Missing header Content-Security-Policy

고객사에서 위와 같은 문제를 해결하라고 해서요.
프로그램은 ASP로 짜여져 있습니다.

web.cofing 파일에서 

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Content-Security-policy" value="default-src https: data: 'unsafe-inline' 'unsafe-eval'" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

라고 넣어주었는데,
해결이 안되었다고 처리하라고 다시 연락이 왔네요.
default-src 'self' 를 하고 싶은데,
그러면 웹페이지의 이미지나 스크립트들이 하나도 적용이 안됩니다. ㅠ.ㅠ
self 가 자기 도메인것을 허용하는 것으로 알고있는데, 
모두 자기도메인내의 소스들인데 왜 안되는것인지 알수가 없네요.

고수님들 도움 부탁드립니다.
감사합니다.