기업 네트워크 접근제어 도입을 위한 구매 전 점검 항목

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

허가받지 않은 노트북 한 대가 회의실 랜 포트에 연결되거나, 퇴사자의 계정이 무선망에 남아 있다면 방화벽만으로는 대응하기 어렵습니다. 네트워크 접근제어, 즉 NAC는 사용자와 단말을 식별하고 정해진 보안 기준을 통과한 접속만 허용하는 장비입니다. 문제는 제품마다 인증 방식과 차단 범위, 라이선스 기준이 달라 기능표만 보고 구매하면 운영 단계에서 예상치 못한 비용이 생긴다는 점입니다.

도입 검토를 시작했다면 제품 시연보다 먼저 현재 접속 환경을 기록해야 합니다. 아래 점검 항목은 사무실 네트워크, 지사, 무선망, 업무용 단말과 비업무용 기기가 섞인 기업 환경에서 견적 요청서와 기술 검증 기준으로 바로 활용할 수 있도록 구성했습니다.

도입 목적과 관리 대상을 먼저 확정하는 사전 조사

차단하려는 위험을 한 문장으로 정의하기

NAC 구매가 어려워지는 가장 흔한 이유는 목표가 ‘보안 강화’처럼 넓기 때문입니다. 외부 노트북의 유선망 접속을 막으려는 것인지, 백신이 꺼진 업무용 PC를 격리하려는 것인지, 방문객 무선망을 분리하려는 것인지에 따라 필요한 기능이 달라집니다. 담당 부서가 원하는 결과를 누가, 어떤 단말로, 어느 네트워크에 접속할 수 있는가라는 문장으로 바꾸면 제품 비교가 쉬워집니다.

예를 들어 임직원에게 지급한 노트북만 내부 업무망에 연결하도록 하는 것이 목적이라면 단말 식별과 사용자 인증, 미등록 장비 차단이 핵심입니다. 반면 프린터, IP 전화기, CCTV까지 관리해야 한다면 에이전트를 설치할 수 없는 장비를 분류하는 기능과 MAC 주소 위·변조 대응, 프로파일링 정확도를 더 꼼꼼히 확인해야 합니다.

• 접속 주체: 임직원, 협력사, 방문객, 외주 유지보수 인력을 구분합니다.
• 관리 단말: PC와 모바일뿐 아니라 프린터, 전화기, 카메라, 출입통제 장비를 집계합니다.
• 적용 구간: 본사 유선망, 사내 Wi-Fi, 서버 구간, 공장망, 지사망 중 우선 범위를 정합니다.
• 통제 행동: 접속 허용, 완전 차단, 격리망 이동, 사용자 안내 중 필요한 조치를 선택합니다.
• 예외 대상: 경영진 단말이나 생산 설비처럼 즉시 차단이 어려운 장비의 승인 절차를 정합니다.

라이선스 수량을 좌우하는 접속 단말 집계

견적의 기준이 등록 단말 수인지, 동시 접속 수인지, 관리 IP 수인지 반드시 구분해야 합니다. 평소 온라인 장비가 700대라도 재택 단말과 방문객 기기, 장기간 연결되지 않은 자산까지 등록 수량에 포함되면 1,000대 라이선스가 필요할 수 있습니다. 반대로 동시 접속 기준이라면 출근 집중 시간과 전사 교육일처럼 최대치가 발생하는 시점을 측정해야 합니다.

네트워크의 기본 개념과 연결 구조를 함께 확인하면 단말만 세는 오류를 줄일 수 있습니다. NAC는 개별 PC뿐 아니라 스위치, 무선 컨트롤러, DHCP·DNS 및 인증 서버와 연동되므로 구성 요소와 트래픽 경로까지 조사 대상에 포함해야 합니다.

현장 팁: 자산관리대장의 숫자를 그대로 견적에 넣지 말고, 스위치 MAC 테이블과 DHCP 임대 기록을 최소 일주일간 대조해 실제 최대 접속량을 찾는 편이 안전합니다.

기존 IT 인프라와 연동 범위를 확인하는 기술 점검

스위치와 무선 장비의 호환성 검증

NAC가 단말을 발견해도 기존 스위치가 필요한 제어 방식을 지원하지 않으면 접속을 즉시 차단할 수 없습니다. 구매 전에는 제조사 이름만 전달할 것이 아니라 스위치의 정확한 모델명, 운영체제 버전, 관리형 여부, SNMP 및 802.1X 지원 상태를 목록으로 제공해야 합니다. 오래된 허브나 비관리형 스위치가 중간에 있으면 해당 구간의 단말 위치를 포트 단위로 식별하기 어렵습니다.

차단 방식도 비교해야 합니다. 802.1X 기반 인증은 정책을 정교하게 적용할 수 있지만 인증 서버와 스위치 설정, 단말 배포가 필요합니다. SNMP를 이용한 포트 제어는 기존 환경에 적용하기 비교적 수월하지만 잘못된 포트를 차단할 위험을 검증해야 합니다. ARP 제어나 인라인 구성은 네트워크 구조와 장애 영향이 다르므로 공급사 설명만 듣지 말고 실제 장비로 시험해야 합니다.

