망분리 기술사양서: 보안 요구사항과 구축 기준
망분리 구축 기술사양서에 담아야 할 물리적·논리적 분리 구성, 보안·성능·운영 요구사항과 작성 시 유의점을 정리한다.
2026-08-14 · 최초 발행 2025-06-28
내부 자산을 외부 위협에서 분리하는 기준
망분리(Network Separation)는 내부망과 외부망을 물리적 또는 논리적으로 갈라 외부 위협으로부터 내부 자산을 보호하는 정보보호 체계다. 외부 해킹과 악성코드 감염, 내부 정보 유출을 막아 정보자산을 보호하는 데 목적이 있다.
「전자금융감독규정」, 「개인정보보호법」, 「정보통신망법」 등에 따라 금융기관, 공공기관, 개인정보처리자 등에는 망분리 의무가 적용된다. 랜섬웨어와 APT 공격이 늘면서 망분리는 규제 대응을 넘어 조직의 보호 체계로 다뤄진다.
망분리 기술사양서는 구축에 필요한 기술 요구사항과 구성 방식, 구현 방법을 공식 문서로 정리한다. 이 문서는 프로젝트 범위와 목표를 분명히 하고, 필요한 기술 요소와 성능 기준을 제시하며, 구축 후 운영 및 유지보수 방안까지 다룬다. 발주자와 수주자가 기술적 합의를 남기는 기준점이기도 하다.
사양이 불명확하면 요구사항 해석 차이로 프로젝트가 지연될 수 있다. 구축 이후 성능이나 보안성이 기대에 미치지 못해 재작업이 생기거나, 기관의 업무 환경과 맞지 않는 분리 방식 때문에 효율이 떨어질 수도 있다.
물리적으로 분리된 환경에 명시할 항목
물리적 망분리는 내부망과 외부망을 물리적으로 완전히 나누어 구성하는 방식이다. 사양서에는 내부망·외부망의 네트워크 토폴로지, 물리적 케이블링 구성, 통신장비 배치가 드러나야 한다.
업무용 PC 이중화 요구사항도 포함한다. 내부망용과 외부망용 PC의 CPU, RAM, 저장장치 사양, 각 PC의 운영체제와 패치 수준, USB 포트 차단이나 블루투스 비활성화 같은 하드웨어 보안 요구사항을 정한다.
망간 자료전송이 필요한 경우에는 데이터 디오드와 망연계 장치의 사양, 전송할 수 있는 파일 형식과 크기 제한, 승인 절차와 로깅 요구사항을 함께 정의한다.
가상화 기반 분리 환경의 사양
논리적 망분리는 하나의 물리적 PC에서 가상화 기술로 내부망과 외부망을 분리한다. 가상화 플랫폼의 종류와 버전, VDI·하이퍼바이저 등 적용 대상, 가상 머신의 vCPU와 vRAM 사양, 가상 네트워크 구성과 격리 방안을 사양에 담는다.
단말 환경에서는 클라이언트 PC 최소 사양, 가상 데스크톱 접속 클라이언트 사양, 인증 시스템 연동 방식을 정한다. 가상 데스크톱 간 통신 제한, 클립보드 공유와 파일 전송 통제, 화면 캡처 방지 및 출력 통제 역시 보안 통제 요구사항으로 명시한다.
사양서에서 합의해야 할 보안·성능·운영 기준
보안 요구사항은 접근통제 정책, 데이터 보안, 엔드포인트 보안으로 나눠 구체화한다. 접근통제에는 2FA와 생체인증 등의 사용자 인증 방식, 권한별 접근통제 매트릭스, 비정상 접근 탐지 및 차단 방안이 포함된다. 데이터 영역에서는 저장 데이터 암호화 방식과 강도, 전송 데이터 암호화 프로토콜(TLS 버전 등), 키 관리 방안과 주기를 정한다. 엔드포인트에는 백신/EDR 솔루션, 패치 관리 체계, 불필요 서비스와 포트 차단 방안을 포함한다.
성능 요구사항은 내·외부망 대역폭, 최대 동시 사용자 수용 능력, 지연시간(Latency) 허용 기준을 기준으로 작성한다. 가상 데스크톱 구동 시간, 애플리케이션 실행 응답 시간, 파일 전송 처리 시간도 검토 대상이다. 가용성에서는 시스템 업타임 보장 수준(99.9% 이상 등), 장애 복구 시간 목표(RTO), 백업 및 복구 요구사항을 정한다.
