역할기반 접근제어 (Role-Based Access Control)

한 줄 정의: 사용자 개인이 아니라 조직 내 역할(role)을 기준으로 권한을 부여하여 자원에 대한 접근을 관리하는 방식입니다.

쉽게 풀면

회사에서 "팀장"이라는 직책에는 팀 예산 승인 권한이, "사원"이라는 직책에는 그 권한이 없는 것처럼, 사람이 아니라 직책(역할)에 권한을 부여하는 방식입니다. 어떤 직원이 팀장으로 승진하면 자동으로 팀장 권한을 갖게 되고, 퇴사하면 역할이 사라지므로 권한도 함께 사라집니다. 사람 한 명 한 명에게 권한을 일일이 설정하지 않아도 되어 관리가 훨씬 편리해집니다. 대규모 조직의 시스템 관리에서 널리 사용되는 방식입니다.

왜 중요한가

사용자 수가 많은 조직에서 개별 사용자마다 권한을 관리하면 오류와 관리 부담이 커지는데, 역할기반 접근제어는 역할 단위로 권한을 묶어 이 문제를 해결합니다. 정보보안학에서는 역할 계층 구조 설계, 직무 분리(SoD) 정책과의 결합, 대규모 시스템에서의 역할 마이닝(role mining) 기법 등이 연구됩니다.

논문에서는 이렇게 쓰입니다

"제안 모델은 역할기반 접근제어를 클라우드 멀티테넌트 환경에 적용하여 테넌트 간 권한 격리를 강화하였다."

여러 조직이 함께 사용하는 클라우드 환경에서도 역할 단위로 권한을 나누어 관리했다는 의미입니다.

"직무 분리 원칙을 반영한 역할기반 접근제어 정책을 설계하여 내부자 위협으로 인한 권한 남용을 억제하였다."

서로 상충하는 권한이 한 사람에게 몰리지 않도록 역할을 나누어 내부 위협을 줄였다는 뜻입니다.

조금 더 깊게 보면

역할기반 접근제어는 사용자-역할 배정과 역할-권한 배정이라는 두 단계 매핑으로 구성되며, 역할 간 상속 관계를 두는 계층형 모델(RBAC96 등)로 확장될 수 있습니다. 이후 등장한 속성기반 접근제어(ABAC)는 역할뿐 아니라 시간, 위치 등 다양한 속성을 함께 고려하는 방식으로 이를 보완합니다.

주의할 점

역할이 지나치게 세분화되면 오히려 관리가 복잡해지는 "역할 폭발" 문제가 발생할 수 있어, 역할 설계 단계에서 적절한 수준의 추상화가 필요합니다.