제가 속한 조직에서는 본사에서 MITM 하고 있어서 https 쓰건 안쓰건 별로 상관 없고 이것도 저것도 쓰고 있습니다만;
궁금하신게 내부 작업용으로 일부 담당자만 다루고 직접 개발 또는 설치해서 사용하는 경우인가요 아니면 erp 나 이슈 관리처럼 전체 구성원 대상 서비스인가요?
내부망에서만 접근 가능한 서비스인데 https 여부에 대해서 고민할 필요가 있나요?
상황과 목적을 모르는 상태에서 뭐라 의견 드리기도 마땅찮네요.

답변 고맙습니다. 상황 설명이 부족했네요. 사내 개발자를 위한 시스템이 늘어나고 있는데 현재는 http만 사용하고 있습니다. 보안을 고려해서 사내망이라도 https를 이용해야 한다는 의견과 사내망인데 굳이 그럴 필요가 있냐는 의견으로 나뉘고 있습니다. 다른 곳에서는 어떻게들 하고 계신지 궁금해서 질문을 올렸습니다.

서비스 뚫고 들어가서 뭘 할 수 있는지 따라서 얼마나 보안에 공을 들여야 할 지 달라질 거 같습니다.
내부망 웹 서비스에 접근한다는건 내부망 접근 가능한 pc 가 이미 털린 건데, 그럼 로컬에 받아둔 리소스는 이미 다 노출된거고 거기서 추가로 웹 서비스 접속해서 할 수 있는게 뭐가 있을까요; jira 에서 gantt chart 열어보기?

내부에서만 접근 가능한 서비스면 수상한 첨부파일 안 건드리기 같은 게 우선일거 같고 계정 정보 어디 적어놓거나 메신저로 보내주는 것만 피해도 충분하지 않을까요?

구성원 수, 별도 DNS 운영 및 노출 여부 등등에 따라서 다르게 결정해야 하지 않을까요. 자가 서명 루트 인증서로 퉁치려면 클라이언트 마다 인증서 배포하는 것도 일이고, public 인증서+내부망 전용을 쓰자니 비용도 있고, DNS도 맞춰서 운영해야 하고.. 그렇다고 letsencrypt 같은걸 쓰자니 ACME 챌린지 등의 이유로 내부 네트워크의 레이아웃이 나와야하고. 해야 할 일과 추가되어야 할 서비스와 그걸 받쳐줄 구성원의 희생(?) 유무도 봐야하고.. 대충 생각해도 은근 많네요.

네, 내부 통제가 더 중요하겠네요. 처음 답변에 본사에서 MITM한다고 하셨는데 이건 감청(?)을 의미하는 건가요?

아, 인증서 배포와 비용 문제도 중요한 고려사항이네요. 답변 고맙습니다.

네. 모든 것을 볼 수 있고 본다고 알고 있습니다.

씁니다
민감한 정보가 네트워크에 돌아다니면 당연히 해야…

중간자 공격을 하시는군요(?)

보안은 다층적으로 구성해야 합니다.
망분리만으로 목적을 달성할수 있다고 보긴 어려운 상황같네요.

내부자중에 공격자가 없을거란 보장이 가능할까요?

가운데 있는 남자에게 급여를 받고 있는 셈이죠.

다층적으로 보안 방안을 마련하는 일도 쉽지 않은데 내부에 공격자가 없다는 보장, 어려운 문제네요. 좋은 의견 고맙습니다.