모바일 기기 관리(MDM) 및 BYOD 정책

스마트폰과 태블릿 같은 모바일 기기에는 회사 이메일, VPN 자격 증명, 인증 앱 및 민감한 문서가 저장되지만, 매일 조직의 물리적 경계를 벗어납니다. 기기를 분실하거나 도난당하면 즉시 데이터 침해 위험이 발생합니다. 직원은 업무에 개인 기기도 사용하며(BYOD), 조직이 제어하지 않는 하드웨어에서 회사 데이터와 개인 데이터를 함께 사용하게 됩니다. Mobile Device Management (MDM)을 사용하면 IT 팀이 모바일 엔드포인트를 파악하고 제어하여 기기가 어디로 이동하든 보안 Policy를 적용할 수 있습니다.

서로 관련된 세 가지 약어가 모바일 관리의 범위를 포괄합니다. MDM (Mobile Device Management)은 기기 전체를 제어하여 Encryption, 화면 잠금, 원격 삭제 및 인증서 배포를 강제합니다. MAM (Mobile Application Management)은 특정 회사 앱만 관리하므로, 기기 전체를 제어하는 것이 적절하지 않은 BYOD 환경에 유용합니다. EMM (Enterprise Mobility Management)은 MDM + MAM + Mobile Content Management를 포괄하는 상위 개념입니다. 최신 플랫폼(Microsoft Intune, Jamf, VMware Workspace ONE)은 세 가지 기능을 모두 통합하고, 모바일 기기와 함께 노트북 및 데스크톱도 관리합니다.

Policy를 적용하려면 먼저 기기를 MDM에 Enrollment해야 합니다. Corporate-owned devices는 대량 프로비저닝을 통해 Enrollment할 수 있습니다. Apple DEP/ABM (Automated Device Enrollment), Android Zero-Touch 또는 Windows Autopilot이 첫 부팅 시 MDM 프로필을 자동으로 할당하므로 직원이 기기를 만지기도 전에 관리가 시작됩니다. BYOD Enrollment에는 직원이 Company Portal 앱을 설치하거나 QR 코드를 scan해야 합니다. MDM 프로필은 관리 인증서를 설치하며, 이를 통해 MDM 서버가 Policy를 배포하고 기기를 삭제하거나 규정 준수 상태를 조회할 수 있습니다.

Enrollment가 완료되면 MDM이 기기에 보안 Policy를 적용합니다. Passcode/PIN 요구 사항: 최소 길이, 복잡성, 실패 시도 후 Lockout. Encryption: 전체 기기 Encryption 적용(FileVault, BitLocker, Android FBE). Screen lock timeout: 활동이 없을 때 최대 5분 후 잠금. Jailbreak/root 감지: 침해된 기기를 자동으로 표시하거나 격리. OS 버전 최소 요구 사항: 지원 종료된 OS 버전을 실행하는 기기가 회사 리소스에 Access하지 못하도록 BLOCK. 앱 Allowlist/차단 목록: 회사 기기에서는 승인된 앱만 허용합니다.

원격 삭제는 IT가 분실하거나 도난당한 기기의 모든 데이터를 지울 수 있는 기능입니다. MDM 플랫폼은 두 가지 유형을 제공합니다. Full wipe(공장 초기화로 모든 데이터 삭제)와 선택적 삭제(이메일, VPN 프로필, 관리되는 앱 등 회사 데이터만 제거하고 개인 사진과 앱은 그대로 유지)입니다. BYOD에서는 직원이 개인 데이터 삭제에 동의한 것이 아니므로 선택적 삭제가 필수적입니다. 원격 삭제를 위치 추적과 결합하면 삭제를 실행하기 전에 실제로 기기를 분실했거나 도난당했는지 확인할 수 있어, 실수로 인한 데이터 손실을 줄일 수 있습니다.

MDM은 관리되는 기기에 디지털 인증서를 자동으로 배포하여 사용자 개입 없이 강력한 인증을 구현할 수 있습니다. 사용 사례는 다음과 같습니다. 공유 암호 없이 기기를 회사 WLAN에 인증하는 Wi-Fi 802.1X 인증서, 인증서 기반 VPN 인증을 위한 VPN 클라이언트 인증서, 종단 간 이메일 보안을 위한 이메일 서명/Encryption 인증서(S/MIME)입니다. 회사 PKI에서 발급하고 MDM을 통해 배포하는 인증서를 사용하면, 하나의 공유 키로 네트워크의 모든 기기에 Access 권한을 부여하는 PSK Wi-Fi 네트워크의 취약점을 피할 수 있습니다.

