クイズ: アカウントのライフサイクルと監査

'퇴사자가 SaaS 에 여전히 로그인 가능'한 사고의 가장 흔한 근본 원인은?

• 프로비저닝 부재 — SSO 는 신원만 확인할 뿐 개별 시스템의 계정 생성·삭제는 별개다
• SSO 프로토콜 자체의 세션 종료 규격이 느슨해 로그아웃이 전파되지 않아서
• 비밀번호 정책이 약해 퇴사자가 예전 비밀번호를 그대로 쓸 수 있어서
• 다중 인증이 없어 계정을 잠가도 우회 로그인이 가능하기 때문에

인사 명부(A)와 디렉터리 계정(B)을 대사할 때 B - A 가 의미하는 것은?

• 입사했는데 계정이 없는 사람 (업무 지연)
• 퇴사했는데 계정이 남아 있는 유령 계정 (보안 위험)
• 부서가 일치하지 않는 사람
• 장기 미접속 계정

퇴사자 계정을 삭제하지 않고 비활성화·격리하는 이유로 적절하지 않은 것은?

• 그 사람이 남긴 데이터의 작성자·담당자 참조가 깨지기 때문
• 접근 이력 등 감사 자료 보존 요건이 있기 때문
• 디렉터리 서버의 성능이 저하되기 때문
• 재입사 시 이력을 이어 갈 수 있기 때문

인사 시스템과의 대사에서 자동으로 누락되며, 동시에 권한이 센 경우가 많아 감사 지적 순위가 높은 계정은?

• 입사 처리와 계정 생성 시점이 어긋나기 쉬운 신입사원 계정
• 권한이 넓고 사용 이력이 적어 점검에서 빠지기 쉬운 임원 계정
• 인사 원천에 없고 계약 종료 시점이 제각각인 협력사 상주 인력 계정
• 배치·연동·벤더 유지보수처럼 사람이 아닌 계정

권한을 개인에게 직접 부여하지 않고 역할 그룹에만 부여하는 이유는?

• 그룹이 더 빠르게 조회되어서
• LDAP 이 개인 권한 부여를 지원하지 않아서
• 개인 부여가 쌓이면 6개월 뒤 누가 무슨 권한을 가졌는지 전체 그림을 알 수 없게 되기 때문
• 그룹은 자동으로 만료되기 때문

부서 그룹(dev-team)과 역할 그룹(role-deploy)을 섞어 쓰면 안 되는 이유는?

• 그룹 이름이 길어져서
• 조직 개편이 일어날 때마다 업무 권한이 함께 무너지기 때문
• LDAP 스키마가 허용하지 않아서
• 그룹 수가 늘어나 성능이 나빠져서