관리자 계정이 늘수록 공격 표면도 늘어납니다 — 수명주기 관리

서버실 문을 여는 열쇠가 세 명에게 있고, 그 세 명이 같은 열쇠를 쓴다면, 누가 문을 열었는지 알 수 없습니다. 관리자 계정이 공유되면 같은 문제가 생깁니다. 사고가 났을 때 ‘누가’를 찾을 수 없습니다.

관리자 계정 수명주기 5단계

1. 생성 — 역할 기반 최소 권한 부여 (직급·결재선과 별도)
2. 운영 — 사용자별·명령어별 권한 분리, 세션 기록
3. 점검 — 권한 차등 부여 여부, 비정상 행동 탐지
4. 변경·말소 — 퇴사·역할 변경 시 즉시 권한 회수, 권한 이동 절차 문서화
5. 감사 — 권한 기록 정기 검토

최소 권한 원칙

• 필요한 만큼만, 필요한 기간만
• 사용자별·명령어별 권한 분리
• 권한은 차등 부여, 정기 점검·감사 필수

개념 이미지: 계정 생성부터 말소까지 수명주기와 최소 권한 원칙을 보여 주는 도식입니다.

클라우드 계정 체크포인트

• 하드코딩 인증정보 제거 — 코드에 비밀번호·키를 심지 않기
• VM 메타데이터 인증정보 접근 통제
• 쉐도우 관리자(백도어 계정) 탐지
• 서비스 계정 오남용 점검

정기 점검 기준

• 관리자 계정 수 — 역할별로 정리되어 있는가
• 미사용 계정 수
• MFA 적용률(%)
• 권한 회수시간 — 퇴사 후 며칠 만에 회수되는가

오늘 관리자 계정 목록을 열어 ‘누가 어떤 권한을 갖는지’ 한 장으로 정리해 보세요. Core Company는 역할별 계정 체계와 생성·회수 수명주기를 설계해 드리겠습니다.