다음 중 접근통제의 원칙에 대한 설명으로 올바르지 않은 것은? | [정보보안기사 필기] 22년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 22년 1회차
다음 중 접근통제의 원칙에 대한 설명으로 올바르지 않은 것은?
1
시스템 주체에게 권한을 부여할 때에는 조직의 업무효율을 떨어뜨리지 않게 주체의 업무에 필요로 하는 만큼 충분한 권한이 부여되어야 한다.
2
경영자나 관리자 한 사람이 업무의 발생, 승인, 변경, 확인, 배포 등을 처음부터 끝까지 처리할 수 없도록 해야 한다.
3
보안정책에 따른 접근 허용된 주체와 주체의 접근 가능한 접근통제 규칙을 설정하고, 접근규칙에 해당하지 않는 모든 접근에 대해서는 위반으로 간주한다.
4
금지된 주체와 객체의 리스트들에 대해서 미리 접근통제 규칙을 설정하고, 접근 통제 규칙에 설정되지 않은 모든 접근에 대해서는 허용한다.
해설
이 문항은 실제 시험에서 전항정답으로 처리된 문항입니다. 출제 오류로 판단되어 어느 선택지를 골라도 정답으로 인정되었습니다. 여기서는 채점을 위해 한 선택지만 정답으로 두었으니, 다른 것을 고르셨더라도 틀린 판단이 아닙니다.
접근통제의 최소권한 원칙은 주체가 업무 수행에 필요한 최소한의 권한만 부여받아야 한다는 것이지, 업무 효율 저하를 막기 위해 '충분한' 권한을 부여해야 한다는 설명은 이 원칙과 맞지 않는다.
권한 부여는 필요 최소한으로 제한하는 것이 원칙이며, 업무 편의를 이유로 권한 범위를 넉넉하게 잡는 것은 오히려 최소권한 원칙에 반하는 접근이다.
업무의 발생부터 승인·배포까지 한 사람이 처리하지 못하도록 하는 직무분리, 허용된 규칙 외 모든 접근을 위반으로 간주하는 화이트리스트형 통제, 금지 목록 외 접근을 허용하는 블랙리스트형 통제는 모두 접근통제의 올바른 원칙에 해당한다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.