• IAM
  • 단순한 한 가지 애플리케이션을 지칭하는 용어가 아니라 계정관리 저난 및 프로비저닝 기능을 포함한 포괄적인 의미의 계정관리 설루션
    • 통합자원관리 +Provisioning
    • EAM + 통합계정관리
    • 장점: 관리 효율화, 단점: 시스템 구축 복잡