네트워크 세분화
[Network Segmentation]네트워크를 보안 요구 수준이나 업무 기능에 따라 여러 구역(세그먼트)으로 나누고 구역 간 통신을 통제하는 보안 설계 방식을 말한다.
침해사고가 발생해도 공격이 다른 구역으로 번지는 횡적 이동(lateral movement)을 제한하고, 취약하거나 중요한 시스템을 나머지 네트워크에서 격리하는 데 목적이 있다. 가상근거리통신망(VLAN), 방화벽, 외부 공개 서비스를 격리하는 비무장지대(DMZ) 등이 대표적인 구현 수단이다.
소프트웨어 정의 네트워킹(SDN) 등을 이용해 애플리케이션이나 워크로드 단위까지 네트워크를 잘게 나누는 방식은 마이크로 세그멘테이션(microsegmentation)이라고 한다. 사용자와 기기별 접근권한을 세밀하게 통제할 수 있어 제로 트러스트를 구현하는 핵심 수단으로 활용된다.
ISO/IEC 27002:2022 통제항목 8.22 ‘Segregation of networks’도 같은 취지의 통제다. 영문의 segmentation과 segregation은 모두 네트워크를 여러 보안영역으로 나누는 의미로 사용되며, 두 용어의 구분이 엄격하게 통일돼 있지는 않다.
국내의 망분리 규제는 주로 인터넷망과 내부 업무망의 분리·차단을 의무화한 제도인 반면, 네트워크 세분화는 내부망을 포함한 전체 네트워크를 보안 수준과 업무 기능에 따라 여러 구역으로 나누는 일반적인 보안 설계 방식이다. 구역을 나눈다는 점에서는 겹치지만 적용 범위와 규제 의무 여부가 다르다.