보안은 왜 ‘접근통제’에 집착할까?
- 개인정보 보호법이 말하는 접근권한의 진짜 의미
만약 여러분의 회사에서 개인정보 유출이 발생했다면, 그 이야기는 아마 어느 영화처럼 해킹으로 시작하지 않을 수도 있습니다.
오히려 사고는 이미 시스템 안에 들어와 있는 사람, 어쩌면 당신의 옆 자리 동료에 의한 경우일 수 있습니다.
병원 직원이 연예인 진료기록을 몰래 조회하고,
쇼핑몰 직원이 지인의 주문 내역을 검색하고,
퇴사 직전 직원이 고객 DB를 다운로드하는 일.
놀랍게도 이런 사건들은 비밀번호가 털린 것도, 해커가 침입한 것도 아닌 그냥 “볼 수 있었기 때문에” 발생합니다.
보통 사람들은 보안을 이렇게 생각합니다.
“해커만 막으면 되는 거 아닌가요?”
하지만 개인정보 보호법은 조금 다른 질문을 던집니다.
“이 사람은 왜 이 정보에 어떻게 접근할 수 있었는가?”
즉, 문제는 '단순히 침입을 했느냐'가 아닙니다.
'누가, 무엇을, 어디까지 볼 수 있었는가' 이것이 핵심입니다.
그래서 접근통제가 뭔데?
사실 이름은 어려워 보이지만, 원리는 생각보다 단순합니다.
말 그대로 누군가의 접근을 통제하는 것으로, 우리가 사는 아파트를 떠올려보면 쉽습니다.
1. 인증(Authentication) : 외부인 출입금지
아파트는 아무나 들어갈 수 없습니다.
공동 현관 비밀번호, 출입카드, 세대 호출 시스템 등이 있죠.
이게 바로 시스템의 ‘인증’입니다.
즉, “당신은 누구인가?”를 확인하는 단계입니다.
회사 시스템도 같습니다.
같은 방식으로 사용자를 확인합니다.
왜냐하면 개인정보 시스템은 누가 들어오는지부터 확인해야 하기 때문입니다.
2. 들어왔다고 해서 모든 곳에 갈 수 있는 건 아니다
공동 현관을 통과했다고 해서 아파트 모든 집에 들어갈 수는 없습니다.
내 집만 들어갈 수 있죠.
회사도 같습니다.
고객센터 직원이 전체 고객 주민번호 DB를 볼 필요는 없습니다.
인사팀 직원이 개발 서버에 접근할 이유도 없습니다.
이게 바로 개인정보 보호법에서 말하는 ‘접근권한’입니다.
그리고 여기서 중요한 원칙이 등장합니다.
바로 ‘최소 권한 원칙’입니다.
많은 사람은 여기서 의문이 생깁니다.
“같은 회사 직원인데 그렇게까지 권한을 나눠야 하나요?”
네, 나눠야 합니다.
문제는 사람을 못 믿어서가 아닙니다.
사람은 실수할 수 있고, 누군가 이걸 노리고 있기 때문입니다.
3. 최소 권한 원칙 : 필요한 곳까지만 갈 수 있게 한다
우리는 호텔이나 회사 건물에서 어떤 카드가 있어야만 특정 층으로 올라갈 수 있는 경우를 종종 봅니다.
예를 들어 아래의 그림과 같은 방식입니다.
회사 시스템도 마찬가지입니다.
- 조회만 가능한 직원
- 수정 가능한 관리자
- 다운로드 가능한 운영자
이들의 권한을 다르게 줍니다.
왜냐하면 모든 사람에게 마스터키를 주는 순간, 누구든지 모든 정보를 다룰 수 있어 사고가 터지는 건 시간 문제가 되기 때문입니다.
그래서 개인정보 보호법과 개인정보의 안전성 확보조치 기준은
를 계속 강조합니다.
누군가 입사하면 그때 권한을 주고, 부서 이동하면 권한을 바꿔주고, 퇴사하면 그 사람의 권한을 즉시 제거해야 합니다.
접근권한은 “설정”이 아니라 “관리”의 개념에 가깝습니다.
그런데 많은 회사에서 퇴사한 직원 계정이 그대로 남아있는 경우가 있습니다.
