[Special Report] BYOD, 이것만은 꼭!

지난 2011년의 키워드가 ‘스마트(Smart)’였다면 2012년의 키워드로는 'BYOD'를 꼽을 수 있다. 전문가가 아니더라도 스마트폰 사용자라면, 또 기업 보안 담당자라면 누구나 한 번 이상은 들어봤을 정도로 BYOD는 최신 트렌드로 자리잡았다. 그렇다면 과연 BYOD는 무엇일까? 도대체 왜 이렇게 BYOD라는 단어가 자주 오르내리는 것일까? 그것이 도대체 기업, 특히 기업 보안과 무슨 상관이길래 어딜 가나 BYOD를 빼고는 이야기를 할 수 없는 것일까? 지금부터 BYOD가 나타나게 된 배경부터 기업의 BYOD 도입에 따른 보안 이슈까지 구체적으로 살펴보자.

 

최근 발표된 국내 이동통신사들의 자료에 따르면, 2012년 3분기 국내 스마트폰 사용자 수가 3000만 명을 넘어선 것으로 나타났다. 스마트폰과 태블릿PC 판매량이 PC를 추월하기 시작했고, 그 추세는 더욱 가속화될 전망이다. 스마트폰의 빠른 확산 속도와 더불어 디바이스 자체도 과거의 피처폰에 비해 넓은 화면과 컴퓨팅 파워 향상, 그리고 모바일 네트워크의 발전으로 스마트폰은 그야말로 손에 들고 다니는 작은 컴퓨터로 활용되고 있다.

 

현대인의 일상 생활 상당 부분을 차지하게 된 스마트폰은 출퇴근 시간은 물론, 업무 시간에도 꼭 필요한 도구가 되었다. 스마트폰을 이용하는 시간이 증가하면서 이를 회사 내에서도, 업무적으로 활용하고자 하는 사용자들의 요구가 증가하고 있다. 회사의 자산으로 이용되는 디바이스뿐만 아니라, 직원이 직접 구매한 개인의 스마트 디바이스를 업무적으로 이용할 수 있도록 연결해달라는 요구, 즉 BYOD(Bring Your Own Device)가 빠르게 확산되고 있다.

 

다양한 스마트 디바이스들이 개인 생활을 넘어 업무 영역으로 밀려 들어오고 있기 때문에 기업에서는 기업 정보 자산 보호 차원에서 모바일 디바이스에 대한 관리를 고민하지 않을 수 없게 되었다. 기업 및 기관은 내부 직원들이 스마트 디바이스를 활용하고자 하는 업무가 무엇인지 파악하여 그에 따른 지원 방안을 마련하는 한편, 이에 대한 관리 대책을 검토하고 실행해야 할 시점에 이른 것이다. 한편 스마트워크, 모바일 오피스 등이 대두되면서 기업 및 기관 자체적으로도 다양한 디바이스를 활용하여 비즈니스 생산성과 직원 만족도 향상을 꾀하는 추세도 나타나고 있다.

 

플랫폼의 파편화, BYOD가 보안의 이슈로 대두

 

모바일 오피스(Mobile Office)란 정보기술(IT)을 이용하여 시간과 장소의 제약없이 업무를 수행하는 유연한 근무 형태를 의미하는 것이다. 엔터프라이즈 모빌리티(Enterprise Mobility)나 스마트워크(Smart Work)라고 지칭되기도 한다. 그러나 2012년 현재 그룹사 및 일부 대기업과 공공기관 위주로 구축되고 있어, 모바일 오피스는 아직 초기 단계에 머물러 있다고 평가할 수 있다.

현재는 기업이 일괄적으로 업무용 스마트폰을 지급하여 이용하도록 하는 모바일 오피스 대신 개인이 보유하고 있는 스마트폰을 업무에 이용하도록 하는 경우가 일반적이다. 문제는 모바일 디바이스 제조사들이 다양한 플랫폼으로 경쟁함에 따라 개인이 사용하는 모바일 환경이 복잡해지고 있다는 점이다.

 

스마트폰 시장을 아이폰과 안드로이드폰이 양분하고 있는 상황에서, 안드로이드 플랫폼의 경우, 매우 빈번하게 버전이 업그레이드 되어 동시에 2~3종의 플랫폼 버전이 시장에 혼재하는 경우가 비일비재하다. 하드웨어 버전의 다양한 정도가 높을수록 관리적인 측면에서의 효율성은 떨어지게 된다. 안드로이드는 약 4000여 종의 디바이스가 출시되었으며, 이로 인한 플랫폼의 파편화가 심화되고 있다. [그림 1]은 각 디바이스가 차지하는 점유율을 나타낸 것으로, GT-i9100은 삼성전자의 겔럭시S2를 의미한다. 이처럼 시장에 수많은 디바이스가 존재하기 때문에 BYOD 이슈가 기업에게는 보안의 문제로 대두되었으며, 디바이스 지원 범위와 수준을 고민하게 만들었다.

