데이터베이스 보안 설계

핵심 요약

데이터베이스 보안은 하나의 기능으로 완성되지 않는다. 인증은 주체의 신원을 확인하고, 인가는 확인된 주체가 할 수 있는 행위를 결정하며, 감사는 실제 행위를 추적한다. 최소 권한·직무분리·접근통제·암호화·마스킹·감사 로그는 서로 다른 위험을 줄이는 보완 통제다.

데이터 분류 → 주체·업무 식별 → 인증 → 인가/역할 → 보호 통제
                                         ├─ 뷰·행/열 제한
                                         ├─ 암호화·마스킹
                                         └─ 감사·이상행위 점검

학습 목표

• 인증·인가·감사와 DAC·MAC·RBAC·ABAC의 차이를 설명합니다.
• 최소 권한과 직무분리를 사용자·역할·서비스 계정에 적용합니다.
• 뷰, 암호화, 마스킹, 감사의 목적과 한계를 비교합니다.
• 운영·개발·백업·전송·폐기까지 민감 데이터 보호 설계를 판별합니다.

1. 개념 설명

1.1 보안 목표와 데이터 분류

보안 설계는 일반적으로 기밀성, 무결성, 가용성을 고려한다.

• 기밀성: 허가받지 않은 주체가 데이터를 보지 못하게 한다.
• 무결성: 비인가 또는 잘못된 변경을 방지·탐지하고 올바른 상태를 유지한다.
• 가용성: 허가된 사용자가 필요한 시점에 데이터와 기능을 사용할 수 있게 한다.

모든 데이터를 동일하게 보호하기보다 공개·내부·민감·고위험 등으로 분류하고, 개인정보·결제정보·인증정보처럼 영향이 큰 데이터에는 더 강한 통제를 적용한다. 분류 기준에는 법적 요구, 업무 영향, 유출·변조·중단 피해가 포함된다.

1.2 인증·인가·감사

공용 계정은 행위자를 식별하기 어렵게 하므로 원칙적으로 개인 또는 서비스 단위의 식별 가능한 계정을 사용한다. 서비스 계정도 사람 계정과 동일하게 최소 권한, 비밀정보 교체, 사용처 식별이 필요하다.

1.3 접근통제 모델

DBMS별 지원 방식은 다르지만, 시험에서는 권한을 누구의 재량·등급·역할·속성으로 결정하는지 구분한다.

1.4 최소 권한과 직무분리

• 최소 권한: 업무 수행에 필요한 최소한의 객체·행위·기간만 허용한다.
• 직무분리(SoD): 한 사람이 승인·실행·감사를 모두 수행해 중요 절차를 단독으로 우회하지 못하게 한다.
• 역할 검토: 입사·이동·휴직·퇴사와 시스템 변경 시 권한을 재검토한다.
• 특권 계정 통제: DBA 등 고권한 사용은 승인, 별도 계정, 세션 기록, 비상권한 회수와 연계한다.

SELECT가 필요하다는 이유로 UPDATE, DELETE, DDL 권한까지 부여하거나, 개발 편의를 위해 운영 스키마 전체 권한을 주는 것은 최소 권한에 위배된다.

1.5 뷰·감사·암호화·마스킹

• 뷰: 필요한 행·열만 노출하는 논리 인터페이스다. 원본 객체 권한과 뷰 정의·우회 경로를 함께 통제해야 한다.
• 감사 로그: 누가 언제 어디서 어떤 객체에 어떤 행위를 했고 결과가 무엇인지 추적한다. 로그 자체의 변경 방지, 시간 동기화, 보존·검토 절차가 필요하다.
• 암호화: 저장 중·전송 중·열 단위 등 보호 위치가 다르다. 키를 암호문과 같은 위치·같은 권한으로 관리하면 효과가 약해진다. 키 생성·보관·회전·폐기·복구를 설계해야 한다.
• 마스킹: 원본 값을 가리거나 변형해 노출을 줄인다. 정적 마스킹은 비운영 복제 전에 값을 변환하고, 동적 마스킹은 조회 시 주체에 따라 표시를 바꾼다. 마스킹은 원본 접근 권한 자체를 없애는 암호화나 인가의 대체재가 아니다.

2. 구성요소와 관계

3. 보안 설계 절차

1. 데이터·처리 분류: 민감도, 법적 요구, 유출·변조·중단 영향을 기록한다.
2. 주체와 업무 정의: 사용자, 운영자, 애플리케이션, 배치, 외부 연계의 필요한 행위를 정의한다.
3. 접근통제 설계: 역할·속성·승인·직무분리와 객체·행·열 수준 권한을 매핑한다.
4. 보호 통제 배치: 전송·저장·백업 암호화, 비운영 마스킹, 뷰, 감사 범위를 정한다.
5. 운영 절차 설계: 계정 수명주기, 키 회전·복구, 로그 검토, 비상권한, 사고 대응을 정한다.
6. 시험과 재검토: 허용·거부 테스트, 권한 우회, 복구, 로그 완전성, 퇴사·역할변경 시나리오를 검증한다.

4. 사례·텍스트 다이어그램

사례: 운영 DB를 개발 환경으로 복제

운영 DB(주민번호 원문)
   └─ 잘못된 복제 → 개발 DB(공용 DBA 계정, 전체 조회 가능)

권장 흐름
운영 추출 승인 → 필요한 행·열 최소화 → 정적 마스킹 → 검증 → 개인/서비스 역할 부여 → 감사

주민번호 열만 화면에서 별표 처리해도 개발자가 원본 테이블을 직접 조회할 수 있다면 보호가 되지 않는다. 비운영 반출 전 정적 마스킹, 최소 데이터 추출, 개인별 계정·역할, 복제 작업 감사와 삭제 기한을 함께 적용해야 한다.

5. 비교와 구분

시험 판단 포인트

• 인증, 인가, 감사는 각각 신원 확인, 허용 행위 결정, 행위 추적이다.
• 최소 권한은 단순히 권한 수를 줄이는 것이 아니라 업무에 필요한 객체·행위·기간으로 제한하는 원칙이다.
• 직무분리는 중요 업무의 승인·실행·검증을 한 사람에게 집중시키지 않는다.
• 암호화는 키 관리와 함께 설계해야 하며, 암호화만으로 정당한 권한을 가진 사용자의 오남용을 막지는 못한다.
• 비운영 환경·백업·로그에도 민감 데이터 보호 정책을 적용한다.

자주 틀리는 부분

• RBAC의 역할을 사용자 그룹 이름 정도로만 보고 역할 누적·상충 권한을 검토하지 않는다.
• 감사 로그를 수집만 하고 무결성·보존·정기 검토를 설계하지 않는다.
• 화면 마스킹이 원본 테이블 접근까지 차단한다고 오해한다.
• 운영 DB만 보호하고 개발·테스트 복제와 백업 매체를 제외한다.
• DBA 권한은 업무상 필요하므로 최소 권한과 직무분리의 예외라고 단정한다.