사람이 나갔는데, 출입카드를 들고 가간 셈입니다.
많은 사람은 이렇게 생각합니다.
“에이, 그게 뭐 큰 문제가 되겠어?”
"됩니다."
심지어 우리는 최근 그렇게 문제가 된 경우를 알고 있습니다.
바로 2025년 발생한 쿠팡 개인정보 유출 사건입니다.
퇴사를 앞둔 중국 국적 개발자가 인증 시스템의 취약점을 테스트하고, 실제로 퇴사 후 외부에서 인증키를 이용해 시스템에 접근하였으며,
그 결과 약 3,370만 개에 달하는 개인정보가 유출되었습니다.
“왜 이렇게 큰 권한이 유지되고 있었는가?”
결국 보안은 새로운 벽을 만드는 문제가 아니라, 이미 존재하는 문을 누가 열 수 있는지 관리하는 문제에 더 가깝습니다.
4. IP 제한 : 허가된 출입구만 사용하게 만든다
여기까지 따라오신 분들이 당황할 포인트입니다.
왜냐하면 접속 가능한 IP주소를 제한해서 정상적인 계정인데도 접속을 못하기 때문입니다.
많은 사람은 이렇게 생각합니다.
“아이디랑 비밀번호 맞게 입력했으면 들어오게 해주면 되는 거 아닌가?”
그런데 보안은 생각보다 사람을 잘 믿지 않습니다.
왜냐하면 계정은 언제든 탈취될 수 있기 때문입니다.
다시 아파트를 생각해볼까요?
분명히 아파트 출입카드가 있어도, 새벽 3시에 담을 넘어 들어오려는 사람은 이상하게 느껴집니다.
분명히 여러분이 아는 이웃 주민이지만 그 사람이 창문을 통해 드나든다면 이상하게 느끼실 겁니다.
즉, “누가 들어오는가”만 중요한 게 아니라, “어디로 들어오는가”도 중요하다는 이야기입니다.
회사들도 비슷합니다.
예를 들어
- 회사 내부망에서만 접속 허용
- 특정 VPN 연결 시에만 관리자 접근 가능
- 해외 IP 차단
- 카페 와이파이 접속 차단
같은 방식으로 접근 경로 자체를 제한합니다.
왜 이렇게까지 할까요?
만약 공격자가 직원 계정을 탈취하더라도, 허용된 위치가 아니면 접속 자체를 막기 위해서입니다.
계정의 정당한 소유자가 접속을 하더라도 업무와 무관한 곳에서 회사의 정보를 보는 것을 막기 위해서 입니다.
즉, IP 제한은 “누가 로그인했는가” 다음 단계의 보안입니다.
“그 사람이 원래 접속하던 위치가 맞는가?”를 확인하는 과정에 가깝습니다.
특히 재택근무와 클라우드 환경이 늘어나면서 이 개념은 더 중요해지고 있습니다.
예전에는 회사 건물 자체가 보안 경계였습니다.
사무실 안에 들어와야만 시스템에 접근할 수 있었죠.
하지만 지금은 다릅니다.
까지 연결됩니다.
즉, 회사의 ‘문’이 인터넷 전체로 확장된 셈입니다.
그래서 최근 보안은 “누가 로그인했는가”만 보는 게 아니라,
- 어디서 접속했고
- 어떤 기기를 사용했고
- 평소와 다른 행동은 없는지
까지 함께 확인하기 시작합니다.
결국 접근통제는 ‘신뢰의 시스템’이다
이야기가 길었습니다.
많은 사람은 접근통제를 IT 부서의 기술 문제라고 생각합니다.
하지만 사실 더 본질적인 질문은 이것입니다.
“이 사람에게 어디까지 맡길 것인가?”
모든 직원에게 모든 개인정보를 열어두는 회사는, 모든 주민에게 마스터키를 나눠주는 아파트와 비슷합니다.
실수건, 호기심이건 이유가 어찌됐든 언젠가 사고가 발생합니다.
그래서 개인정보 보호법은 계속 같은 이야기를 합니다.
- 정당한 사람만 접근하게 만들 것
- 필요한 범위까지만 허용할 것
결국 접근통제는 단순 로그인 기능이 아닙니다.