 

[그림 1] 안드로이드 플랫폼의 파편화 현상(출처: opensignalmaps.com http://opensignalmaps.com/reports/fragmentation.php?)

 

게다가 이처럼 다양한 플랫폼의 수많은 모바일 디바이스가 물리적인 거리에 상관없이 중앙의 데이터센터와 연결되어서 업무를 수행한다. 그러다 보니 하나의 물리적인 장소에 모여 업무를 수행하는 일반적인 기업의 형태보다 더욱 복잡한 보안 위협 요소가 존재하게 된다. 또한 사내 이메일 서비스, 사내 시스템과 연동된 일정 관리, 임직원 주소록 조회 및 메일 및 통화 연동, 모바일 버전 사내 메신저, 인트라넷 게시판, 헬프데스크, 결재 시스템 등 업무를 위해 스마트폰으로 접근하는 분야도 매우 다양하다. 즉, 모바일 디바이스는 기업의 정보 자산에 연결된 상태로 네트워크에 항상 연결되어 있기 때문에 사용자 관리와 정책 준수를 매우 높게 유지해야만 한다.

 

업무에 활용되는 모바일 디바이스가 분실되어 악의적인 목적을 가진 해커의 손에 넘어갈 수도 있고 해당 디바이스에 제공되고 있는 사내용 서비스가 보안 대책 없이 외부에서 쉽게 접속 가능하게 설정되어 있을 경우, 기업의 중요 정보가 고스란히 노출될 수 있기 때문이다. 또는 임의의 Wi-Fi에 접속하였는데 해당 AP(Access Point)가 악의적인 정보 수집을 위한 AP일 수도 있고, 무선으로 주고받는 정보 자체가 도청되어 유출되는 등의 피해도 있을 수 있다. 또한 사용자가 의심 없이 설치한 애플리케이션이 악성 애플리케이션으로, 디바이스를 통해 주고 받는 정보를 탈취할 수도 있다.

 

 

BYOD 도입에 따른 보안 고려 사항

1. 플랫폼 지원 범위

BYOD를 허용할 경우, 기업에는 엄청나게 많은 종류의 디바이스가 혼재하게 된다. 이는 보안의 측면에서 관리의 실패로 볼 수 있다. 보안의 관점에서 BYOD 도입 시 중요하게 고려해야 할 사항은 디바이스 관리의 범위로, 다음의 조건 중에서 반드시 하나의 정책을 선택해야만 한다.

 

① 모든 플랫폼의 BYOD를 허용
② 일정 수의 플랫폼의 BYOD를 허용
③ 지정된 플랫폼만 허용
④ BYOD 불허

 

현실적으로 모든 플랫폼의 BYOD를 허용하기 위해서는 막대한 리소스와 비용이 필요하다. 따라서 시장 점유율을 기준으로 일정 비율 이상의 플랫폼 위주로 사용자 선택권의 차원에서 2~3가지 정도를 지원하는 것이 바람직하다. 참고로 CIO매거진의 조사에 따르면, 2012년 2분기를 기준으로 안드로이드 68.1%, iOS 19.9%로 각각 나타나, 이들 두 가지 플랫폼만 지원하더라도 전체 플랫폼의 88%를 지원하는 효과가 있다.

 

2. 디바이스 지원 범위

시장조사 기관 포레스터 리서치(Forrester Research)의 조사에 따르면, 미국에서는 종업원의 53%가 직장에 자신의 모바일 디바이스를 가져오는 것으로 나타났다. 국내의 경우, 이 비율이 96%에 달했다. 플랫폼과 마찬가지로 수많은 모바일 디바이스 모델을 모두 허용하기에는 관리적 이슈가 발생한다. 2~3개의 플랫폼 지원 범위와 함께 4~5 종류의 디바이스 모델로 한정한다면 관리 비용의 급격한 증가를 방지하고 적절하게 관리할 수 있는 수준을 확보할 수 있을 것이다. 한편 앞선 조사에서 사무실 밖에서 모바일 디바이스로 업무를 수행해본 경험이 있다는 비율이 82%로 나타나, 이제 사무실 밖에서 업무를 보는 것은 지극히 자연스러운 현상으로 자리잡았음을 알 수 있다.