운영과 유지보수 영역에는 실시간 모니터링 대상과 방법, 로그 수집 범위 및 보관 기간, 알림 설정과 대응 프로세스를 담는다. 장애 유형별 대응 절차와 에스컬레이션 체계, 비상 복구 계획(DRP)을 마련하고, 정기 패치·업데이트 절차, 구성 변경 승인 체계, 변경 이력 관리도 함께 정리한다.
조직과 규제가 요구사항에 반영되는 방식
사양은 조직 규모, 업종, 취급 정보의 민감도에 따라 달라진다. 기존 IT 인프라와의 연계성, 사용자 업무 패턴과 요구사항 분석 결과를 문서에 반영해야 한다.
규제 측면에서는 「전자금융감독규정」 제15조(해당 시), 「개인정보보호법」 시행령 제48조의2, 「정보통신망법」 제45조, 기관별 정보보호 관리체계(ISMS) 인증 요구사항을 확인한다. 클라우드 기반 망분리 솔루션, 제로트러스트(Zero Trust) 아키텍처, AI 기반 이상행위 탐지 기술의 활용 가능성도 검토 범위에 넣을 수 있다.
요구사항에서 승인까지의 문서화
작성은 이해관계자 인터뷰, 업무 프로세스 분석, 보안 위험 평가를 통해 요구사항을 모으는 단계에서 시작한다. 이후 물리적·논리적 망분리의 적합성을 분석하고 하이브리드 방식과 비용 대비 효과를 검토한다.
초안에는 네트워크 구성도, 하드웨어·소프트웨어 요구사항, 세부 보안 통제 방안을 담는다. 기술 전문가와 보안 담당자가 검토하고 사용자 대표의 의견을 수렴한 뒤 보완한다. 최종본은 경영진 승인, 문서 버전 관리, 이해관계자 공유 절차를 거쳐 배포한다.
구축 사례에서 확인할 요구사항
금융기관의 물리적 망분리 구축에서는 개인금융정보 보호를 위한 완전한 물리적 분리가 요구됐다. 기술사양에는 내부망·외부망 업무용 PC 이중화, 일방향 전송장치를 포함한 망간자료전송시스템, 통합인증시스템(SSO) 연계가 포함됐고, 금융감독원 보안점검 통과와 정보유출사고 ZERO를 성과로 제시했다.
공공기관의 논리적 망분리 구축은 업무 효율성을 유지하면서 보안을 강화하는 데 초점을 뒀다. VDI 기반 가상 데스크톱 환경, 망간 자료 전송 통제와 이력 관리, 문서 워터마킹 및 DRM 연계를 사양에 담았으며 사용자 만족도 향상과 행정안전부 보안성 평가 우수 등급 획득이 성과였다.
중소기업의 클라우드 기반 망분리 구축에서는 최소 비용의 보안 강화가 요구사항이었다. 클라우드 VDI 서비스, 브라우저 가상화 기반 웹 접근 통제, 모바일 기기 접속 보안 정책을 적용했고 초기 투자비용 절감과 유연한 확장성을 확보했다.
업무 흐름과 확장성을 놓치지 않는 방법
사용자 업무 특성을 반영하지 않으면 업무 효율 저하로 불만과 우회 시도가 늘 수 있다. 주요 업무 프로세스를 미리 분석하고 사용자 대표의 참여를 유도하며, 파일럿 테스트 뒤 피드백을 반영해야 한다.
보안 요구사항을 과도하게 설정하면 시스템 복잡성과 비용이 커지고 구축이 지연될 수 있다. 위험 기반 접근법으로 핵심 보안 통제와 선택적 통제를 구분하고, 단계적 구현 전략을 수립한다.
확장성을 고려하지 않은 설계는 조직 성장 시 재구축과 추가 비용으로 이어진다. 3~5년 성장 예측을 반영하고 모듈화된 아키텍처와 확장 가능한 라이선스 정책을 검토한다.
망분리 기술사양서는 명확한 기술요건과 이해관계자 합의를 통해 구축의 기준을 만든다. 조직 특성, 법적 규제, 업무 효율성을 함께 고려하고, 구축 후에도 정기적인 위험 평가와 사양 갱신으로 변화하는 위협에 대응해야 한다.