누가 정보를 가질 자격이 있는가를 결정하는, 디지털 사회의 신뢰 시스템에 가깝습니다.
 노승욱 | nsw@cela.kr |
개인정보 보호법, 개인정보의 안전성 확보조치 기준, 접근통제, 접근 권한
보안은 왜 ‘접근통제’에 집착할까?
- 개인정보 보호법이 말하는 접근권한의 진짜 의미
만약 여러분의 회사에서 개인정보 유출이 발생했다면, 그 이야기는 아마 어느 영화처럼 해킹으로 시작하지 않을 수도 있습니다.
오히려 사고는 이미 시스템 안에 들어와 있는 사람, 어쩌면 당신의 옆 자리 동료에 의한 경우일 수 있습니다.
병원 직원이 연예인 진료기록을 몰래 조회하고,
쇼핑몰 직원이 지인의 주문 내역을 검색하고,
퇴사 직전 직원이 고객 DB를 다운로드하는 일.
놀랍게도 이런 사건들은 비밀번호가 털린 것도, 해커가 침입한 것도 아닌 그냥 “볼 수 있었기 때문에” 발생합니다.
보통 사람들은 보안을 이렇게 생각합니다.
“해커만 막으면 되는 거 아닌가요?”
하지만 개인정보 보호법은 조금 다른 질문을 던집니다.
“이 사람은 왜 이 정보에 어떻게 접근할 수 있었는가?”
즉, 문제는 '단순히 침입을 했느냐'가 아닙니다.
'누가, 무엇을, 어디까지 볼 수 있었는가' 이것이 핵심입니다.
그래서 접근통제가 뭔데?
사실 이름은 어려워 보이지만, 원리는 생각보다 단순합니다.
말 그대로 누군가의 접근을 통제하는 것으로, 우리가 사는 아파트를 떠올려보면 쉽습니다.
1. 인증(Authentication) : 외부인 출입금지
아파트는 아무나 들어갈 수 없습니다.
공동 현관 비밀번호, 출입카드, 세대 호출 시스템 등이 있죠.
이게 바로 시스템의 ‘인증’입니다.
즉, “당신은 누구인가?”를 확인하는 단계입니다.
회사 시스템도 같습니다.
같은 방식으로 사용자를 확인합니다.
왜냐하면 개인정보 시스템은 누가 들어오는지부터 확인해야 하기 때문입니다.
2. 들어왔다고 해서 모든 곳에 갈 수 있는 건 아니다
공동 현관을 통과했다고 해서 아파트 모든 집에 들어갈 수는 없습니다.
내 집만 들어갈 수 있죠.
회사도 같습니다.
고객센터 직원이 전체 고객 주민번호 DB를 볼 필요는 없습니다.
인사팀 직원이 개발 서버에 접근할 이유도 없습니다.
이게 바로 개인정보 보호법에서 말하는 ‘접근권한’입니다.
그리고 여기서 중요한 원칙이 등장합니다.
바로 ‘최소 권한 원칙’입니다.
많은 사람은 여기서 의문이 생깁니다.
“같은 회사 직원인데 그렇게까지 권한을 나눠야 하나요?”
네, 나눠야 합니다.
문제는 사람을 못 믿어서가 아닙니다.
사람은 실수할 수 있고, 누군가 이걸 노리고 있기 때문입니다.
3. 최소 권한 원칙 : 필요한 곳까지만 갈 수 있게 한다
우리는 호텔이나 회사 건물에서 어떤 카드가 있어야만 특정 층으로 올라갈 수 있는 경우를 종종 봅니다.
예를 들어 아래의 그림과 같은 방식입니다.
회사 시스템도 마찬가지입니다.
이들의 권한을 다르게 줍니다.
왜냐하면 모든 사람에게 마스터키를 주는 순간, 누구든지 모든 정보를 다룰 수 있어 사고가 터지는 건 시간 문제가 되기 때문입니다.
그래서 개인정보 보호법과 개인정보의 안전성 확보조치 기준은
를 계속 강조합니다.
누군가 입사하면 그때 권한을 주고, 부서 이동하면 권한을 바꿔주고, 퇴사하면 그 사람의 권한을 즉시 제거해야 합니다.
