3. 보안 운영 및 형상/구성 관리

보안평가 및 보안운영 기본

보안 운영의 개념, 형상·구성 관리 — 기준선과 변경통제

보안은 “변경 관리”에서 결정되는 경우가 많습니다. 실무 관점으로 정리했습니다.

형태 운영 템플릿핵심 Baseline/Drift목표 추적성·롤백

보안 운영에서 ‘형상/구성 관리’가 왜 중요한가요?

운영 사고의 상당수는 “해킹”이 아니라 변경 과정의 실수(권한/라우팅/정책/인증서/방화벽 룰 등)에서 시작합니다.

형상/구성 관리는 변경을 통제하고, 되돌릴 수 있게 만드는 기본기입니다.

기준선과 변경통제가 있어야 “운영이 가능한 보안”이 됩니다 (PNG)

기본 개념 4개만 잡고 가시면 됩니다

• 기준선(Baseline): 정상 상태의 설정/버전/정책(‘원래 이래야 한다’)
• 드리프트(Drift): 기준선에서 조용히 벗어난 상태(누가/언제/왜 변경했는지 불명)
• 변경통제(Change Control): 요청→검토→승인→배포→검증의 절차
• 추적성(Traceability): 티켓/커밋/릴리즈/로그로 “근거”가 남는 것

‘보안 중심’ 구성관리에서 빠지면 안 되는 항목

영역	관리 포인트	추천 방식
자산 목록	대상이 없으면 통제도 불가	CMDB/인벤토리 + 소유자
표준 설정	최소 보안 기준(예: 계정 정책, 암호화)	벤치마크(CIS 등) + 내부 표준
변경 승인	리스크 높은 변경은 2인 검토	티켓 + 승인자
검증/롤백	배포 후 즉시 확인 + 되돌리기	헬스체크/스모크 테스트

예시: 변경 작업을 ‘Git 커밋 단위’로 쪼개기

사람이 기억하는 운영은 금방 흐려집니다. 파일(설정)과 기록(커밋/티켓)으로 남겨두는 편이 훨씬 강합니다.

# change_request.md (개념 예시)
change_id: CR-2026-0012
scope: "vpn-policy"
risk: "medium"
plan:
  - "stage에서 적용 후 smoke test"
  - "prod 적용(야간)"
rollback:
  - "이전 정책 파일로 즉시 되돌림"
verification:
  - "인증/접속 로그 정상 여부 확인"

운영자 체크리스트

• 현재 설정이 ‘정답’인지(기준선) 누가 책임지는지 정해져 있나요?
• 긴급 변경(Hotfix)도 사후에 티켓/커밋으로 로깅이 남나요?
• 드리프트 탐지(정기 비교/감사)가 돌아가고 있나요?

 

참고 레퍼런스

• NIST SP 800-128 — Guide for Security-Focused Configuration Management
• NIST SP 800-70 Rev.4 — National Checklist Program (보안 체크리스트)
• CIS Benchmarks