네트워크 보안 정책의 최소 구성 요소란?
네트워크 보안 정책은 조직의 정보 자산과 네트워크 인프라를 각종 위협으로부터 보호하기 위한 기본 틀입니다. 아무리 고성능의 기술적 방어 장치를 도입하더라도, 체계적인 보안 정책이 뒷받침되지 않으면 조직을 안전하게 지키기 어렵습니다. 이 글에서는 네트워크 보안 정책에 반드시 포함되어야 할 최소 구성 요소와 함께 관련 핵심 개념들을 정리합니다.
네트워크 보안 정책에 포함되어야 할 항목
완성도 높은 네트워크 보안 정책에는 다음과 같은 요소들이 포함되어야 합니다.
- 정보 보안의 목표: 조직이 달성하고자 하는 보안 목표를 명확히 정의합니다.
- 접근 통제 및 권한 정책: 물리적 보안과 논리적(기술적) 보안을 모두 아우르는 접근 권한 규정입니다.
- 데이터 분류 체계: 데이터의 중요도에 따른 등급 분류 기준을 마련합니다.
- 데이터 관련 서비스 및 운영 절차: 데이터 처리와 운영에 관한 표준 절차를 규정합니다.
- 보안 인식 및 대응 행동 강령: 구성원이 보안 문제를 인식하고 적절히 대응할 수 있도록 하는 지침입니다.
- 개인별 권리와 책임: 각 구성원의 역할, 권한, 책임을 명문화합니다.
네트워크 정책(NPS)의 정의
네트워크 정책은 사용자나 장치가 네트워크에 연결될 수 있는 조건과 제약 사항, 그리고 연결이 허용되는 상황을 정의합니다. NPS(Network Policy Server)는 권한 부여 과정을 거쳐 사용자나 컴퓨터가 네트워크에 접속할 자격이 있는지를 판단합니다.
기술적 보안 정책의 3대 구성 요소
기술적 보안 프로그램의 가장 중요한 세 가지 축은 보안 인식(Awareness), 교육(Training), 훈련(Education)입니다. 성공적인 보안 인식 교육 프로그램은 계획, 실행, 유지, 평가의 단계를 체계적으로 거쳐야만 실질적인 효과를 발휘합니다.
특정 이슈 보안 정책(ISSP)의 구성 요소
ISSP(Issue-Specific Security Policy)는 특정 주제에 초점을 맞춘 보안 정책으로, 다음 내용을 포함해야 합니다.
- 정책이 다루는 범위를 설명하는 목적 진술서
- 직원의 접근 권한 및 시스템 사용 정보
- 회사 기술 자산 사용 시 허용·금지 행위에 대한 제한 사항
- 정책 위반 시 취해질 제재 조치
- 회사에 일정 수준의 법적 보호를 제공하는 면책 조항
네트워크 보안 정책이 반드시 필요한 이유
네트워크 보안 정책은 네트워크 자산을 어떻게 보호해야 하는지에 대한 정책과 지침을 담고 있습니다. 이를 통해 해당 자산에서 보안 위험이 발생하지 않도록 사전에 예방하는 것이 핵심 목적입니다.
네트워크 보안 정책의 중요성
조직의 네트워크 보안 정책은 컴퓨터 네트워크 접근에 대한 지침과 그 시행 방식을 정의하고, 보안 정책이 실제로 어떻게 적용되는지를 포함한 네트워크의 운영 구조 전반을 결정합니다.
네트워크 정책의 예시
허용 가능 사용 정책(Acceptable Use Policy) 외에도 재해 복구, 백업, 아카이빙, 페일오버(fail-over) 정책 등이 네트워크 정책에 포함됩니다. 예를 들어 네트워크 접근 권한은 업무를 수행하는 사람에게만 부여되며, 접속 전에 업무 목적 외 용도로 사용하지 않겠다는 동의서에 서명하도록 요구하는 경우가 일반적입니다.
네트워크 정책의 3가지 구성 요소와 그 목적
IEEE 802.1X 인증 구조를 기준으로 하면 네트워크 정책은 세 가지 구성 요소로 이루어집니다.
- 요청자(Supplicant): 네트워크에 접속하려는 클라이언트로, 접속 요청을 제출합니다.
- 통과 인증자(Pass-through Authenticator): 클라이언트와 인증 서버 사이에서 인증 메시지를 중계합니다.
- RADIUS 서버: 실제 인증을 수행하고 접속 허용 여부를 최종 결정합니다.
네트워크 정책이란 무엇인가?
일반적으로 네트워크 정책은 네트워크상에서 장치가 어떻게 작동해야 하는지를 규율합니다. 정부가 주(state)나 지역(district)의 운영 방식에 대한 정책을 정의하듯, 네트워크 관리자도 조직의 장치가 어떻게 작동해야 하는지에 대한 정책을 직접 정의할 수 있습니다.
정보 보안의 3대 핵심 요소
정보 보안의 근본 원칙은 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability), 즉 흔히 말하는 'CIA 삼원소'입니다. 정보 보안 프로그램과 조직이 구현하는 모든 보안 통제는 최소한 이 세 원칙 중 하나 이상을 염두에 두고 설계되어야 합니다.
IT 보안 정책 인프라의 구성 요소
포괄적인 IT 보안 정책 인프라에는 바이러스 대비 절차, 침입 탐지, 사고 대응, 원격 근무 규정, 감사(audit), 직원 요구 사항, 미준수 시 결과, 징계 조치, 퇴사자 처리, IT 물리적 보안, 지원 연락처 등이 포함됩니다.
보안 정책의 5대 구성 요소
보안 정책이 완전성을 갖추려면 다섯 가지 핵심 요소가 필요합니다. 바로 기밀성, 무결성, 가용성, 진정성(Authenticity), 부인 방지(Non-repudiation)입니다.
보안 통제의 3대 범주
보안 통제는 크게 세 가지 영역으로 나눌 수 있습니다.
- 관리적 보안 통제(Management Security Control): 보안 정책, 절차, 위험 관리 등 조직 차원의 통제
- 운영적 보안 통제(Operational Security Control): 보안 인식 교육, 접근 통제 절차 등 일상 운영의 통제
- 물리적 보안 통제(Physical Security Control): 출입 통제, CCTV, 잠금장치 등 물리적 환경의 통제
마무리
네트워크 보안 정책은 단순한 문서가 아니라 조직의 보안 태세를 지탱하는 기반입니다. 목표 정의, 접근 통제, 데이터 분류, 교육과 훈련, 위반 시 제재까지 최소 구성 요소를 빠짐없이 갖추면, 기술적 방어와 더불어 견고한 보안 체계를 만들 수 있습니다.