네트워크 세그먼트 분리 및 방화벽 룰 최적화 쟁점

핵심 판단

업무·개발·DMZ·개인정보 처리 구간이 세그먼트로 분리되고, 방화벽 정책이 최소권한(Any-Any 금지)·정기 검토·미사용 룰 정리로 관리되는지가 핵심이다.

배경

플랫한 네트워크, Any-Any·광범위 허용 룰, 미사용 룰 누적으로 공격 확산 위험이 커진다. 방화벽 룰 정기 검토가 부재한 경우가 많다.

주요 쟁점 및 심사 포인트

• 업무·개인정보 처리·DMZ 등 구간 분리 여부
• 방화벽 룰 최소권한 원칙 및 Any-Any 룰 존재 여부
• 룰 정기 검토·미사용 룰 정리·변경 승인 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.6.1 네트워크 접근
• 2.10.1 보안시스템 운영
• 2.11.2 취약점 점검 및 조치

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제6조(접근통제)
  • 정보통신망 침입 차단·탐지 및 접근통제 의무 → 세그먼트 분리·방화벽 통제 근거.
• 「전자금융감독규정」 제15조(해킹 등 방지대책)
  • 망분리·침입차단 등 해킹 방지대책.(금융권)

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」 접근통제 부분

심사 시 확인사항 (증적)

• 네트워크 구성도·세그먼트 분리 정책
• 방화벽 룰셋(광범위/미사용 룰) 및 정기 검토 이력
• 룰 변경 승인·기록

주요 결함 사례

개인정보 처리 구간이 일반 업무망과 분리되지 않고, 방화벽에 출처·목적이 불명확한 광범위 허용 룰이 다수 존재함.

보완 대책

1. 구간 분리 재설계 및 개인정보 처리 구간 접근통제 강화
2. 방화벽 룰 최소권한 재정비·정기 검토 및 미사용 룰 정리

연관 쟁점

• [ISSUE-001] 통합 앱 내 신규 부가서비스(모바일 신분증 등) 탑재 시 관리체계 범위 설정 및 망분리 쟁점
• [ISSUE-030] 웹 애플리케이션 보안(WAF) 및 DDoS 대응 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)