최소 권한 접근, 90일 안에 자리 잡게 하는 다섯 단계

최소 권한 원칙에 반대하는 사람은 없습니다. 어려운 것은 이미 넓게 열려 있는 권한을 업무를 멈추지 않고 줄이는 일입니다. 아래 다섯 단계는 여러 조직의 도입 과정에서 반복적으로 효과가 확인된 순서입니다.

1단계 (1–2주차) 현재 권한을 사람 단위로 펼쳐 보기

시작은 목록입니다. 데이터베이스 계정, 서버 접속 키, 클러스터 설정 파일, 관리자 페이지 계정을 모두 모아 실제 사용자와 연결합니다. 공유 계정은 최근 90일 접속 기록으로 누가 쓰는지 추정합니다. 이 단계의 결과물은 '누가 무엇에 접근할 수 있는가'를 한 장으로 보여 주는 표입니다.

2단계 (3–4주차) 실제로 쓰는 권한만 남긴 역할 초안 만들기

권한 목록과 접속 기록을 겹쳐 보면 대부분의 권한은 쓰이지 않고 있습니다. 실제 사용 기록을 바탕으로 역할 초안을 만들되, 역할 이름은 시스템이 아니라 업무에서 가져옵니다. 서비스 개발자, 데이터 분석가, 운영 당직자처럼 사람들이 스스로를 설명하는 말이 좋습니다.

3단계 (5–8주차) 두 방식을 나란히 운영하기

새 정책을 바로 강제하지 마세요. 기존 접근 방식을 유지한 채 새 요청·승인 절차를 함께 열고, 정책 시뮬레이션으로 지난 기록을 새 규칙에 대입해 막히는 경우를 찾습니다. 이 기간에 들어오는 불편 사항이 역할 설계를 다듬는 가장 좋은 재료입니다.

4단계 (9–11주차) 상시 권한을 팀 단위로 회수하기

회수는 한 팀씩, 미리 공지한 날짜에 진행합니다. 회수 당일에는 요청 템플릿과 긴급 권한 절차를 다시 안내하고, 첫 일주일 동안 승인 대기 시간을 따로 확인합니다. 승인이 늦어지면 사람들은 곧바로 우회로를 찾기 때문입니다.

5단계 (12주차 이후) 만료를 기본값으로

마지막으로 모든 권한에 만료 기간을 붙입니다. 연장은 재요청으로만 가능하게 하면, 쓰지 않는 권한이 다시 쌓이지 않습니다. 이후 권한 검토는 분기 행사가 아니라 만료 알림에 답하는 일상 업무가 됩니다.

흔히 놓치는 것

서비스 계정과 배치 작업의 권한도 사람 권한과 같은 표에 올려야 합니다. 사람의 권한만 줄이고 자동화 계정을 그대로 두면, 가장 넓은 권한이 가장 관리되지 않는 곳에 남습니다.