지난 글에서는 방화벽 정책 관리의 주요 문제점을 알아보았습니다. 이번 글에서는 방화벽 정책의 효율적인 관리 방안을 살펴보겠습니다.

방화벽 정책의 효율적인 관리 방안은 무엇일까요?

그렇다면 방화벽 정책의 효율적인 관리 방안은 무엇일까요?

1. 먼저 기업, 기관의 업무환경에 맞는 정책관리 기준과 절차를 수립하고 이행하는 것입니다.

기업과 기관에서는 수년간 운영해오던 수많은 방화벽 정책에서 단 한개의 잘못된 삭제가 서비스 중단으로 이어지진 않을까 하는 불안감 때문에 정책 관리를 포기할 수 있습니다.

이러한 사태를 예방하기 위해, 네트워크 Zone 분리를 위한 내/외부 방화벽 서비스 용도에 맞은 운영 기준을 설정해야 합니다. 또한 서비스, 관리/운영, 테스트, 차단 룰 등의 룰 관리 정책을 수립하고 정기적으로 적정성 검토를 수행하는 절차가 필요합니다.

아래 정책 관리 라이프 사이클과 같이 정기적으로 위험분석을 수행한다면 내부 보안 강화에 많은 도움이 될 것입니다.

2. 방화벽의 정책 관리 계획을 수립했다면, 먼저 내부 인프라 환경과 업무 서비스의 정확한 이해가 뒷받침돼야 합니다.

이처럼 다양한 업무 서비스 유형, 네트워크 구성 현황, IP 주소 관리체계 등 인프라 환경에 대한 변경 사항과 업무 이해도를 바탕으로 적용된 정책 분석이 필요합니다. 또한 적용된 정책을 어느 정도의 수준까지 개선할지 목표와 범위를 설정하고 분석해야 합니다. 

마지막으로 방화벽 정책 최적화 컨설팅을 수행하면서 느낀 점은 고객사가 방화벽 정책 관리에 대한 니즈는 있으나, 정책의 수정으로 인해 발생할 수 있는 업무 영향 범위에 대한 부담을 공통으로 느끼고 있다는 것이었습니다. 

상용 솔루션을 통해 방화벽 정책 관리 솔루션을 도입해 운영하는 것은 좋은 대안입니다. 하지만 방화벽 정책 관리 솔루션을 도입했다고 해서 방화벽 정책이 자동으로 최적화되는 것은 아닙니다. 결국 솔루션에서 검출된 레포트 내용을 이해하고, 판단해 적용하는 것은 보안 담당자의 중요한 역할이기 때문이죠. 

앞서 설명한 것처럼 기업 내 인프라 환경과 업무 서비스의 이해도가 낮아 정책 개선을 위한 판단의 어려움을 겪고, 도입된 솔루션을 운영하지 못하는 사례도 있었습니다.

따라서 기업 내 도입된 보안솔루션 운영을 위한 위탁업체와의 업무 프로세스, 업무 R&R을 재점검하고, 보안 솔루션별로 적용된 정책의 적정성을 정기적으로 검토하고 개선해야 합니다. 이러한 보안관리 프로세스를 업무에 적용해 수많은 보안장비의 정책을 더 효율적으로 관리하는 방안을 수립할 수 있습니다.

네트워크 접근통제의 컴플라이언스 요건에 대해 살펴볼까요?

– 개인정보보호법: 개인정보 수집 및 활용 시 개인정보보호법 준수 (제29조, 안전성 확보조치 기준 제6조(접근통제)
– 정보통신망법: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제)
– ISMS-P: 대외서비스용 시스템의 정보통신망법 준수 (제28조, 기술적 관리적 보호조치 기준 제4조(접근통제)

보이지 않는 사각지대에 보안 홀과 위협이 있는지 사전에 점검하고 개선한다면, 내부 비즈니스 환경 변화와 고도화되고 있는 외부 위협에 효과적으로 대응할 수 있을 것입니다.

글 ㅣ LG CNS 사이버시큐리티팀 신용의 책임