A.8.20
네트워크 보안
기술적 통제확인사항 6증적 6사례 6
통제 목적
네트워크 및 네트워크 장치를 안전하게 관리하고 통제하여, 네트워크를 경유하는 정보와 이를 지원하는 시스템/서비스를 무단 접근, 도청, 변조, 서비스 거부 등의 위협으로부터 보호하기 위한 통제입니다. 네트워크는 내부 시스템 간 연결과 외부와의 연결 경로를 모두 포함하므로, 신뢰수준이 다른 영역을 분리하고 경계와 세그먼트 간 트래픽을 통제하며, 전송 구간의 기밀성/무결성을 보장해야 합니다. 또한 네트워크 활동을 지속적으로 기록/모니터링하여 이상 징후를 탐지하고 대응할 수 있어야 합니다.
주요 확인사항
- 네트워크 구성도/자산 목록이 최신 상태로 관리되고, 신뢰수준에 따라 영역(DMZ, 내부망, 관리망 등)이 분리되어 있는가?
- 경계 및 세그먼트 간 접근통제 정책이 최소 권한 원칙에 따라 정의되고, 방화벽/ACL 등에 반영되어 있는가?
- 네트워크 장비의 보안 설정 기준(기본 비밀번호 변경, 불필요한 서비스/포트 차단, 관리 접근 제한)이 마련되고 적용되는가?
- 원격 접속, 무선, 외부 연결 구간에 암호화 및 인증이 적용되고 있는가?
- 네트워크 트래픽에 대한 로깅/모니터링이 이루어지고, 이상 징후를 탐지/경보하는 체계가 운영되는가?
- 승인되지 않은 기기가 네트워크에 접속하지 못하도록 접속 기기를 식별/인증하고, Telnet 등 취약한 프로토콜을 비활성화하는가?
이행 지침
- 네트워크를 신뢰수준에 따라 영역(공개/DMZ, 내부 업무망, 관리망, 개발망 등)으로 분리하고, 영역 간 트래픽은 방화벽/ACL로 기본 차단 후 필요한 흐름만 허용(default deny)하도록 구성합니다.
- 네트워크 장비의 기본 비밀정보 변경, 불필요한 기본 계정/서비스/포트 비활성화, 관리 인터페이스 접근 제한과 펌웨어 갱신을 기준으로 정합니다. 기본 계정 이름이 남아 있다는 사실과 기본 자격증명이 노출된 상태를 구분합니다.
- 원격 관리에는 SSH/HTTPS 등 보호된 프로토콜을 사용합니다. 외부/무선/원격 연결에는 사용자/기기/서비스 유형에 맞는 인증과 암호화를 적용하며, 고위험 사용자 접근은 MFA로 강화합니다. 모든 링크에 VPN이나 대화형 MFA가 필요하다고 가정하지 않습니다.
- 네트워크 장비 및 보안 시스템의 로그를 중앙(로그 서버/SIEM)으로 수집하고, 임계치 기반 경보와 이상 트래픽 탐지(IDS/IPS, NDR 등)로 침해/오용 징후를 상시 모니터링합니다.
- 802.1X/NAC 등으로 네트워크에 접속하는 기기를 식별하고 인증하여 승인되지 않은 기기의 접속을 막고, Telnet 등 취약한 프로토콜은 비활성화합니다. 네트워크 서비스 공급자와 합의할 보안 요구사항과 서비스 수준은 A.8.21에 따라 관리합니다.
- 네트워크 구성 변경은 변경관리(A.8.32) 절차를 따르고, 방화벽 정책/ACL을 주기적으로 검토하여 미사용/과도한 허용 규칙을 제거하며 구성도를 최신으로 유지합니다.
증적자료
- 네트워크 구성도 및 네트워크 자산/영역 목록
- 방화벽/ACL 정책 및 정책 검토(주기적 재검토) 기록
- 네트워크 장비 보안 설정 표준 및 설정 적용 내역(스냅샷/점검 결과)
- 원격/무선/외부 접속에 대한 암호화 및 인증 설정 내역(VPN, 다중 인증 등)
- 네트워크/보안 장비 로그 수집 및 모니터링/경보 설정과 이상 탐지 대응 기록
- 네트워크 접속 기기 인증(802.1X/NAC 등) 설정과 취약 프로토콜 비활성화 점검 결과
부적합 사례
- 신뢰수준이 다른 영역이 분리되지 않아 외부에서 접근 가능한 시스템과 내부 핵심 시스템이 동일 네트워크에 혼재된 경우
- 방화벽 정책에 목적/근거가 불명확한 과도한 허용(any-any) 규칙이 존재하고 주기적으로 검토되지 않는 경우
- 네트워크 장비의 기본 비밀번호가 그대로 사용되거나 불필요한 관리 서비스가 외부에 노출된 경우
- 원격/무선 접속 구간에 암호화나 강화된 인증이 적용되지 않아 도청/무단접속 위험이 있는 경우
- 네트워크 장비 로그가 수집/모니터링되지 않아 침해 시도나 이상 트래픽을 탐지할 수 없는 경우
- 네트워크에 접속하는 기기를 식별/인증하지 않아 승인되지 않은 기기가 내부망에 연결될 수 있는 경우