BYOD Policy는 개인 기기가 회사 리소스에 Access하는 방식을 규정합니다. 주요 Policy 요소는 다음과 같습니다. 자격 요건(지원되는 OS 버전 및 기기 유형), Enrollment 요구 사항(Access 전에 MDM 또는 MAM Enrollment 필수), 데이터 분리(관리되는 앱 또는 컨테이너에서만 회사 데이터 사용), 지원 범위(IT는 회사 앱을 지원하지만 개인 기기 문제는 지원하지 않음), 개인정보 보호 고지(MDM이 기기에서 수집하는 데이터 — 앱 목록은 일반적으로 수집하지만 개인 사진은 수집하지 않음), 종료 절차(퇴사 시 선택적 삭제)입니다.

Mobile Threat Defense (MTD) 도구(Lookout, Zimperium, 모바일용 Microsoft Defender for Endpoint)는 데스크톱의 EDR과 유사한 동작 기반 위협 감지 기능을 모바일 기기에 추가합니다. MTD는 악성 앱, 네트워크 공격(신뢰할 수 없는 Wi-Fi에서의 MITM), OS 수준의 악용 및 비정상적인 기기 동작을 감지합니다. MTD는 MDM과 통합되므로 위협 감지 이벤트가 발생하면 기기를 자동으로 비규정 준수 상태로 표시하고, 위협이 해결될 때까지 Conditional Access를 통해 회사 리소스에 대한 Access를 BLOCK합니다. 이를 통해 기본적인 MDM 규정 준수 Policy가 남겨 둔 공백을 해소할 수 있습니다.

사무실 외부에서 회사 리소스에 Access하는 모바일 기기는 모바일 VPN 또는 특정 앱 트래픽만 터널링하는 앱별 VPN을 사용해야 합니다. 앱별 VPN(MDM 지원)은 관리되는 앱의 트래픽을 VPN을 통해 라우팅하고 개인 앱의 트래픽은 인터넷으로 직접 전송하므로 개인정보 보호 우려와 VPN 대역폭 사용량을 줄입니다. Conditional Access Policy(Azure AD, Okta)와 결합하면 조직은 회사 이메일, SharePoint 또는 내부 애플리케이션에 Access 권한을 부여하기 전에 기기가 MDM에 Enrollment되어 있고 compliant 상태인지 확인할 수 있습니다.

MDM은 위치 기록, 설치된 앱, 네트워크 연결 및 기기 사용 통계 등 기기에 관한 상당한 데이터를 수집할 수 있습니다. BYOD 기기에서는 기업의 보안 요구와 직원의 개인정보 보호 사이에 긴장이 발생합니다. 모범 사례는 Enrollment 전에 BYOD Policy에서 MDM이 수집하는 항목을 명확히 공개하고, 개인 영역에 접근하지 않도록 BYOD에는 MAM만 사용하며, 개인 기기에서 지속적인 위치 추적을 Enable하지 않는 것입니다. 일부 관할 지역에서는 고용주가 개인 기기를 모니터링하는 행위가 법적으로 제한됩니다. 글로벌 조직에서는 배포 전에 BYOD Policy를 법무 검토하는 것이 필수적입니다.

BYOD에서 전체 MDM을 사용하는 대신 컨테이너화된 작업 공간 방식을 사용할 수 있습니다. Samsung Knox, BlackBerry Dynamics 및 Microsoft Managed Home Screen과 같은 솔루션은 기기에 Encryption된 관리 컨테이너를 생성합니다. 회사 앱과 데이터는 컨테이너 내부에 저장되고 개인 앱은 외부에 저장됩니다. IT는 개인 데이터를 건드리지 않고 컨테이너만 삭제할 수 있습니다. 컨테이너는 기기 OS 설정과 독립적으로 자체 PIN, Encryption 및 앱 Policy를 적용하므로 기기 수준의 MDM Enrollment 없이도 강력한 보안을 제공합니다.

이 강의에서 다룬 CompTIA Security+ (SY0-701) 개념에 대한 이해도를 확인해 보십시오.

이 강의에서는 다음을 배웠습니다. MDM은 원격 삭제 기능을 통해 모바일 기기의 암호화, 암호, 잠금 및 규정 준수 정책을 적용합니다. BYOD 정책은 선택적 삭제와 MAM 전용 관리를 사용하여 기업 보안과 직원의 개인정보 보호 사이에서 균형을 맞춥니다. 또한 MDM과 조건부 액세스의 결합을 통해 등록되고 규정을 준수하는 기기만 기업 리소스에 액세스할 수 있도록 합니다. 다음으로 호스트 기반 방화벽과 애플리케이션 Allowlisting을 살펴보겠습니다.