BYOD 보안, 제대로 따져보고 계신가요?

 

개인 기기 반입이 금지돼 있다면, BYOD 정책은 필요 없다?

 

‘BYOB; Bring Your Own Bottle-' 네가 마실 술은 네가 알아서 들고 올 것’이란 문구에서 착안해 시스코가 착안해낸

‘BYOD; Bring Your Own Device’는 이제 업계 보편적으로 쓰는 용어가 되었습니다.

 

그런데 BYOD라는 용어의 기원이 워낙 확실해서일까요. 대다수 사람들은, 심지어 업계 전문가들조차도 BYOD에 대한

‘정확한’ 정의는 내리지는 않는 듯 합니다. 그저 ‘개인 소유 기기를 회사에 가져와 업무 관련 애플리케이션을

이용하면서 개인적인 용무로도 사용하는 행위’ 정도로 으레 합의하고 있는 상태이죠.

 

그렇다면… 어떤 회사가 개인 기기 반입을 금지하고 회사 내에서는 회사가 허락한 기기만을 사용할 수 있도록

제한한다고 가정해봅시다. “개인 기기 반입 자체가 금지돼 있으니, 이 회사에는 BYOD 정책이 필요 없다”고 말할 수

있을까요?

 

이렇듯 까다롭게 용어 정의를 파고 드는 이유는, BYOD가 논의되는 만큼 BYOD 보안에 대한 논의가 충분히 이뤄지지

않고 있는 현실 때문입니다. 앞서 이야기 한 “회사가 허락한 기기만을 사용할 수 있게 한다면, 굳이 BYOD 정책을

세울 필요가 없지 않을까?”라는 질문부터 살펴볼까요. 이 시점에서 기억해야 할 것은, 여전히 기업을 ‘모바일화’하는데

가장 앞장 서 있는 애플리케이션은 바로 ‘이메일’이라는 사실입니다. 즉, 회사에서 이메일에 접속해 볼 수 있는 모든

정보들을 외부에서도 이메일 접속을 통해 모두 열람할 수 있다면, 개인 기기 반입을 금지한다 한들 무슨 소용일까요?

점심 먹으러 잠시 회사 밖에 나가 있거나, 클라이언트 미팅으로 이동 중일 때, 개인 스마트폰으로 이메일 확인 자주

하실 텐데요. 그렇다면 여러분의 스마트폰은, 충분히 해킹 방지가 되어 있는 상태인가요…?

 

게다가 더욱 난감한 것은, BYOD 정책을 본격적으로 고안하고 있는 기업들조차 정작 ‘보안’ 문제는 소홀한 경향을

보인다는 것입니다. 이에 대한 이야기는 최근 개최된 바 있는 세계 최대 규모의 IT 컨퍼런스 '가트너 시큐리티 &

리스크 관리 서밋 2012(Gartner Security & Risk Management Summit 2012)'에서도 터져 나왔는데요. 참석자들은

“인사, 법무, 네트워킹, 마케팅, 영업 등 다양한 부문에서 BYOD 정책이 고안되고 있는 반면, IT 보안은 초기부터

고려 대상에 들지는 않는다”라고 입을 모았다는군요. 이러한 경향 때문에, 각 기업의 IT 보안 담당자들이 BYOD와

관련한 업무를 수행할 때 혼란에 빠질 수밖에 없는데요. 이에 행사에서 러셀 라이스(Russell Rice) 시스코 이사는

네트워크 보안 정책의 중요성에 대해 발표하기도 했습니다. 좀 더 자세한 내용은 아래 슬라이드를 통해 직접

확인하시기 바랍니다.

 

Unlock the Value of Network Security Policy

View more presentations from Cisco Security

한편 이번 행사에서, 가트너는 ‘BYOD 보안 = 네트워크 접근제어(NAC) + 모바일 기기 관리(MDM)’라는 등식을

발표해 눈길을 끌었는데요.

 

네트워크 접근제어(NAC; Network Access & Control)란 누가, 무엇을, 어디에서, 언제, 어떻게 네트워크에

접근하고 어느 곳에서 나가는지 결정하는 기능입니다. 한편 모바일 기기 관리(MDM; Mobile Device Management)는 탈옥한 기기 사용 금지, 분실 또는 도난 모바일 기기의 원격 데이터 삭제 실행 등 모바일 기기의 중요한 인벤토리 관리 및 디바이스 관리 기능을 제공하고요. 즉, 이들 두 가지 기능이 전제될 때 비로소 최소한의 보안 바운더리가

마련된다는 뜻이라고할 수 있겠죠. 

 

하지만 시스코는 이와는 좀 다른 정의를 내리고 있는데요. 

보다 안전한 BYOD를 위해 ‘BYOD 보안 = ISE + MDM + 추가 보안 서비스’란 등식을 내세우고 있는 것이랍니다.

 

‘시스코 아이덴티티 서비스 엔진(Cisco Identity Services Engine, ISE)’은 단순한 NAC 기능을 뛰어넘어 인증,

접근제어, 게스트 서비스 및 관리 기능을 단일 플랫폼에서 지원하는 혁신적인 솔루션으로, 최근 NAC 및

통합 액세스 부문에서 ‘가트너 매직 쿼드런트’에 등재돼 우월성을 공식적으로 입증을 받기도 했습니다. 

그런데 시스코 ISE는 이에 그치지 않고 앞으로는 에어워치(Airwatch)를 비롯해 굿 테크놀러지(Good Technology),

모바일아이론(MobileIron), 젠프라이즈(Zenprise) 등 여러 MDM 벤더 솔루션과 연계도 가능할 것이라고 말합니다. 

즉, BYOD 보안을 위해서는 ISE와 같은 강력한 보안 솔루션이 전제가 돼야 한다는 것이 시스코의 주장인데요. 

 

정작 시스코는 그도 완벽하게 BYOD 보안을 보장할 수 없다고 강조합니다. 추가 보안 서비스로 ‘시스코 애니커넥트

(Cisco AnyConnect)’가 구현하는 안전한 원격 접근을 비롯해 대량의 위협이 발생하는 장소에서의 웹 보안 및
애플리케이션 제어, 침입 방지 등 다양한 보안 서비스가 포함돼 있어야 한다는 것이지요. 또한 보안 이외에 IT 및

최종 사용자에 최적의 경험을 제공하는 무선 인프라, 관리 및 협업 솔루션이 제공돼야 한다는 입장입니다.

 

이에 시스코는 그런 철학을 반영한 ‘시스코 BYOD 스마트 솔루션(Cisco BYOD Smart Solution)’를 통해 

한층 효율적이고 안전한 BYOD 문화를 선도하고 있기도 하답니다. ^^

 

 

이 글은 시스코에서 보안 솔루션 마케팅을 담당하고 있는 캐시 트라한(Kathy Trahan)이 원문 Is There a Standard Definition for BYOD?를 통해 포스팅 한 글입니다.