📋 취약점 개요
개인정보처리시스템 접근권한은 업무 수행에 필요한 최소 범위로 차등 부여하고, 인사이동·퇴직 시 지체 없이 변경·말소해야 합니다. 권한 부여·변경·말소 기록은 최소 3년 보관합니다.
🖥️ 상태 비교 시뮬레이션
privacy$ (취약)
# 권한 현황 점검
audit$ list_roles --system=crm
>> 전 직원 142명 중 128명이 회원 전체 조회 권한
>> 퇴사자 계정 9개 활성 · 공용계정 "admin" 공유
→ 책임추적성 상실 · 내부자 유출 위험 최대
🔧 조치 방법
- 직무별 권한 매트릭스를 정의하고 최소 권한 원칙으로 재부여합니다.
- 개인정보취급자별 개별 계정을 발급해 책임추적성을 확보하고 공용·공유 계정을 폐지합니다.
- 인사정보와 연계해 이동·퇴직 시 권한이 자동 변경·말소되도록 합니다(공공시스템은 의무).
- 권한 부여·변경·말소 내역을 기록하고 최소 3년간 보관하며 정기적으로 검토합니다.
- 장기 미접속 계정은 자동 잠금·삭제 정책을 적용합니다.
✅ 점검 체크리스트
- 직무별 최소 권한이 적용됨
- 개인별 계정이 발급되고 공용계정이 없음
- 권한 변경·말소 이력 3년 보관됨
근거: 안전성 확보조치 기준 제5조 · PIA 4.1.1, 4.1.9~4.1.11