접근통제모델 비교 표 (MAC / DAC / RBAC)
| 구분 | MAC (Mandatory) 강제적 접근통제 | DAC (Discretionary) 임의적 접근통제 | RBAC (Role-Based) 역할기반 접근통제 |
|---|---|---|---|
| 정책 주체 | 조직/시스템(중앙 정책) | 객체 소유자(사용자) | 조직의 역할(Role) |
| 권한 부여 기준 | 보안등급/레이블(기밀구분, 허가 등) | 소유자 판단에 따른 ACL/권한 | 역할 ↔ 권한 매핑, 사용자 ↔ 역할 매핑 |
| 대표 기술/표현 | 라벨 기반(예: Bell–LaPadula, Biba), MLS | ACL, 능력(캡빌리티) | RBAC0~RBAC3(표준), 세분화된 역할 계층 |
| 전파/상속 | 등급 규칙으로 엄격 통제(전파 최소) | 소유자가 권한 위임 가능(복사/전파 위험) | 역할 계층(상위 역할 권한이 하위에 상속) |
| 보안 수준 | 매우 높음(정보 유출 방지에 강함) | 비교적 낮음(권한 남용/전파 위험) | 높음(직무 분리·최소권한 구현 용이) |
| 유연성/편의성 | 낮음(변경 어려움) | 높음(간편하지만 통제 약함) | 높음(조직 변경에 유연) |
| 관리 난이도 | 높음(레이블 관리 복잡) | 낮음~중간(소유자 자율 관리) | 중간(역할 설계가 핵심) |
| 변경 용이성 | 낮음(정책·레이블 재조정 필요) | 높음(소유자 즉시 변경) | 높음(역할만 바꾸면 대량 반영) |
| 주요 장점 | 기밀성/무결성 강력 보장 | 사용 편의성, 단순한 권한 부여 | 직무분리, 최소권한, 감사 용이 |
| 주요 단점 | 운영 경직, 비용↑ | 권한 확산, 보안취약 가능 | 역할 폭발(Role explosion) 위험 |
| 주요 적용처 | 군/정부, 국방·정보기관 | 소규모 팀/개인 소유 파일 | 기업 정보시스템, 대규모 조직 |
한눈에 잡는 시험 포인트 🔍
-
MAC: “중앙 정책 + 보안 등급/라벨”이 키워드. 강제적, 정보유출 방지(예: 상향/하향 읽기 규칙)와 가장 강한 보안 대신 운영 경직.
-
DAC: “소유자 중심 + ACL”이 키워드. 쉬운 대신 권한 전파/남용 위험.
-
RBAC: “사람 → 역할 → 권한” 2단 매핑이 핵심. 직무분리/최소권한 구현과 감사에 강함. 단, 역할 설계가 중요(역할 폭발 주의).
외우기 팁
-
“강-임-역”: 강제(MAC)는 등급, 임의(DAC)는 소유자, 역할(RBAC)은 조직 직무.
-
조직이 커질수록: DAC → RBAC → (고보안이면) MAC.
