일주일에 40시간씩 노후한 컴퓨터 앞에서 지내던 시대는 이미 먼 과거가 되었습니다. 전 세계 사무직 근로자들은 더 이상 자신의 건강과 정신을 위태롭게 하며 일할 필요가 없습니다. 미래지향적인 대부분의 기업은 직원들이 자신의 개인 기기를 가져와 업무에 사용하는 것을 환영합니다.
그러나 승자가 있는 곳에는 패자가 있는 법입니다. 눈의 피로는 줄일 수 있지만, 'BYOD(Bring Your Own Device)' 제도에 참여하면 안전과 보안이 심각하게 위협받을 수 있습니다. 그리고 그 위험은 직원에게만 국한되지 않습니다. 회사 역시 스스로 위험에 노출될 수 있습니다.
BYOD의 보안 허점은 무엇일까요? 이 글에서는 BYOD가 주목받게 된 배경을 살펴보고, 어떤 문제가 발생할 수 있는지 자세히 알아보겠습니다.
BYOD란 무엇인가?
BYOD는 직원들이 자신의 개인 기기를 사용해 회사 데이터, 이메일, 인프라 및 내부 네트워크에 접근하는 것을 허용하는 기업 정책을 통칭하는 용어입니다.
여기서 말하는 기기는 스마트폰과 태블릿부터 노트북, 프로젝터까지 매우 다양합니다. 일반적으로는 인터넷에 연결되어 회사 내부망에 접속하는 모든 직원 소유 기기를 의미합니다.
이 용어는 2009년 인텔(Intel)에 의해 널리 알려졌으며, 그 이후 관련 정책은 폭발적으로 확산되었습니다. 현재 세계 최대 기업들의 대부분이 어떤 형태로든 BYOD를 도입하고 있으며, 수천 곳의 중소기업도 마찬가지입니다.
통계에 따르면 BYOD 도입률이 가장 높은 지역은 중동으로, 현지 사무직 근로자의 80% 이상이 이 정책의 혜택을 받고 있습니다. 브라질, 러시아, 인도, 아랍에미리트(UAE), 말레이시아는 각각 75% 이상의 도입률을 자랑하는 세계 5대 국가입니다. 반면 북미 지역의 도입률은 약 44%에 불과합니다.
기업들은 왜 BYOD를 선호할까?
기업들이 BYOD를 빠르게 채택하는 데에는 두 가지 핵심 이유가 있습니다. 바로 비용 절감과 생산성 향상입니다.
비용 측면에서 기업은 하드웨어, 소프트웨어, 기기 유지보수 비용을 절약할 수 있습니다. 이론적으로는 빠르게 변화하는 기술 트렌드를 따라가느라 늘 부족한 IT 부서의 부담도 덜어줍니다.
생산성 측면에서도 여러 연구 결과에 따르면 BYOD 정책을 활용하는 직원들이 더 행복하고 편안함을 느끼며, 업무 처리 속도도 일반적으로 더 빠른 것으로 나타났습니다.
하지만 모든 것이 장밋빛만은 아닙니다. 직원과 회사 모두 심각하게 고려해야 할 보안 허점이 잠재되어 있습니다.
직원에게 닥치는 보안 문제
기업들은 BYOD 운영을 위해 원격 모바일 디바이스 관리(MDM) 소프트웨어를 자주 활용하지만, 이 소프트웨어는 직원들이 생각하는 것보다 훨씬 침습적입니다. 다음 세 가지 사항을 반드시 주의해야 합니다.
1. 데이터 수집
회사에 얼마나 많은 정보를 공유할 의향이 있으신가요? 예를 들어, 상사가 본인의 전체 검색 기록을 안다면 기분이 좋으시겠습니까? IT 부서와 위치 정보를 공유하고 싶으신가요?
이런 질문에 대한 답은 아마 "아니오"일 것입니다. 하지만 Bitglass의 보고서에 따르면, 여러분은 이러한 심각한 프라이버시 침해에 이미 노출되어 있을지도 모릅니다.
"모바일 기기 관리 솔루션의 목적은 직원을 감시하는 것이 아니라 멀웨어나 전반적인 보안 상황을 모니터링하는 데 있습니다. 하지만 이러한 도구는 그 이상의 작업을 수행합니다. 휴대폰의 현재 위치, 설치된 앱, 심지어 사용자가 방문한 웹사이트까지 확인할 수 있습니다. 우리 직원 일부가 웹에서 건강 정보를 검색한다는 사실도 확인했습니다." — 살림 하피드(Salim Hafid), Bitglass 프로덕트 매니저
스스로에게 물어봐야 할 질문이 있습니다. 회사가 당신에 대해 어떤 데이터를 보유하고 있는지 알고 계십니까? 미국과 영국 법률에 따르면 근로자는 해당 데이터 전체를 열람할 권리가 있습니다. HR 부서에 직접 요청해 보세요. 그 결과가 놀라울지도 모릅니다.
2. 개인 커뮤니케이션 감청
달가운 이야기는 아니지만, 대부분의 사람들은 회사가 회사 이메일 계정에 접근하고 모니터링할 권리가 있다는 점을 받아들입니다. 하지만 개인 이메일 계정은 어떻습니까? 페이스북 메신저로 주고받은 메시지는요? 이건 전혀 다른 문제입니다.
그럼에도 Bitglass 연구진은 원격 기기 관리 소프트웨어를 통해 이러한 모든 커뮤니케이션을 열람할 수 있었습니다. 보고서는 비밀번호와 은행 정보까지 노출될 수 있다고 밝혔습니다.