접근권한은 “설정”이 아니라 “관리”의 개념에 가깝습니다.
그런데 많은 회사에서 퇴사한 직원 계정이 그대로 남아있는 경우가 있습니다.
사람이 나갔는데, 출입카드를 들고 가간 셈입니다.
많은 사람은 이렇게 생각합니다.
“에이, 그게 뭐 큰 문제가 되겠어?”
"됩니다."
심지어 우리는 최근 그렇게 문제가 된 경우를 알고 있습니다.
바로 2025년 발생한 쿠팡 개인정보 유출 사건입니다.
퇴사를 앞둔 중국 국적 개발자가 인증 시스템의 취약점을 테스트하고, 실제로 퇴사 후 외부에서 인증키를 이용해 시스템에 접근하였으며,
그 결과 약 3,370만 개에 달하는 개인정보가 유출되었습니다.
“왜 이렇게 큰 권한이 유지되고 있었는가?”
결국 보안은 새로운 벽을 만드는 문제가 아니라, 이미 존재하는 문을 누가 열 수 있는지 관리하는 문제에 더 가깝습니다.
4. IP 제한 : 허가된 출입구만 사용하게 만든다
여기까지 따라오신 분들이 당황할 포인트입니다.
왜냐하면 접속 가능한 IP주소를 제한해서 정상적인 계정인데도 접속을 못하기 때문입니다.
많은 사람은 이렇게 생각합니다.
“아이디랑 비밀번호 맞게 입력했으면 들어오게 해주면 되는 거 아닌가?”
그런데 보안은 생각보다 사람을 잘 믿지 않습니다.
왜냐하면 계정은 언제든 탈취될 수 있기 때문입니다.
다시 아파트를 생각해볼까요?
분명히 아파트 출입카드가 있어도, 새벽 3시에 담을 넘어 들어오려는 사람은 이상하게 느껴집니다.
분명히 여러분이 아는 이웃 주민이지만 그 사람이 창문을 통해 드나든다면 이상하게 느끼실 겁니다.
즉, “누가 들어오는가”만 중요한 게 아니라, “어디로 들어오는가”도 중요하다는 이야기입니다.
회사들도 비슷합니다.
예를 들어
같은 방식으로 접근 경로 자체를 제한합니다.
왜 이렇게까지 할까요?
만약 공격자가 직원 계정을 탈취하더라도, 허용된 위치가 아니면 접속 자체를 막기 위해서입니다.
계정의 정당한 소유자가 접속을 하더라도 업무와 무관한 곳에서 회사의 정보를 보는 것을 막기 위해서 입니다.
즉, IP 제한은 “누가 로그인했는가” 다음 단계의 보안입니다.
“그 사람이 원래 접속하던 위치가 맞는가?”를 확인하는 과정에 가깝습니다.
특히 재택근무와 클라우드 환경이 늘어나면서 이 개념은 더 중요해지고 있습니다.
예전에는 회사 건물 자체가 보안 경계였습니다.
사무실 안에 들어와야만 시스템에 접근할 수 있었죠.
하지만 지금은 다릅니다.
까지 연결됩니다.
즉, 회사의 ‘문’이 인터넷 전체로 확장된 셈입니다.
그래서 최근 보안은 “누가 로그인했는가”만 보는 게 아니라,
까지 함께 확인하기 시작합니다.
결국 접근통제는 ‘신뢰의 시스템’이다
이야기가 길었습니다.
많은 사람은 접근통제를 IT 부서의 기술 문제라고 생각합니다.
하지만 사실 더 본질적인 질문은 이것입니다.
“이 사람에게 어디까지 맡길 것인가?”
모든 직원에게 모든 개인정보를 열어두는 회사는, 모든 주민에게 마스터키를 나눠주는 아파트와 비슷합니다.
실수건, 호기심이건 이유가 어찌됐든 언젠가 사고가 발생합니다.
그래서 개인정보 보호법은 계속 같은 이야기를 합니다.
결국 접근통제는 단순 로그인 기능이 아닙니다.
누가 정보를 가질 자격이 있는가를 결정하는, 디지털 사회의 신뢰 시스템에 가깝습니다.
개인정보 보호법, 개인정보의 안전성 확보조치 기준, 접근통제, 접근 권한