규모가 큰 기업이라면 노트북, 스마트폰, 태블릿을 직원에게 지급하는 데 큰 어려움이 없습니다. 하지만 소규모 사업장, 비영리 단체, 교육기관 등은 예산이 넉넉하지 않아 그렇지 못한 경우가 많습니다.
그래서 많은 사람들이 업무용으로 개인 기기를 회사에 가져와 사용해야 합니다. 이러한 방식(BYOD)이 어떤 문제를 일으킬 수 있는지, 그리고 이를 해결하기 위해 무엇을 할 수 있는지 살펴보겠습니다.
직장에서 개인 기기 사용의 장단점
오랫동안 많은 기업의 표준 관행은 직원에게 기기를 지급하는 것이었습니다. 회사에서 지급한 기기는 보안 문제, 법적 책임, 데이터 유출로부터 기업을 보호해 줍니다. 업무용과 개인용 기기를 분리하면 워라밸(일과 삶의 균형)을 유지하는 데도 도움이 됩니다. 특히 과로하기 쉬운 원격 근무자들에게는 더욱 중요한 부분입니다.
다만 회사 기기를 지급받는 입사 절차는 간단할 수 있지만, 반대로 관료적인 측면도 있습니다.
기기를 지급하는 많은 기업들은 구매, 교체, 발급 과정에서 긴 승인 절차로 고민합니다. 이러한 절차는 민첩성이 가장 필요한 조직의 생산성을 크게 저해할 수 있습니다.
반면 직원이 개인 기기를 업무에 사용하면 여러 가지 장점이 있습니다. 기기 구매 비용 절감은 물론이고, 시간과 노력도 아낄 수 있습니다.
예를 들어 특정 운영체제에 익숙한 사람은 업무를 위해 새로운 운영체제를 따로 배울 필요가 없습니다.
기존 사용 습관에 맞추다 보면 가파른 학습 곡선의 가능성이 줄어듭니다. 덕분에 직원들은 첫날부터 바로 생산적으로 일할 수 있으며, 이는 모두 회사 지급 기기만으로는 불가능한 일입니다.
BYOD 정책을 위한 보안 수칙
회사가 직원들에게 개인 기기 지참을 요청하기로 했다면, 전문성을 유지하면서 진행할 수 있도록 다음 팁들을 참고하세요.
1. 회사 가이드라인 온보딩
어떤 정책이든 성공 여부는 대부분 관련 당사자들에게 얼마나 잘 전달되느냐에 달려 있습니다.
규모와 상관없이 회사는 데이터 보안, 데이터 도난, 법적 보존(legal hold), 감시 관행에 대한 조항을 근로계약서에 명시해야 합니다. 또한 공식 문서에 접근 권한이 허용된 직원마다 회사 이메일 주소를 제공하는 것도 좋은 투자입니다.
기업은 온보딩 과정의 일부를 직원에게 기대하는 전문성에 대한 설명에 할애하고, 회사 네트워크 내부와 외부에서 어떤 종류의 감시가 이루어질 수 있는지 투명하게 알려야 합니다.
2. 인증 절차 강화
기업 스파이 행위나 회사 데이터 절도를 자행할 직원은 소수입니다.
하지만 약한 비밀번호를 만들거나, 모든 곳에 같은 비밀번호를 사용하거나, 개인·회사 기기를 친구나 가족에게 빌려주는 직원은 훨씬 많습니다.
악의적인 의도와 무지에서 비롯된 실수 모두로부터 보호하려면 기업은 여러 단계를 거쳐야 합니다. 첫째, 데이터 분산화와 비밀번호 강도 같은 개인 보안 수칙의 중요성을 직원에게 교육해야 합니다.
둘째, 정기적인 비밀번호 변경과 직원이 오랫동안 사무실을 비울 경우 필수 재인증 절차를 시스템에 포함시켜야 합니다. 특히 원격 근무자, 영업팀, 사무실 밖에서 일하는 사람들이 가장 취약합니다.
인증은 노트북이나 태블릿에만 적용해서는 안 됩니다. 스마트폰, 이메일 주소, 내부 앱, 회사 정보를 정기적으로 노출하는 모든 시스템에도 적용해야 합니다.
