VRF 테이블 분리 등의 기술적인 부분만 해결이 된다면, 유선과 무선망이 완전히 분리가 가능하다고 봐도 될까요? 실은 보안점검 체크리스트에 이러한 내용들을 충분히 기술할 수 있어야 해서요.

망분리는 다양하게 구성이 가능합니다. 다만 감사기관에서 어디까지 인정해 주는지 확인이 필요하고, 어디까지 망을 분리할 것인지 어떻게 구성할 것인지 [요구사항 정의서]를 토대로 디자인을 해야합니다. 망분리를 요청한 부서나 기관이 있다면 담당자와 상의하는 것이 우선일 것 같습니다.

발주처의 보안 체크리스트에서는 그냥 무선와이파이를 통한 내부 시스템 접속이 제한되어 있는지만 확인하도록 되어 있습니다.

단순히 무선망이 내부 시스템 접속이 안되게 설정만 되어도 된다면, 아루바 무선 제품의 경우 각 AP는 컨트롤러를 통해서만 통신이 되도록 터널방식의 설정이 가능합니다. 이후 컨트롤러에서 무선 사용자는 내부 접속은 하지 못하도록 정책을 설정하면 간단하게 보안 체크리스트를 만족할 수 있습니다.[https://s3.damoang.net/data/editor/2602/0e0c772.png]

친절한 설명 감사드립니다.

유선 네트워크에 연결된 컴퓨터에는 보안프로그램이 설치되어 있어서 USB나 기타 저장장치로 복사가 불가능하며, 인가되지 않은 파일의 메일 첨부가 안되도록 조치되어 있습니다. 현재는 사옥 건물이 그렇게 크지 않아 별도의 인터넷망과 공유기를 간단하게 추가해서 직원들에게 무선 와이파이를 제공하고 있어서 망 분리가 되어 있는데, 회사 이전을 하면서 네트워크를 새로 구축하게 된 상황입니다.
전산담당자가 네트워크 공사를 발주를 냈는데, 망분리를 위해서 기존 외부 인터넷 라인이 아닌 VPN단에서 망이 분리된 백본으로 각 층에 스위칭 허브를 별도로 설치해야 한다고 해서 스위칭 허브를 각 두 Set씩 발주를 냈더라구요. 그러다 보니 견적가가 3억이 넘어가게 되는 상황에서 저는 굳이 비싼 시스코 광스위칭 허브까지 필요하겠냐는 것이고 대신 VLAN으로 논리적으로 망을 분리하면 되지 않을까 하는 생각을 하고 있는 상황입니다.

무선인터넷망은 회사 네트워크 접속용이 아니고 복지(?) 차원에서 직원들과 내방 고객들의 스마트폰을 사용하기 위한 그냥 일반 인터넷 무선 와이파이를 제공하기 위한 목적이라서 그렇게까지 공사를 해야 하나 싶기도 합니다.

단순 서비스용 게스트망은 회의실 한정으로 SSID 분리하고 VLAN으로 쪼개서 완전 분리해서 제공하면 됩니다. 정 귀찮으면 그냥 해당 층에 기업용 인터넷 싼거 하나 설치하고 그걸로 대충 공유기를 매쉬 형식에 인증 조금 걸어서 쓰는게 나아요. 그리고 (가능하다면) SSID에 접속할 때 내부 신청 후 8시간 정도만 쓸 수 있는 임시 계정을 발급할 수 있도록 하는 방안으로 가면 되고요. 이 회선으로 내부 직원이 붙어서 다른 짓을 안할꺼라는 보장이... 없습니다. 직원에서 WIFI를 제공하는 것보다 그냥 LTE/5G 쓰라고 하고 회사 차원에서 복지(?)로 통신비 5~10만원 지원하는게 더 낫습니다. (업무를 사외에서 폰으로 연속성을 가지라는 의미도 함께 부여할 수 있기도 하고요...)

이번에 회사 이사하시는 것 같은데.. 이 기회에 서버 접속 관련 네트워크를 가만히 두고 PC 네트워크를 다시 디자인하시는게 좋을꺼 같습니다. 기본적으로 모든 기기는 사내라할지라도 서버 접속은 차단한다/공통망만 허용/필요시 별도로 신청으로 말이죠. 이게 왜 필요하냐하면 VPN으로 접속할 수 있는 범위는 업무를 위한 서비스단이 되어야지, PC단이 되어서는 안되기 때문 입니다. (PC단은 서버단보다 보안 수준이 낮고 관리가 한단계 낮다고 보셔야 합니다.)

자... 그러면 문제가 되는게 또 생기죠. 사외에서 업무는 어떻게 해야하는가? 라는거요. 기본 업무는 이메일이로 소통하고 파일도 이메일 안에 포함되면 되는 공간입니다. 이메일은 애초에 열려 있을꺼니까 업무에 문제가 되지는 않을겁니다. 아예 M365나 Google Workspace 같은거 쓰시면 더 강력한 정책을 적용하실 수도 있을 뿐 아니라 통신비 지원에 대해서도 보다 강력한 이유를 만들어낼 수 있습니다.