권한 관리자란 무엇인가…직원별 접근 범위는 이렇게 나뉜다

권한 관리자는 조직이나 시스템에서 구성원 각자가 어떤 기능과 자료에 접근하고 수정할 수 있는지를 정하고 통제하는 역할 또는 도구를 가리키는 말이다. 회사가 커지고 다루는 프로그램이 늘어날수록 누가 무엇을 볼 수 있고 누가 무엇을 고칠 수 있는지를 사람의 기억에만 맡길 수 없게 되고, 이때 필요해지는 것이 바로 권한 관리자라는 개념이다. 이 글은 권한 관리자가 실제로 무엇을 나누는 장치인지, 화면과 구조는 어떻게 생겼는지, 조직 차원의 권한 관리와 기기 차원의 권한 관리가 왜 서로 다른 이야기인지, 그리고 도입 전에 무엇부터 확인해야 하는지를 차례로 짚는다.

한 사람이 모든 자료를 다 볼 수 있는 구조는 관리가 편해 보이지만 실수나 유출의 위험을 키운다. 인사 정보를 다루는 담당자와 매출 자료를 다루는 담당자가 같은 권한을 가질 이유가 없고, 신입 구성원과 오래 근무한 관리자가 같은 범위를 볼 이유도 없다. 권한 관리는 이런 차이를 구조적으로 나누어 두는 일이며, 권한 관리자는 그 나누는 기준을 만들고 유지하는 사람 또는 프로그램을 가리킨다.

권한 관리는 실제로 무엇을 나누는 일인가

권한 관리에서 나누는 것은 크게 두 갈래다. 하나는 어떤 화면과 기능에 들어갈 수 있는가이고, 다른 하나는 들어간 뒤에 무엇을 할 수 있는가이다. 후자는 다시 읽기만 가능한지, 내용을 고칠 수 있는지, 아예 지우거나 새로 만들 수 있는지로 나뉜다. 이렇게 사람 하나하나에게 권한을 따로 주는 대신 역할을 먼저 만들고 그 역할에 권한을 묶은 뒤 사람을 역할에 배정하는 방식을 흔히 역할 기반 접근 통제라고 부른다.

역할 기반으로 권한을 관리하면 구성원이 바뀌어도 역할만 재배정하면 되므로 관리가 단순해진다. 열람 전용 역할, 편집 가능 역할, 전체 관리 역할처럼 몇 단계로 나눠 두면 새로운 사람이 들어와도 그 역할만 부여하면 되고, 퇴사자가 생기면 역할을 회수하는 것만으로 접근을 차단할 수 있다. 이 방식은 특정 회사의 것이 아니라 업무용 소프트웨어 전반에서 널리 쓰이는 일반적인 설계 원칙이다.

권한 관리자 화면과 UI는 무엇을 보여주는가

실제 권한 관리자 화면, 즉 UI는 대체로 세 가지 정보를 한 자리에서 보여주도록 설계된다. 구성원 목록과 각자의 소속, 그 구성원이 속한 역할이나 그룹, 그리고 역할별로 허용된 기능의 범위다. 관리자는 이 화면에서 표 형태로 정리된 권한 매트릭스를 보며 누가 어디까지 접근할 수 있는지를 한눈에 점검하고, 필요하면 몇 번의 조작으로 범위를 넓히거나 좁힐 수 있다.

화면에는 흔히 알림 기능도 함께 들어간다. 권한 관리자 알림은 새로운 구성원이 추가되거나, 누군가의 권한이 상위 단계로 바뀌거나, 평소와 다른 시간과 장소에서 접속이 이뤄졌을 때 담당자에게 이를 알려 주는 기능이다. 권한을 나누는 것만큼이나 그 권한이 어떻게 쓰이고 있는지를 확인하는 절차가 중요하기 때문에, 알림은 장식적인 기능이 아니라 관리 체계의 한 축으로 다뤄진다.

조직의 권한 관리와 기기의 권한 관리는 다른 이야기다

여기서 한 가지 헷갈리기 쉬운 지점이 있다. 권한 관리자라는 말은 회사 안에서 직원별 접근 범위를 나누는 시스템을 가리키기도 하지만, 스마트폰 운영체제 안에서 개별 앱이 위치 정보나 카메라, 저장소에 접근하도록 허용할지 말지를 정하는 화면을 가리키기도 한다. 안드로이드 기기의 설정 안에 있는 권한 관리자는 뒤쪽 의미에 해당하며, 이는 회사 조직도와 무관하게 기기 하나 안에서 앱과 사용자 사이의 접근을 정리하는 기능이다. 두 가지는 이름이 같아 보여도 다루는 대상이 전혀 다르므로, 필요한 것이 업무 시스템의 권한 관리 솔루션인지 아니면 개인 기기의 앱 권한 설정인지를 먼저 구분해 두는 것이 좋다.

영어권에서는 이 개념을 흔히 접근 통제, 즉 access control이나 신원과 접근을 함께 다루는 identity and access management라는 말로 부른다. 권한 관리 영어로라는 표현으로 이를 찾는 경우가 많은데, 어느 쪽 용어를 쓰든 가리키는 것은 결국 누가 무엇에 접근할 수 있는지를 정하고 기록하는 체계라는 점에서 같다.

흔히 어긋나는 지점과 도입 전에 확인할 것

실제 운영에서 자주 어긋나는 지점은 권한을 나눈 뒤 그대로 방치하는 경우다. 처음에는 신중하게 역할을 나누어 두고도 시간이 지나며 임시로 권한을 넓혀 준 뒤 되돌리지 않거나, 퇴사자의 접근을 늦게 회수하는 일이 흔히 생긴다. 또한 권한 관리 시스템을 도입하면서 너무 세밀하게 단계를 쪼개면 오히려 관리 자체가 번거로워져 현장에서 지켜지지 않는 경우도 있다.

그래서 권한 관리 솔루션을 고를 때는 기능이 많은지보다 구성원 규모와 조직 구조에 맞게 역할을 몇 단계로 나눌 수 있는지, 그리고 권한 변경 이력이 남는지를 먼저 살피는 것이 실질적으로 도움이 된다. 아래는 조직 차원의 권한 관리 시스템과 기기 차원의 권한 관리자를 나란히 견줘 정리한 것이다.

권한 관리자를 도입하거나 점검할 때는 화려한 기능보다 우리 조직의 역할 구조를 먼저 정리하는 것이 순서다. 업무 시스템의 권한 관리를 찾고 있다면 역할별 접근 범위와 변경 이력 확인 기능을 살피고, 스마트폰의 앱 권한을 정리하고 싶다면 기기 설정 안의 권한 관리자 메뉴에서 앱별 허용 항목을 하나씩 확인하면 된다. 어느 쪽이든 공식 도움말이나 설정 화면의 안내를 통해 현재 구조를 직접 확인해 보는 것이 가장 정확하다.

· · · · · · · · · ·

스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.