 

3. 사용자 인증 방안

BYOD 도입 시, 사용자 인증을 위해 디바이스 정보를 수집해야 한다. 이 경우 직원들에게 정보 수집에 관한 동의를 받아야 하며, 수집된 IMEI와 같은 디바이스 정보를 이용하여 이중(Two-factor) 인증을 할 수 있다. 1차적으로 디바이스를 인증하고, 2차적으로 사용자를 인증하는 방식을 통해 해당 디바이스가 유효한 사용자가 사용하는 디바이스임을 인증하는 것이다.

 

4. 셀프서비스(Self-Service)를 위한 사용자 포털

BYOD는 기업 관리자가 모든 것을 챙기고 관리한다는 것은 사실상 불가능하다. 헬프데스크를 운영하는 것만으로도 관리 비용이 급격하게 증가하게 된다. 이러한 관리의 문제를 해소하는 방법이 바로 사용자가 직접 자신의 정보를 관리하고 분실 대책을 실행할 수 있도록 셀프서비스 포털을 제공하는 것이다. 일부 글로벌 기업은 이미 셀프서비스 포털을 제공하여 사용자가 직접 분실 대책을 수행할 수 있도록 하고 있다. 단, 셀프서비스 포털에서 제공하는 서비스는 긴급한 경우나 정책을 위반하지 않는 범위 내에서 이용할 수 있는 서비스로 제한해야 한다.

 

글로벌 네트워크 장비 업체인 시스코시스템즈(CISCO Systems)는 네트워크 개방 수준에 따라 BYOD 대응을 위한 전략을 네 가지의 시나리오로 구분, 이에 맞춰 허용 범위를 각각 다르게 설정하고 있다. 이에 따르면 기업의 정보 자산을 이용할 수 있는 수준에 맞춰서 네트워크 개방성을 고려하게 되는데 네트워크 개방성이 높을수록 정보 자산의 활용성은 낮고, 네트워크 개방성이 낮을수록 정보 자산의 보안을 강화하여 활용도를 높일 수 있다.

 

[그림 2] BYOD 대응 시나리오(시스코시스템즈)

BYOD와 함께 등장한 그들(?)

BYOD가 IT의 트렌드로 등장하면서 이와 함께 자주 등장하는 용어들이 있다. MDM을 비롯한 MAM, MIM 등이 그것이다. 이들은 관리의 초점이 어디에 있는지에 의해 구분되는 용어다.

우선 MDM(Mobile Device Management)은 물리적 자산인 디바이스를 어떻게 활용하며, 이를 위한 관리와 통제를 어떻게 하는 지에 초점을 맞춘 것이다. 디바이스의 현황과 분실에 대한 대응이 매우 중요하게 적용되는 정책이다.

반면 MAM(Mobile Application Management)은 BYOD가 심화되면서 디바이스를 통제하는데 한계가 있기 때문에 디바이스에서 구동되는 애플리케이션을 관리하는데 초점을 맞춘 것이다. 즉, 디바이스가 플랫폼 위에서 애플리케이션을 구동하기 때문에 배포 및 설치, 실행되는 애플리케이션을 모니터링하고 이들의 권한과 활동을 관리함으로써 보안과 관리의 효율성을 높이기 위한 방법이다. 이 경우 애플리케이션에 대한 화이트 및 블랙 리스트 관리와 애플리케이션 분석에 대한 기술이 요구된다. 한편 생산성 향상과 비용 절감 등을 이유로 기업들이 점차적으로 자체적인 앱을 통해 업무를 진행하게 될 것으로 보인다. 리서치 전문 기관 가트너(Gartner)는 2014년에 이르면 많은 기업들이 전용 앱스토어를 통해 애플리케이션을 관리할 것으로 예측했다. 이에 따라 앱 관리가 더욱 중요해질 것이며, 검증된 애플리케이션을 쓰도록 하는 것이 BYOD의 핵심이 될 것이다.

마지막으로 MIM(Mobile Information Management)은 애플리케이션의 수가 급속도로 증가하는 만큼 모든 애플리케이션을 통제하는 것이 어려워짐에 따라 실제 임직원들이 사용하는 콘텐츠를 관리하는데 초점을 맞춘 개념이다. 기업 내부의 주요 자산에 대한 암호화, DRM 적용, 접근 제어 및 유출 방지 등에 집중하게 된다.

MDM이나 MAM, MIM은 모두 기업에서 활용하고자 하는 자산의 복잡도가 증가함에 따라 이에 대한 대책으로 나타나는 필연적인 현상이다. 시대적 요구인 BYOD를 도입함에 있어 모바일 디바이스 활용 목적에 따라 알맞은 대응책을 선정하고 적절한 보안 정책을 개발 및 적용하는 것이 중요하다.@