개인폰의 회사 업무용 이용 주의해야 하는 이유

회사 앱이 깔려 있는 내 스마트폰 ! 감시 위험은 없는 걸까 ?

 

모바일 시대의 도래에 따라 회사 업무를 스마트폰에서도 처리할 수 있도록 전산화 하는 기업들이 늘어가고 있다. 이에 직원들 역시 자신의 스마트폰에 회사의 업무용 앱을 설치 한다.

그러나 기업의 업무용 전산 시스템은 그 이용이나 활용이 직원에게 한정되어야만 한다는 전제 조건을 갖고 있다.

경쟁사나 다른 곳에서 기업의 전산 시스템에 접속할 수 있다면 중요한 기밀이 빠져 나가거나 여러가지 법적 분쟁이 발생할 수 있기 때문이다.

따라서 기업은 자사의 비밀 보호를 위해 기업 전산 시스템에 접속되는 스마트폰에 별도의 보안 소프트웨어를 설치할 수 밖에 없다. 이를 통해 언제라도 해당 스마트폰의 위치를 파악 하고, 필요 시 스마트폰에 저장되어 있는 모든 자료를 삭제할 수 있어야만 한다.

그러나 이러한 스마트폰의 통제는 단지 회사의 업무용 앱을 자신의 폰에 설치 했기 때문에 발생된다. 스마트폰을 회사에서 지급했느냐의 여부는 중요치 않은 것이다. 개인폰이나 법인 폰 모두 기업의 업무용 앱이 설치되면 즉각적으로 기업의 자산처럼 취급되는 것이 현실이다.

그렇다면 회사의 업무용 앱을 설치하고 나면 우리의 스마트폰에 어떤 변화가 생기는 걸까 ? 개인 정보 침해 등에 대해 우려하지 않아도 될까 ?

회사의 업무용 앱이 깔리고 난 후 개인 스마트폰의 변화에 대한 우려, Source: Office clip art

 

개인 스마트폰이더라도 회사 업무용 앱이 설치되어 있다면 더 이상 개인 폰이 아니다 !

 

필자의 지인 중 한명이 자신의 스마트폰에 회사의 업무용 앱을 설치해 이용 중이다. 그는 스마트폰을 이용해 어디서라도 자사의 전산 시스템에 접속해 공지사항이나 이메일을 읽고, 전자 결제 수행, 문서 보안이 적용된 자료 등을 볼 수 있어 무척 편리하다고 한다.

그러나 이 과정에서 자신의 스마트폰에 어떤 앱들이 추가로 설치 되었는지 궁금해 하지 않는다. 그는 단순히 이메일, 문서 보안 암호 변환기 등의 몇가지 앱들이 설치 되었을 것이라 추측하고 있었다.

실제로 지인의 스마트폰을 살펴 보았다. 확인 결과 지인의 스마트폰에는 무선단말기 관리 시스템이라는 MDM(Mobile Device Management) 앱이 설치되어 있었다. 이 앱은 스마트폰의 모든 기능을 실행 할 수 있고, 필요 시 스마트폰 내의 모든 데이터에 접근해 삭제도 할 수 있는 초강력 권한을 갖고 있었다.

다음은 안드로이드폰에서 실제로 이를 확인해 본 내용이다. MDM이 있는지 다음 과정을 통해 확인해 볼 수 있다.

환경 설정에서 아래 그림처럼 "보안"을 터치한다. 이 항목에서 스마트폰의 보안 기능에 대해 확인해 볼 수 있다.

보안 탭에서 "디바이스 관리자"를 눌러 어떤 앱들이 스마트폰을 제어할 수 있는지 확인한다. 디바이스라 함은 스마트폰 자체를 의미한다.

아래 그림에서 Android 기기 관리자 하단에 뿌옇게 음영 처리된 항목이 무선단말기 관리 시스템인 MDM 앱의 모습이다. MDM 옆의 디바이스 관리자 항목에 체크 마크가 되어 있어 MDM 앱이 디바이스 관리자의 권한을 부여 받았음을 알 수 있다.

체크 마크의 해제를 시도 해 보았으나 선택 해제를 할 수는 없었다. MDM 앱이 설정 변경을 제한하고 있는 것으로 판단된다. 

 

그렇다면 이러한 앱이 할 수 있는 일은 무엇일까 ? 위의 사례에 있는 무선 단밀기 관리 시스템(MDM) 앱이 갖고 있는 권한을 확인해 보았다. 아래 사진의 빨간색 박스에 있는 것처럼 MDM앱은 "모든 데이터 삭제"라는 권한을 갖고 있었다. 따라서 MDM 앱은 원격 명령에 따라 원한다면 언제라도 스마트폰에 저장된 모든 데이터를 삭제할 수 있다.

이외에도 스마트폰의 화면 잠금 기능을 제어하고, 내장 메모리 등의 저장소(Storage)에 대한 암호화 설정도 가능하다.

MDM 앱은 직원들이 회사 내에서 스마트폰으로 문서를 찍어 유출 할 수 없도록 스마트폰의 카메라 기능을 차단 시킬 수도 있다. 추가적으로 무선 랜 접속 정책 변경 등 MDM 앱은 정말로 여러가지 제어 권한을 갖는다.

또한 MDM 앱이 위치 찾기 권한을 갖고 있으므로 스마트폰의 현재 위치를 확인 할 수 있다. 이를 달리 말하면 스마트폰을 갖고 있는 해당 직원이 어디에 있는지 실시간으로 감시도 할 수 있다는 의미이다.

개인 정보 공개 유출, 사찰 가능성이 우려 되면 회사에 별도의 업무용 스마트폰을 요청하자 !

 

위에 설명한 것처럼 회사의 업무용 앱이 설치되면 개인의 스마트폰은 더 이상 자신만의 것이 되지 않는다. 스마트폰에 저장된 정보들을 회사가 들여다 볼 수도 있고, 보안 위협이 되는 경우 회사에서 임의로 삭제할 수도 있다.

직원들의 전화 통화 내역, 문자 메시지 발신/수신 내역, 일과 중 움직였던 위치, 다운로드 했던 앱, 주로 사용하는 앱 등 개인의 사생활에 관련되는 내용들도 낱낱이 공개될 수 있다.

물론 업무용 앱 및 MDM 앱이 설치되어 있다고 하더라도 모든 기업이 해당 기능을 상시적으로 이용하지 않을 것이다. 그 취지상 스마트폰을 분실 했을 때 이를 찾거나 보안 목적상 원격 리셋 등의 한정된 용도로만 MDM 앱을 사용 할 가능성이 높다.

그러나 회사가 직원들을 MDM 앱을 통해 사찰하는 극단적인 상황 역시 충분히 발생 가능하다. 따라서 이에 대비 할 필요가 있다.

이를 위해서는 회사에 별도의 업무용 스마트폰 지급을 요청 할 필요가 있다. 스마트폰을 2개나 갖고 다녀야 하나, 개인용과 업무용으로 나누어 스마트폰을 이용한다면 개인정보 유출 또는 사찰 가능성에 대해 우려하지 않아도 될 것이기 때문이다.

공적인 것과 사적인 것을 분리하는 공과 사의 구분은 이제 스마트폰에서도 필요하다. 가급적이면 회사의 업무용 앱을 개인 스마트폰에 설치해 이용하지 말자. 회사의 사찰 가능성, 개인 정보 유출 가능성이 우려 된다면 이를 분리해야 하는 것 역시 우리의 책임일 것이다.