BYOD 확산에 따른 올바른 보안 방안 
모바일과 클라우드 환경으로의 급속한 IT 환경 변화는 개인이 소유한 모바일 기기를 업무에 활용하는 BYOD라는 새로운 트렌드를 만들어내며 기업 업무환경을 빠르게 변화시키고 있다. 스마트폰, 태블릿 PC 등 개인이 소유한 모바일 디바이스를 통해 장소와 시간에 구애 받지 않고 업무를 수행할 수 있게 되면서, 업무의 효율성과 생산성이 눈에 띄게 향상되고 있다. 하지만 이와 함께 통제되지 않은 모바일 기기의 업무 사용 환경에 의한 기업의 정보 유출 위험이 더욱 확대되면서 BYOD 환경에서의 보안이슈가 크게 대두되고 있다.
성 석 수 │ 파수닷컴 부사장(CTO, seuksoos@fasoo.com)
모바일 환경에서의 보안은 기존의 PC 환경에서의 보안과는 확연한 차이를 보인다. 기존의 PC 환경에서 수립되고 적용되었던 보안 전략이 아닌 모바일 환경에 맞춘 새로운 보안전략이 필요하다는 얘기다.
기존의 PC 환경에서는 직원들이 사용하는 업무 장비가 회사의 소유이기에 업무 환경의 표준화를 통해 회사에서 이들에 대한 관리/감독이 가능했고 엄격한 보안 정책도 무리 없이 적용할 수 있었다. 하지만 모바일 환경에서는 장비의 소유권이 회사가 아닌 개인이고, 회사가 요구하는 보안정책을 일괄적으로 적용할 수 있는 폐쇄된 환경이 아닌 개방된 환경이라는 특수성을 가진다.
BYOD를 위해 등장한 다양한 솔루션들
이처럼 기존의 보안 방식과는 차별화되는 모바일 환경에서의 보안 문제를 해결하기 위해 모바일 환경에 적합하게 구현된 다양한 솔루션들이 제안되고 있다. 모바일 디바이스를 관리하는 MDM(Mobile Device Management) 솔루션, 모바일에서 구동되는 어플리케이션을 관리하는 MAM(Mobile Application Management) 솔루션 등이 대표적이며 그 외에도 OS 가상화나 악성코드 보안 솔루션 등 다양한 솔루션들이 모바일 보안을 위한 방안으로 제시되고 있다.
MDM 솔루션을 통해 스마트폰이나 태블릿 PC 등 모바일 단말기에서 구동되는 사진촬영이나 녹음 등의 기능을 통제하고, 기기 분실시 원격제어를 통해 데이터를 원격 삭제하는 등의 단말기 제어가 가능하다. 하지만 단말기를 분실해 데이터를 원격 삭제하거나 디바이스 초기화를 강행할 경우 기업 데이터만 선택적으로 삭제하는 것이 아닌 개인이 소유한 정보까지 모두 삭제될 수 있다.
이처럼 MDM이 커버하지 못하는 영역을 보완하기 위해 단말기 내에 개인사용 영역과 업무사용 영역을 구분해 관리하고자 등장한 솔루션이 MAM 솔루션이다. 개인이 사용하는 애플리케이션은 자유롭게 사용하여 개인사생활은 보호하되 기업용 애플리케이션만을 관리하고 통제함으로써 일부 보안 위협에 대처할 수 있다.
이러한 보안 솔루션들을 통해 궁극적으로 보호하고자 하는 것은 바로 기업이 소유하고 있는 중요 데이터에 대한 보안이다. 하지만 시중에 나와 있는 MDM이나 MAM, 악성코드 보안 솔루션 등을 통해 기업이 지키고자 하는 중요 정보의 유출을 100% 막아낼 수 있을까?
모바일 기기를 통한 회사업무 처리의 위험성
모바일을 통해 수행되는 업무는 회사의 업무 서버에 접속하거나, 혹은 이 메일을 통해 주로 이루어진다. 업무 수행을 위해 개인의 모바일 디바이스로 기업의 업무 서버에 접근하여 정보를 확인하거나 다운받을 경우가 빈번히 발생한다. 또한 이메일을 통해 모바일 기기에 업무 파일을 다운받는 경우도 수시로 발생한다. 이러한 업무 환경에서 기업의 중요 정보는 다양한 경로를 통해 충분히 유출될 수 있다.
