망분리 환경을 처음 맡았을 때 가장 당황스러웠던 건 정책 자체가 아니라 운영체제 간의 온도차였습니다. Windows 쪽 정책은 GPO로 어느 정도 손에 익었는데, Mac 단말이 섞이는 순간 관리 포인트가 두 배로 늘어나는 걸 실무에서 보면 체감하게 됩니다. 이 글은 그 간극을 줄이는 방법을 실제 운영 관점에서 정리한 내용입니다.
망분리 환경에서 Windows와 Mac 단말을 별도 콘솔로 관리하면 정책 불일치와 감사 누락이 발생하기 쉽습니다. MDM과 그룹정책을 계층화하고, 공통 베이스라인을 먼저 정의한 뒤 OS별 예외를 관리하는 방식이 실무에서 가장 안정적입니다. 통합 콘솔 도입 전에는 정책 매핑 문서화가 선행되어야 합니다.
망분리 환경에서 단말 관리가 복잡해지는 이유
망분리 환경은 인터넷망과 업무망이 물리적 또는 논리적으로 분리되어 있다 보니, 패치 배포나 정책 동기화가 일반 환경보다 한 단계씩 더 걸립니다. Windows는 오랫동안 GPO와 SCCM 기반으로 운영되어 왔기 때문에 망분리 상황에서도 로컬 정책 서버를 두는 방식이 비교적 정립돼 있습니다.
문제는 Mac입니다. Mac은 애초에 기업 환경보다 개인 사용자 중심으로 설계된 배경이 있다 보니, 망분리 조건에서 MDM 서버와의 통신 자체가 막히는 경우가 많습니다. 이건 직접 겪어보면 체감되는데, APNs(Apple Push Notification service) 연동이 안 되는 순간 원격 정책 배포가 사실상 무력화됩니다.
결국 두 OS의 정책 배포 경로 자체가 다르다는 걸 전제로 설계하지 않으면, 나중에 감사 시점에서 왜 Mac 단말만 정책 미적용 상태로 남아있는지 설명하기 어려워집니다.
공통 보안 베이스라인 설계 방법
OS가 다르더라도 통제 항목의 ‘의도’는 동일해야 합니다. 화면 잠금 시간, USB 제어, 디스크 암호화, 백신 상태 보고 주기 같은 항목을 먼저 조직 공통 기준으로 문서화하고, 그 다음에 Windows는 GPO/Intune, Mac은 MDM 프로파일로 구현 방식만 나눠서 매핑하는 순서가 맞습니다.
많이들 여기서 막히더라고요. 도구부터 먼저 선정하고 정책을 끼워 맞추려다 보니, Windows 전용 기능 위주로 베이스라인이 짜이고 Mac은 뒤늦게 예외 처리 대상이 되어버립니다.
이 부분이 핵심입니다. 베이스라인은 통제 목적 기준으로 먼저 확정하고, 구현은 OS별로 따로 설계해야 나중에 도구를 교체하더라도 정책 체계 자체는 흔들리지 않습니다.
공통 베이스라인에 포함할 최소 항목
- 화면 잠금 및 자동 잠금 시간 기준
- 이동식 저장매체(USB) 제어 정책
- 디스크 전체 암호화 적용 여부 (BitLocker / FileVault)
- 백신 및 EDR 에이전트 상태 보고 주기
- OS 및 보안 패치 최신화 기준일
- 미승인 애플리케이션 실행 제어
Windows와 Mac 정책 차이 비교
같은 통제 목적이라도 실제 구현 방식은 꽤 다릅니다. 아래 표는 실무에서 가장 자주 비교되는 항목을 정리한 것입니다.
| 통제 항목 | Windows | Mac |
|---|---|---|
| 정책 배포 체계 | GPO, Intune, SCCM | MDM 프로파일 (Jamf, Kandji 등) |
| 디스크 암호화 | BitLocker | FileVault |
| 원격 배포 의존성 | 내부망 자체 서버로 구성 가능 | APNs 등 외부 연동 필요한 구조가 많음 |
| USB 제어 | 레지스트리 기반 세밀 제어 | 프로파일 기반 통제, 세밀도는 상대적으로 낮음 |
| 패치 관리 | WSUS 등 내부 배포 서버 운영 용이 | 망분리 환경에서 업데이트 서버 구성이 까다로움 |
통합 관리 도구 선택 기준
초보 관리자와 실무자의 차이가 가장 크게 드러나는 지점이 이 도구 선택 단계입니다. 초보자는 “Windows와 Mac을 한 콘솔에서 볼 수 있는가”를 최우선으로 보는데, 실무자는 그보다 “망분리 구간에서 에이전트가 정상적으로 통신 가능한가”를 먼저 확인합니다.