물론 회사가 이러한 데이터를 기본적으로 수집하지는 않을 것입니다(계약서의 세부 조항으로 동의했다면 예외). 그럼에도 이러한 잠재적 위험은 경종을 울려야 합니다. 회사 IT 부서의 모든 구성원이 당신을 몰래 훔쳐보지 않을 것이라 믿으십니까? 해커의 데이터 접근을 막아줄 회사 보안 시스템을 신뢰하십니까?
3. 개인 데이터 손실
기업들이 사용하는 거의 모든 주류 원격 기기 관리 소프트웨어에는 원격으로 기기의 데이터를 삭제하는 기능이 포함되어 있습니다.
회사에는 이러한 안전장치가 필요합니다. 직원이 퇴사할 경우를 대비해야 하기 때문입니다. 고용주는 관리 대상 앱과 기기에 저장된 데이터베이스 콘텐츠에서 민감한 데이터를 삭제할 수 있어야 합니다.
그런데 기기 관리 소프트웨어는 단순히 회사가 관리하는 앱만 삭제할 수 있는 것이 아닙니다. 전체 앱을 삭제하거나 심지어 폰 전체를 초기화할 수도 있습니다.
직원 입장에서 이는 당신의 데이터가 회사 재량에 따라 영구적으로 위험에 노출되어 있다는 의미입니다. BYOD 계약에 서명했다면, 관리되지 않는 앱에 실수로 회사 파일을 다운로드하는 것처럼 무해해 보이는 행위조차 회사가 당신의 폰을 초기화할 명분이 될 수 있습니다.
핵심은 이것입니다. 당신의 사진, 음악, 파일, 메시지는 모두 동의 없이 삭제될 위험에 처해 있습니다.
기업에게 닥치는 보안 문제
직원에게 닥치는 위험이 대부분 프라이버시와 관련된 반면, 고용주에게 닥치는 위험은 주로 보안 문제와 연관되어 있습니다. BYOD 정책으로 인해 기업이 직면하는 세 가지 주요 리스크를 살펴보겠습니다.
1. 기기 분실
기업은 최신 보안 소프트웨어에 수천 달러를 투자할 수 있지만, 단순한 사용자 실수까지 막을 수는 없습니다.
사람은 물건을 잃어버리고, 물건은 도난당하기 마련입니다. 만약 분실된 기기에 고도로 민감한 정보가 담겨 있다면 해당 기업에는 치명타가 될 수 있습니다. 실제로 통계에 따르면 기업 네트워크 침해 사고의 60% 이상이 도난당한 기기에서 비롯된다고 합니다.
기업은 이런 이유로 BYOD 기기에 원격 모바일 기기 관리 소프트웨어가 필요하다고 주장하겠지만, 직원들은 앞서 언급한 이유들로 반발할 가능성이 높습니다.
결국 이 문제는 고용주와 직원 어느 쪽도 만족하지 못하는 교착 상태로 이어질 수 있습니다.
2. 보안 취약 네트워크
사람들은 다양한 네트워크에서 자신의 기기를 사용합니다. 집의 Wi-Fi가 범죄자와 해커로부터 비교적 안전하다 해도, 호텔이나 공항의 공용 Wi-Fi까지 안전하다고 말할 수는 없습니다.
이런 네트워크는 사이버 범죄자들에게 절호의 사냥터입니다. 해커는 보안이 취약한 기기가 접속하기를 기다렸다가 연결되는 순간 악의적인 활동을 시작할 수 있습니다.
이 역시 데이터로 뒷받침되는 이론입니다. 추정에 따르면 해커는 공용 Wi-Fi 네트워크에 접속한 BYOD 기기의 최대 40%를 사용 후 4개월 이내에 공략하는 것으로 나타났습니다.
기업은 강력한 보안 프로파일링으로 이런 문제를 예방할 수 있지만, 비기술 중소기업에 그럴 예산, 시간, 지식이 있을까요?
3. 소프트웨어 업데이트
기기 제조사별로 상이한 업데이트 방식은 기업에 문제를 일으킵니다. 애플(Apple)의 중앙화된 업데이트 방식과 파편화된 안드로이드(Android) 방식의 차이를 떠올려 보면 쉽게 이해할 수 있습니다.
직원들은 다양한 종류의 기기를 사용할 것이며, IT 부서는 최신 버전으로 업그레이드하도록 강제할 방법이 없습니다. 서드파티 앱도 마찬가지입니다. 해당 앱의 코드에 취약점이 없다는 것을 회사가 어떻게 확신할 수 있을까요?
물론 회사가 구형 소프트웨어를 사용하는 직원의 네트워크 접근을 차단할 수는 있지만, 그러면 직원은 업무를 수행할 수 없습니다. 이는 생산성 향상이라는 BYOD의 핵심 목표에 정면으로 배치됩니다.
BYOD가 걱정되시나요?
지금까지 고용주와 직원의 관점에서 가장 큰 BYOD 보안 우려 사항 세 가지를 살펴보았습니다.
물론 이 정책에는 많은 장점이 있지만, 양측 모두 자신이 감수하게 될 위험을 인식해야 합니다. 현재로서는 충분한 지식을 갖춘 이해관계자가 많지 않습니다.
불편한 BYOD 경험담이 있는 직장인이신가요? 중소기업에서 BYOD로 인한 끔찍한 사례를 겪으셨나요? 언제나처럼 아래 댓글로 여러분의 생각과 의견을 남겨주세요.