3. 네트워크 제한 설정
모든 보안 위협에서 우리는 가장 약한 고리만큼만 안전합니다. BYOD(Bring Your Own Device)를 운영하는 기업은 이 사슬을 훨씬 더 단단히 다져야 합니다.
일반적으로 외부 기기의 핵심 정보 접근은 강력하게 제한해야 합니다.
외부 기기는 별도의 VLAN에 배치하고 침입 탐지 시스템(IDS)을 강화하여 침입을 막으세요. 또한 네트워크 기반 IDS와 호스트 기반 IDS를 함께 사용하는 것이 좋습니다. 회사 네트워크는 패킷 크기 증가, 트래픽 부하 증가, 암호화 데이터 공격 같은 이상 징후를 식별할 수 있어야 합니다.
안타깝게도 개인 기기에 대한 직원 감시의 윤리적 기준에는 만능 해법이 없습니다. 사업의 성격과 데이터의 민감도에 따라 시간 제한 스크린샷, 파일 용량 제한, 자동 로그오프 등이 필요할 수 있습니다.
네트워크 제한은 회사의 성장과 함께 요구 사항이 변함에 따라 정기적으로 재평가해야 합니다. 언젠가는 여러 VLAN 통합, 더 엄격한 인가 절차 도입, 방화벽 보호 추가가 필요할 수도 있습니다.
4. IT 오프보딩
모든 회사에는 나름의 오프보딩 절차가 있지만, 개인 기기를 사용하는 회사에서 절차가 미흡하면 재앙이 될 수 있습니다. 특히 직원이 좋지 않은 관계로 퇴사할 때 더욱 그렇습니다.
잘 갖춰진 보안 오프보딩 절차는 기밀 데이터 유출 가능성을 최소화합니다. 또한 회사 전반의 데이터 위생 관행을 개선하고 조직이 축적한 데이터의 손실을 예방합니다.
좋은 IT 오프보딩 프로세스는 직원이 어떤 데이터를 가지고 있는지, 어디에 보관하는지, 무엇에 사용될 수 있는지 파악합니다. 기업은 퇴사 예정 직원에 대해 의도 매핑(intent mapping)을 실시하고, 경쟁사로 이직하거나 경쟁 사업을 시작하는 사람을 별도로 표시해 두어야 합니다.
마지막으로, 퇴사 면담에서 데이터 절도에 따른 법적 위험을 다시 한번 상기시켜 잠재적인 문제 행동을 미리 차단하세요.
편의성과 보안의 균형 잡기
소규모 사무실에서는 네트워크 제한이 꼭 필요하다고 느껴지지 않을 때가 많습니다. 하지만 큰 꿈을 가진 작은 사무실일수록 미래를 대비한 보안 관행이 필요합니다. 처음부터 데이터를 보호하며 조직의 확장에 대비하는 것이 항상 현명합니다.
BYOD는 많은 소규모 기업, 비영리 단체, 초기 창업 조직의 현실입니다. 글로벌 비즈니스를 시작하는 것이 그 어느 때보다 저렴하고 쉬워졌지만, 동시에 보안 측면에서도 그 어느 때보다 위험합니다. 짧은 학습 곡선과 덜 관료적인 온보딩 프로세스 덕분에 BYOD는 일부 기업에게 여전히 감수할 만한 위험입니다.
그렇기 때문에 사업의 성패를 좌우할 수 있는 핵심 정보에 대한 접근 권한을 얼마나 허용할지 신중하게 결정해야 합니다. 개인 기기를 사용하더라도 좋은 데이터 보안 수칙을 지키는 것이 얼마나 중요한지 팀원 모두에게 명확히 알려야 합니다.
회사 정책은 빙산의 일각에 불과합니다. 클라우드 소프트웨어, 저장소, 커뮤니케이션 채널의 사용이 늘어나면서 해킹의 기회는 해마다 더 커지고 있습니다. BYOD가 성공하려면 사무실 안팎에서 모두가 경계를 늦추지 않아야 합니다.