Bell-LaPadula·Biba·Clark-Wilson·Chinese Wall 모델의 차이

1장 개념과 보호 목표#

Bell-LaPadula는 기밀성, Biba는 무결성 보호를 중심으로 한 모델입니다. Clark-Wilson은 검증된 거래와 직무 분리로 데이터의 올바른 변경을 통제하고, Brewer-Nash의 Chinese Wall 모델은 이해상충을 접근 이력에 따라 제한합니다.

2장 원리와 구분#

Bell-LaPadula의 대표 규칙은 높은 등급을 읽지 못하는 no read up과 낮은 등급에 쓰지 못하는 no write down입니다. 엄격한 Biba 모델은 낮은 무결성 데이터를 읽지 못하는 no read down과 높은 무결성 영역에 쓰지 못하는 no write up을 사용합니다. 여기서 높고 낮음은 조직의 등급 정책에 따른 것이며 관리자 직급을 뜻하지 않습니다.

3장 비교와 판단 기준#

모델	보호 목표	대표 규칙·조건
Bell-LaPadula	기밀성	No read up·No write down
엄격한 Biba	무결성	No read down·No write up
Clark-Wilson	정당한 거래·변경	검증된 절차·직무 분리
Brewer-Nash	이해상충 제한	접근 이력과 충돌 그룹

4장 네 모델은 보호 목표가 다르다#

기밀성은 정보가 허용되지 않은 곳으로 나가는 문제, 무결성은 잘못된 입력이나 변경이 중요한 상태를 오염시키는 문제입니다. 이해상충은 경쟁하는 고객의 정보를 한 사람이 사용하는 문제입니다. 같은 읽기·쓰기라는 표현도 목표에 따라 다른 조건을 갖습니다.

flowchart TB
 G["보호 목표"] --> C["기밀성: Bell-LaPadula"]
 G --> I["무결성: Biba·Clark-Wilson"]
 G --> W["이해상충: Brewer-Nash"]

5장 Bell-LaPadula의 No read up#

낮은 비밀 등급의 주체가 더 높은 등급의 정보를 읽지 못하도록 합니다. 등급은 조직의 보안 정책이 정의하며 직위나 관리자 여부와 자동으로 같지 않습니다. 공개·내부·기밀 같은 분류를 쓴다면 주체의 허용 등급과 데이터 등급을 대응시켜야 합니다.

등급이 맞아도 업무상 필요와 다른 인가 조건을 적용할 수 있습니다. 해당 모델의 규칙이 한 동작을 허용한다고 전체 업무 권한이 생기는 것은 아닙니다.

6장 No write down이 필요한 이유#

높은 등급의 정보를 읽은 주체가 낮은 등급의 파일에 내용을 쓰면 정보가 흘러내릴 수 있습니다. No write down은 이런 흐름을 제한하는 대표 규칙입니다. 단순히 원본 파일의 읽기 권한만 막는 것으로 충분하지 않은 이유를 보여 줍니다.

기밀 문서를 읽는 주체
→ 공개 문서에 내용을 복사
→ 낮은 등급에 정보 노출
따라서 읽기뿐 아니라 쓰기의 흐름도 제한

7장 엄격한 Biba의 No read down#

높은 무결성의 주체가 낮은 신뢰 수준의 데이터를 읽고 처리하면 결과가 오염될 수 있습니다. 엄격한 Biba의 대표 규칙은 이런 방향을 제한합니다. 여기서 높음은 비밀 등급이 아니라 신뢰·무결성 수준입니다.

외부 입력을 검증해서 중요한 시스템으로 들이는 절차는 별도로 설계해야 합니다. 모든 외부 입력을 영구히 거부하는 업무 시스템을 만들자는 뜻으로 단순화하지 않습니다. 변형과 신뢰 주체의 가정을 명시합니다.

8장 No write up과 높은 무결성 데이터#

낮은 무결성의 주체가 높은 무결성 저장소를 직접 바꾸지 못하게 합니다. 잘못된 데이터·프로세스가 중요한 상태를 변경하는 경로를 제한합니다. 기밀성 모델의 쓰기 방향과 반대인 이유는 보호 목표가 다르기 때문입니다.

모델	읽기 대표 규칙	쓰기 대표 규칙	높음의 의미
Bell-LaPadula	No read up	No write down	비밀 등급
엄격한 Biba	No read down	No write up	무결성 수준

9장 두 모델을 동시에 그대로 적용할 때#

높은 등급이면서 높은 무결성인 주체가 낮은 영역과 데이터를 교환해야 한다면 규칙이 여러 방향에서 제한할 수 있습니다. 필요한 업무 흐름을 확인하고 신뢰 주체·검증·승격·등급 변경의 가정을 정해야 합니다. 기밀성과 무결성을 한 축으로 합쳐 버리면 설명할 수 없습니다.

모델은 정해진 조건에서의 정보 흐름 성질을 분석하는 틀입니다. 구현 취약점·부채널·잘못된 라벨·운영자 행위까지 자동으로 해결하지 않습니다.