인증·보안 시스템과 데이터 연결하기

사내 계정이 Active Directory나 LDAP에 있다면 사용자 조직과 직급, 재직 상태를 NAC 정책에 반영할 수 있는지 확인합니다. 인사 이동이 잦은 조직에서는 수동 그룹 관리보다 계정 디렉터리와의 자동 동기화가 중요합니다. 다중 인증이나 사내 인증서가 이미 운영 중이라면 인증서를 다시 발급해야 하는지, 기존 PKI를 그대로 사용할 수 있는지도 기술 검증 항목입니다.

백신, EDR, 패치 관리, MDM과 연동하면 보안 상태가 기준에 미달한 단말을 격리할 수 있습니다. 다만 ‘연동 가능’이라는 표현만으로는 부족합니다. 실시간 API 연동인지 주기적 파일 수집인지, 장애가 발생했을 때 기존 접속을 유지하는지, 데이터 지연 시간은 얼마인지 확인해야 합니다. IT가 조직의 업무와 정보를 연결하는 범위는 IT 용어 설명에서도 살펴볼 수 있으며, NAC 역시 단독 보안 장비보다 여러 시스템을 잇는 운영 플랫폼으로 평가하는 편이 현실적입니다.

1. 스위치·AP·무선 컨트롤러의 모델과 버전을 수집합니다.
2. AD, LDAP, RADIUS, 인증서 서버의 연동 방식을 확인합니다.
3. 백신·EDR·MDM에서 제공할 상태 정보와 갱신 주기를 정합니다.
4. SIEM 또는 통합 로그 시스템에 보낼 이벤트 항목과 포맷을 요청합니다.
5. 연동 시스템이 중단됐을 때 허용·차단 중 어떤 정책이 적용되는지 시험합니다.

기능 시연과 견적에서 빠지기 쉬운 구매 조건

실제 업무 시나리오로 기능을 검증하기

공급사가 준비한 시연은 정상적인 접속과 차단을 보여주는 데 집중됩니다. 구매자는 자신의 환경에서 자주 발생하는 예외 상황을 시험해야 합니다. 직원이 유선에서 무선으로 이동했을 때 동일 사용자로 추적되는지, 도킹 스테이션을 교체하면 신규 단말로 잘못 판단하지 않는지, 절전 모드에서 돌아온 PC가 반복 인증을 요구하지 않는지 확인해 보세요.

PoC에서는 탐지율뿐 아니라 오탐과 복구 과정도 기록해야 합니다. 중요한 회의 중 정상 노트북이 차단됐다고 가정하고 사용자가 확인할 안내 문구, 헬프데스크의 해제 절차, 관리자 감사 로그가 모두 남는지 살펴봅니다. 정책 한 줄을 변경했을 때 전체 지점에 적용되는 시간과 실패 장비를 찾는 방법도 운영 품질을 가르는 기준입니다.

• 미등록 노트북을 빈 랜 포트에 연결해 탐지·차단 시간을 측정합니다.
• 보안 패치가 누락된 단말을 격리하고 조치 후 자동 복귀 여부를 확인합니다.
• 프린터와 IP 전화기처럼 에이전트 설치가 불가능한 장비를 자동 분류합니다.
• 고정 IP를 임의로 입력하거나 MAC 주소를 변경한 단말의 대응 결과를 기록합니다.
• 관리 서버 재부팅, 연동 서버 장애, 지사 회선 단절 상황에서 업무망이 유지되는지 시험합니다.
• 관리자 권한을 역할별로 나누고 정책 변경 이력이 남는지 검증합니다.

PoC 합격 기준은 ‘차단 성공’ 하나가 아닙니다. 정상 단말의 업무 방해가 없고, 오탐을 담당자가 빠르게 설명하고 복구할 수 있어야 실제 운영에 적합합니다.

초기 구매가와 운영비를 분리한 견적 읽기

NAC 비용은 장비 가격만으로 비교하면 왜곡되기 쉽습니다. 관리 서버 또는 가상 어플라이언스, 센서, 단말 라이선스, 고가용성 구성, 구축 인력, 유지보수와 교육 비용을 같은 기간으로 환산해야 합니다. 2026년 견적을 받을 때는 부가세 포함 여부와 무상 유지보수 기간, 다음 갱신 시 적용되는 라이선스 단가까지 서면으로 요청하는 것이 좋습니다.

특히 지사 수가 늘어날 때 센서를 추가 구매해야 하는지, 단말 구간이 상위 등급으로 넘어가면 전체 라이선스가 재산정되는지 확인하세요. 영구 라이선스는 초기 비용이 크지만 장기 운영 예측이 쉬울 수 있고, 구독형은 시작 부담이 낮은 대신 기능 업데이트와 기술지원 조건이 계약 종료 시점에 묶일 수 있습니다. 자체 운영 인력이 부족하다면 저렴한 제품보다 정책 설계와 장애 대응을 포함한 서비스 조건이 총비용을 줄일 수 있습니다.