예를 들어 A기업의 김 부장이 팀원이 이메일로 보낸 제안서를 모바일로 다운받아 내용을 확인했다고 하자. 업무수행을 위해 이메일을 통해 다른 담당자 혹은 상부에 해당 파일을 전달할 수 있을 것이다. 전달과정에서 실수로 경쟁사나 제 3자에게 전달 될 수 있으며, 악의적인 목적으로 경쟁사에 정보를 전달하는 상황이 발생하여 기업의 중요 정보가 유출 될 수 있다.
또는, 디바이스를 분실하여 중요 데이터를 원격으로 삭제하거나 디바이스를 초기화하기 전에 일부 정보가 먼저 유출 될 수도 있다. 디바이스 관리나 어플리케이션 관리만으로는 커버하지 못하는 영역이다.
다른 예를 들어보자. B기업의 박 팀장이 회사 업무 서버에 접속해 기술자료나 자산정보 등 회사 기밀 자료를 모바일 기기에 다운 받아 업무를 진행하는 경우가 발생 할 수 있다. 앞서 언급한 예와 같이 모바일 기기로 다운받은 자료는 모바일 기기 내에서는 물론 외부로 언제든지 유통 될 수 있으며 정보 유출의 위험에 언제든지 노출 될 수 있다.
데이터와 액세스 보안 강화해야
안전한 모바일 업무 환경을 만들기 위해서는 디바이스 관리, 어플리케이션 관리 등과 함께 모바일 디바이스 내에서 혹은 모바일 디바이스를 통해 외부로 유통되는 데이터에 대한 보안 관리가 필수로 병행되어야 한다.
BYOD라는 통제가 어려운 환경에서의 궁극적인 데이터 보호를 위해서는 데이터의 유통 전체 과정에 걸쳐 보안이 적용되어야 한다.
즉, 데이터는 항상 암호화된 상태를 유지하여 유통이 되고, 유통되는 문서는 권한이 있는 사용자만 열람하거나 사용할 수 있도록 하는 보안 장치가 필요하다. 이러한 데이터 중심의 보안이 적용된다면 파일이 유출되더라도 권한이 없는 사용자는 열람 자체가 불가능하여 정보의 유출이 불가능하게 된다.
데이터 자체에 대한 보안 방안이 마련되었다면, 추가로 서버와 모바일 사이의 네트워크 구간의 전송 보안, 모바일을 통한 기간계 시스템에 무단 액세스로부터 서버 데이터를 보호하는 방안, 모바일 화면을 통해 유출될 수 있는 정보를 보호하는 방안 등이 함께 고려되어야 할 것이다. 이를 통해 더욱 안전한 모바일 환경을 구축할 수 있기 때문이다. 이처럼 데이터와 액세스에 대한 보안을 통틀어 MDAM(Mobile Data & Access Management)이라고 한다.
증가하는 BYOD, 이제는 보안을 고려할 때
시장조사 전문기관인 가트너에 따르면 2013년 2분기 스마트폰 판매대수는 2억 2,500만대를 기록하며 전년 동기 대비 46.5%가 증가하였다. 또 다른 시장조사 기업이 스트래티지어낼리틱스(SA)에 따르면 지난 1분기 세계 스마트폰 판매량의 30%가 BYOD용으로 사용되고 있다고 한다. 앞으로도 스마트폰의 판매대수는 더욱 증가할 것이며 BYOD용으로의 확대 또한 늘어날 것이라는 것은 의심할 여지가 없을 정도로 예견되는 현실이다.
국내시장에서도 마찬가지로 BYOD 적용 환경이 지속적으로 확대되고 있다. 이번에 중앙정부부처와 공공기관에서 근무하는 공무원들 또한 스마트폰으로 업무를 볼 수 있게 국가 모바일 보안 규격이 확정되었다. 일반 기업은 물론 공공분야까지 모바일 환경으로 업무가 확장되고 있는 것이다.
이러한 확산되는 모바일 업무 환경에서, 하나의 솔루션으로는 완벽한 보안 해결책을 마련할 수 없다. 보다 완벽한 모바일 보안을 위해서는 데이터 중심의 보안을 기반으로 MDM, MAM, MDAM 등 전방위적인 보안이 모두 고려되어야 할 것이다.
[월간 시큐리티월드 통권 제201호(sw@infothe.com)]
_m.jpg)
.jpg)