10장 Clark-Wilson의 검증된 거래#

회계 데이터는 사용자가 파일을 마음대로 수정하기보다 정해진 거래 절차로 바뀌어야 합니다. 보호 데이터, 상태를 확인하는 절차, 허용된 변경 절차와 사용자의 관계를 정합니다. 절차 자체가 입력·이전 상태·변경 결과의 제약을 유지해야 합니다.

flowchart LR
 U["권한 있는 사용자"] --> T["검증된 거래 절차"]
 T --> C["제약을 유지한 데이터 변경"]
 C --> V["무결성 확인과 기록"]

11장 직무 분리는 계정을 두 개 만드는 것보다 넓다#

신청자와 승인자가 다른 책임을 갖도록 하며 한 사람이 양쪽 역할을 사용해 통제를 우회하지 못하게 합니다. 역할 부여·위임·대리 승인·긴급 예외를 함께 검토합니다. 공유 계정을 쓰면 책임을 구분하기 어려워질 수 있습니다.

승인 뒤 금액이나 수신자가 바뀌는 경우도 확인해야 합니다. 승인된 거래와 실제 변경이 같은 대상인지, 동시 요청과 중단에서 상태가 유지되는지 시험합니다.

12장 Brewer-Nash의 접근 이력#

같은 이해상충 그룹의 경쟁사 A와 B 자료를 취급한다고 가정합니다. 사용자가 A의 비공개 자료를 읽은 뒤 B의 비공개 자료를 읽는 것을 제한할 수 있습니다. 현재 역할만 아니라 과거 접근이 이후 허용을 바꾸는 구조입니다.

충돌 그룹: 경쟁사 A, 경쟁사 B
사용자: A 비공개 자료에 접근
후속 판단: B 비공개 자료 접근 제한
추가 검토: 공개 자료·다른 그룹·정보의 쓰기 이동

13장 읽기만 막아서는 이해상충 흐름이 남는다#

A에서 읽은 내용을 다른 데이터셋에 쓰는 경로까지 고려해야 정보가 간접적으로 이동하는 위험을 분석할 수 있습니다. 충돌 그룹·고객 관계·공개 자료의 처리와 예외를 정합니다. 부서 이동이나 역할 변경이 이미 본 정보를 지우는 것은 아닙니다.

검증에는 초기 접근·같은 고객의 후속 접근·경쟁 고객·다른 충돌 그룹·예외·이력 보존을 포함합니다. 이 모델의 동적 정책을 단순한 고정 권한 목록과 구분하면 적용 범위를 이해하기 쉽습니다.

14장 적용 사례와 운영 방법#

회계 데이터는 누구나 직접 수정하게 두기보다 검증된 거래 절차를 거치게 하고 작성과 승인을 나누는 Clark-Wilson 관점이 유용합니다. 경쟁사 자문 자료를 취급하는 조직은 이미 접근한 고객과 이해상충 그룹을 기록해 이후 접근을 제한할 수 있습니다.

15장 읽기와 쓰기의 방향을 실제 데이터 이동으로 해석한다#

기밀성 모델에서 높은 등급의 정보를 읽어 낮은 등급으로 쓰면 정보가 흘러내립니다. Bell-LaPadula는 이런 흐름을 제한합니다. 엄격한 Biba는 신뢰 수준이 낮은 데이터를 읽어 높은 무결성의 결과에 반영하는 오염을 제한합니다. 같은 높음이라는 표현을 사용하지만 하나는 비밀 등급, 다른 하나는 신뢰 수준이라는 차이가 있습니다.

두 규칙을 동시에 무조건 적용하면 필요한 업무 흐름까지 막힐 수 있습니다. 등급 간 이동을 허용하는 신뢰 주체, 검증·정화 절차와 예외를 모델의 가정으로 명시해야 합니다. 이 모델들은 특정 정보 흐름의 성질을 설명하며 취약점이나 부채널까지 자동으로 제거하지는 않습니다.

16장 회계 승인과 고객 이해상충을 구체화하기#

Clark-Wilson의 관점에서는 보호 데이터에 직접 쓰기 권한을 주기보다 검증된 거래 절차를 통하게 합니다. 송금 신청자와 승인자를 분리하고 승인된 절차만 잔액을 바꾸게 하는 사례가 이에 가깝습니다. 데이터를 검사하는 절차와 변경하는 절차, 누가 어떤 절차를 사용할 수 있는지의 관계가 중요합니다.

Brewer-Nash는 같은 충돌 그룹의 경쟁사 A와 B 중 A의 비공개 정보를 읽은 사용자가 B의 비공개 정보에 접근하는 것을 제한합니다. 단순 부서 역할만으로는 이전 접근 이력을 반영하기 어렵습니다. 충돌 그룹 변경·공개 자료의 처리·정보가 다른 문서로 흘러가는 쓰기 경로도 함께 검토해야 합니다.

17장 적용 전 확인할 사항#

등급과 신뢰 수준을 문서로 정의한다
읽기·쓰기·승인 규칙을 사례로 검증한다
예외·신뢰 주체·접근 이력의 처리 방식을 정한다

18장 자주 묻는 질문#

Biba의 규칙은 모든 무결성 모델에 그대로 적용되나요?#

엄격한 Biba의 대표 규칙입니다. 다른 변형이나 업무 모델은 별도 규칙을 사용하므로 적용하는 모델과 가정을 명시해야 합니다.

No write down이면 높은 등급에 쓰기는 언제나 안전한가요?#

해당 기밀성 규칙에서 허용될 수 있다는 의미입니다. 데이터의 정확성·업무 권한·다른 보안 규칙까지 충족한다는 뜻은 아닙니다.

Chinese Wall은 퇴사나 역할 변경 때 이력을 지우면 되나요?#

이미 알게 된 경쟁사 정보를 역할 변경으로 잊는 것은 아닙니다. 이력의 보존과 예외는 이해상충 정책의 가정을 따라 관리해야 합니다.