1. 필수 비용: 서버, 센서, 라이선스, 설치와 기본 정책 설정을 구분합니다.
2. 선택 비용: 이중화, 지사 센서, 방문객 관리, 단말 보안 점검 모듈을 따로 표시합니다.
3. 반복 비용: 연간 유지보수, 구독 갱신, 인증서와 외부 연동 비용을 확인합니다.
4. 증설 조건: 단말 수와 지사 수 증가 시 단가 구간 및 장비 한계를 계산합니다.
5. 지원 범위: 원격·현장 대응 시간, 야간 지원, 교체 장비 제공 조건을 계약서에 적습니다.

업무 중 차단 사고를 줄이는 단계적 적용 방식

탐지에서 격리까지 정책을 천천히 높이기

독자들이 가장 자주 묻는 질문은 “NAC를 설치하면 정상 직원의 인터넷까지 갑자기 끊기지 않나요?”입니다. 답은 제품 자체보다 적용 순서에 달려 있습니다. 첫날부터 전사 차단 정책을 켜면 자산대장에 없는 프린터나 인증서가 만료된 노트북이 한꺼번에 막힐 수 있습니다. 최소한 탐지, 알림, 제한적 격리, 전면 통제의 단계를 거쳐야 업무 충격을 낮출 수 있습니다.

첫 단계에서는 2주 이상 관찰 모드로 운영하면서 단말 종류, 사용자, 접속 위치와 예외 장비를 수집합니다. 다음에는 IT 부서처럼 대응이 빠른 소규모 그룹에 안내 정책을 적용하고, 차단 대신 포털 메시지로 조치를 요청합니다. 오탐 유형이 줄어들면 방문객망과 회의실처럼 영향이 제한된 구역부터 미등록 단말을 격리하고 마지막에 핵심 업무망으로 범위를 넓힙니다.

네트워크는 여러 장치가 통신 규칙을 공유하는 구조이므로 한 지점의 정책 변경이 다른 구간에 영향을 줄 수 있습니다. 네트워크 구성에 관한 추가 설명을 참고해 물리·논리 구간을 구분하고, 본사에서 검증한 정책을 지사에 그대로 복사하기 전에 스위치와 회선 환경의 차이를 확인해야 합니다.

1. 관찰 단계: 차단 없이 접속 데이터를 모으고 미등록 자산의 소유 부서를 찾습니다.
2. 안내 단계: 정책 위반 사유와 사용자가 직접 수행할 조치를 화면에 표시합니다.
3. 시험 격리: IT 부서와 테스트 VLAN에서 차단 및 자동 복구 절차를 반복합니다.
4. 구역 확대: 방문객망, 공용 공간, 일반 사무망, 핵심 업무망 순으로 적용합니다.
5. 비상 복구: NAC 장애 시 우회 정책과 승인권자, 원복 명령, 연락망을 문서화합니다.

정상 단말이 막혔을 때의 답변과 복구 기준

정상 사용자가 차단되면 먼저 임의로 정책을 해제하기보다 사용자 계정, 단말 식별값, 접속 스위치 포트, 위반 정책과 발생 시간을 함께 확인합니다. 인증서 만료인지, 보안 프로그램 상태 정보가 늦게 도착한 것인지, 도킹 스테이션 때문에 MAC 주소가 바뀐 것인지에 따라 조치가 달라지기 때문입니다. 임시 허용이 필요하다면 대상과 만료 시간을 지정하고 승인자 및 사유를 로그에 남겨야 예외가 영구적인 보안 구멍으로 변하지 않습니다.

복구 목표도 미리 수치화하는 편이 좋습니다. 일반 직원 단말은 헬프데스크가 정해진 절차로 신속히 복구하고, 생산 설비나 콜센터처럼 중단 영향이 큰 구간은 차단보다 경고를 우선하도록 별도 정책을 둘 수 있습니다. 구매 계약 전 공급사에 실제 장애 티켓 예시와 로그 판독 교육, 정책 백업·복원 시연을 요청하면 ‘설치 후 운영’에 필요한 역량까지 비교할 수 있습니다.

• 차단 안내 화면에 사유, 조치 방법, 헬프데스크 연락처가 표시되는지 확인합니다.
• 임시 허용에는 자동 만료 시간을 두고 관리자 개인 판단만으로 영구 예외를 만들지 않습니다.
• 정책 변경 전 백업과 승인 절차를 두며 변경 후 정상 접속 표본을 검사합니다.
• 월별로 오탐 건수, 평균 복구 시간, 미등록 단말 수와 반복 위반 단말을 검토합니다.
• 스위치 교체나 사무실 이전 시 호환성 재검증을 네트워크 변경 작업에 포함합니다.