https://www.ap-siken.com/kakomon/26_aki/pm01.html
HTTP通信をホワイトリストに入れるのはわかりますが
「社内と社外の間のメール通信」、SMTPなどのポートも
ホワイトリストに入れないといけないのかなと思いましたが
不要でしょうか？

FWは、パケットのヘッダ部をチェックします。これに対して、WAFは、パケットのデータ部をチェックし、このときの許可する通信パターンをホワイトリストに登録し、遮断する通信パターンをブラックリストに登録します。

図2で、2.1、2.2、3.2、3.3はFW、2.3はWAFで制御するものです。

詳しくありがとうございます。
とても参考になりました。お詳しいですね・・・。