왜 이 방식이 실제로 더 잘 먹히는지 설명하자면, 통합 콘솔이 아무리 좋아도 망분리 구간에서 통신이 끊기면 정책이 반영됐는지조차 확인할 수 없기 때문입니다. 확인이 안 되는 정책은 감사에서 존재하지 않는 것과 같은 취급을 받습니다.
도구를 고를 때는 다음 순서로 검토하는 편이 안전합니다.
- 망분리 구간 내 자체 릴레이 서버 구성이 가능한지
- Windows/Mac 정책 항목이 실제로 얼마나 겹치는지
- 감사 로그를 하나의 형식으로 통합 출력할 수 있는지
- 정책 미반영 단말을 자동으로 식별하고 알림을 줄 수 있는지
실무 팁 — 도구 도입 전에 반드시 PoC 구간에서 망분리 환경 그대로 재현해보세요. 벤더 데모는 대부분 완전 개방망 기준으로 진행되기 때문에, 실제 폐쇄망 통신 테스트를 거치지 않으면 도입 후에 통신 불가 이슈가 뒤늦게 터집니다.
정책 적용 체크리스트
정책을 배포하고 나서 끝이 아닙니다. 적용 여부를 주기적으로 확인하는 절차가 없으면 시간이 지나면서 정책과 실제 단말 상태가 서서히 어긋납니다.
- 신규 단말 반입 시 베이스라인 정책 자동 적용 여부 확인
- 월 1회 이상 정책 미적용 단말 리스트 추출
- Windows/Mac 각각의 로그를 동일한 보고 주기로 취합
- USB 등 이동식 매체 사용 이력 정기 점검
- OS 업데이트로 인한 정책 프로파일 호환성 확인
이 체크리스트를 분기마다 돌리는 것과, 도입 시점에 한 번만 확인하고 방치하는 것은 감사 결과에서 완전히 다른 평가를 받습니다.
흔한 오해와 실제 원인
“Mac은 어차피 수가 적으니 수동으로 관리해도 된다”는 생각을 종종 봅니다. 하지만 수가 적을수록 오히려 관리 체계에서 빠지기 쉽고, 감사 시점에 예외 처리 근거를 따로 마련해야 하는 부담이 커집니다.
또 하나는 “통합 콘솔을 도입하면 정책 차이가 자동으로 해결된다”는 오해입니다. 콘솔은 관리 창구를 하나로 모아줄 뿐이고, OS별 구현 차이 자체는 여전히 관리자가 매핑해야 하는 영역입니다. 이 부분을 착각하면 도구 도입 후에도 감사에서 같은 지적을 반복해서 받게 됩니다.
망분리 환경에서 두 OS를 함께 운영해본 분들이라면 이 지점에서 한 번쯤 비슷한 경험이 있으실 겁니다. 어떤 부분에서 가장 많이 막히셨나요?
지금 바로 실행할 수 있는 것부터 시작해보세요. 현재 운영 중인 Windows GPO 항목과 Mac MDM 프로파일 항목을 나란히 놓고, 통제 목적 기준으로 매핑 여부를 표로 정리해보는 작업부터 해보시길 권합니다. 이 표 하나만 만들어도 어디가 비어있는지 바로 보입니다.
혹시 지금 사용 중인 MDM/GPO 조합이 있으신가요? 어떤 조합으로 운영하고 계신지 댓글로 공유해주시면 다음 글에 참고하겠습니다.
망분리 환경에서 겪었던 가장 까다로웠던 정책 이슈는 무엇이었나요?
다음 글 추천
- EDR 에이전트 폐쇄망 배포 시 통신 예외 처리 가이드
- 보안 감사 대응을 위한 단말 로그 통합 수집 방법
본 포스팅은 정보 전달 목적이며, 실제 적용 시 발생하는 책임은 사용자에게 있습니다.