요즘은 직원 대부분이 자기 휴대폰으로 메일을 확인하고 메신저로 업무 지시를 주고받습니다. 개인폰 업무 사용이 당연해진 만큼 회사 입장에서는 BYOD 보안 솔루션을 어떻게 갖출지가 숙제가 되었습니다. 저도 보안 업무를 오래 하면서 정책 없이 도구부터 들였다가 흐지부지된 경우를 여럿 보았습니다. 이 글에서는 솔루션을 고르기 전에 먼저 세워야 할 정책 4가지와 선택 기준을 정리해 보겠습니다.
개인폰 업무 사용이 위험해지는 이유
개인 휴대폰에는 업무와 무관한 앱이 수십 개씩 깔려 있습니다. 출처가 불분명한 앱이나 공공 와이파이, 오래된 운영체제가 회사 데이터로 가는 통로가 될 수 있습니다. 게다가 분실이나 퇴사 시점에 회사 자료가 휴대폰에 그대로 남는 문제도 자주 생깁니다.
그렇다고 개인폰 사용을 전면 금지하면 현업의 불만이 커지고, 오히려 몰래 쓰는 그림자 IT가 늘어납니다. 결국 허용하되 최소한의 기준을 문서로 정해 두는 쪽이 현실적입니다.
BYOD 보안 정책, 이 4가지는 먼저 정하세요
- 허용 범위: 어떤 기기와 운영체제 버전까지 허용할지, 어떤 업무 앱과 데이터에 접근하게 할지 정합니다.
- 인증과 접근 통제: 화면 잠금, 생체 인증, 추가 인증을 필수로 두고 탈옥·루팅 기기는 막습니다.
- 데이터 분리 원칙: 업무 데이터는 지정한 앱 안에서만 열리게 하고 개인 앱으로 복사하거나 공유하지 못하게 합니다.
- 분실·퇴사 대응: 분실 신고 절차와 퇴사 시 업무 데이터 삭제 방식을 사전에 동의받습니다.
특히 마지막 항목은 개인 사진과 연락처까지 지워지는 것 아니냐는 오해를 풀어 주는 과정이 중요합니다. 삭제 대상이 업무 데이터에 한정된다는 점을 명확히 안내해야 직원들이 안심하고 동의합니다.
모바일 관리 솔루션 고르는 기준
기기 관리형과 앱 관리형
기기 전체를 통제하는 MDM 방식은 강력하지만 개인폰에는 거부감이 큽니다. BYOD 보안 솔루션으로는 업무 앱과 데이터만 보호하는 앱 관리형이나, 기기 안에 업무 영역을 따로 만드는 컨테이너 방식이 직원 수용도가 높은 편입니다.
꼭 따져 볼 체크 항목
안드로이드와 아이폰을 모두 지원하는지, 기존 메일과 그룹웨어 같은 업무 시스템과 연동되는지, 관리자 화면에서 정책 위반 현황을 한눈에 볼 수 있는지를 확인하십시오. 비용도 중요해서 기기 수 기준인지 사용자 수 기준인지에 따라 총액이 크게 달라집니다. 가능하면 소규모 부서에서 한두 달 시범 운영한 뒤 확정하시길 권합니다.
실제 도입 후기
제가 자문했던 한 물류 회사는 현장 관리자 개인폰으로 배차 앱과 메일을 쓰고 있었는데, 퇴사자 휴대폰에 고객 정보가 남아 있는 것이 뒤늦게 발견되어 큰 소동이 있었습니다. 이후 앱 단위 보호 솔루션을 도입하고 위 4가지 정책을 서면 동의로 받았더니 직원 반발 없이 두 달 만에 대부분 적용되었습니다. 도구보다 정책 설명과 동의 절차가 성패를 갈랐다는 점이 기억에 남습니다.
모바일 기기 보안 전반의 권고 사항은 NIST 모바일 기기 보안 가이드(SP 800-124)에서 확인하실 수 있습니다.
함께 읽으면 좋은 글로 모바일 신분증 사용법 5단계도 있습니다.
정리하면 개인폰 업무 사용은 막을 수 없는 흐름이기에, 정책을 먼저 세우고 그에 맞는 BYOD 보안 솔루션을 고르는 순서가 가장 안전합니다. 허용 범위와 데이터 분리 원칙만 분명해도 절반은 해결됩니다. 작게 시작해서 직원 의견을 반영하며 넓혀 가시길 바랍니다.