사례 | 아이패드 보안, 오자크 은행의 구상

6개월 전 오자크 은행(Bank of the Ozark)은 아이패드 도입을 개시했다. 지금은 직원들이 약 20대의 회사 소유 아이패드를 사용하고 있으며 앞으로 더 많은 아이패드가 도입될 예정이다.


아칸소주 리틀 록(Little Rock, Arkansas)에 본사를 두고 있는 오자크 은행은 나아가 개인용 아이패드를 기업 네트워크에 연결할 수 있도록 하는 BYOD(Bring-Your-Own-Device) 프로그램을 전면 도입할 계획이다.

오자크 은행의 CIO 론 카이켄달 은 "지금까지는 단지 빙산의 일각에 불과하다. 우리 기업 내 아이패드의 확산은 엄청나게 증가할 것이다"라고 말했다.

오자크 은행의 아이패드 도입은 아직 초기 단계다. 그러나 이 회사의 IS 부서는 이런 모바일 기기에서 고객 데이터를 보호하기 위해 음지에서 수 개월 동안 부단히 노력해 왔다. 카이켄달과 그의 팀은 일시적인 보안 솔루션을 패치하는 것부터 특정 소비자 앱을 금지하는 정책을 마련하고 새로운 보안 제품을 베타 테스트하는 것까지 각고의 노력을 기울였다.

모든 기업들은 아이패드로 인해 민감한 데이터를 잃어버리는 것에 대해 우려하고 있으며 소비자의 신뢰를 바탕으로 하는 금융 기관은 특히 걱정이 심하다. 어쨌든 고객 데이터 손실은 즉시 고객의 자산 손실로 나타난다. 아이패드에서 고객 데이터가 유출되었다는 사실이 알려지면 은행의 명성에 치명적인 타격을 입게 된다.

카이켄달은 "고의 또는 우연으로 소비자 데이터가 분실될 수 있기 때문에 밤에 잠을 이루지 못할 정도다"라고 말했다.

애플은 새로운 아이패드가 데뷔 첫 주에 300만 대가 팔려나가는 진기록을 세웠다고 밝혔다. UBS 애널리스트 메이나드 엄은 공급이 수요를 원활히 충족시킬 경우 이번 분기에 1,200만 대의 새로운 아이패드가 판매될 것으로 전망하고 있다.

오자크에서의 아이패드 등장
오자크 은행에도 아이패드 유행이 불고 있다.

IS 부서는 아이패드 도입이 걷잡을 수 없이 진행되기 전에 보안을 통제해야 했다. 이는 아이패드에서 정적 또는 동적인 문서의 보호를 의미한다. 오자크 은행은 SFTP 파일 전송 등의 다양한 제품과 방식을 활용하여 민감한 정보가 자체적인 네트워크와 서버에서 관리되고 저장될 수 있도록 했다.

하지만 아이패드의 세계에서는 최종 사용자에게 책임이 있다. 오자크 은행에서 일부 아이패드 사용자들은 드롭박스(Dropbox) 등의 소비자 앱과 서비스에 데이터를 저장하기 시작했다. 오자크 은행의 수석 네트워크 엔지니어 스티브 듀는 "실제로 그것을 테스트하는 사용자들이 있었다. 우리는 그것을 사전에 발견하여 차단하고 싶었다"라고 말했다.

인기 있는 소비자 앱을 차단하기 위해 오자크 은행은 드롭박스 만큼 간편한 대안이 필요했다. 만약 대안이 더 복잡하다면 아이패드 사용자들은 정책에 위배되더라도 소비자 앱으로 회귀할 수 밖에 없을 것이다.

오자크 은행은 액티베코(activEcho)라는 그룹로직(GroupLogic)의 새로운 앱을 아이패드에서 사용할 수 있는 스토리지 앱으로 보았다. 이것은 기업용 파일 공유 제품으로 액티브 디렉토리와 통합되며 안전한 파일 전송을 지원하기 때문에 오자크 은행의 서버와 네트워크에 데이터를 보관하게 된다.

하지만 액티베코는 여전히 베타 단계에 머무르고 있었으며 CIO들은 전통적으로 새로운 제품과 신생 기업을 기피하는 경향이 있다. 빠르게 변화하는 태블릿과 모바일 컴퓨팅의 세계에서 뒤떨어지지 않기 위해서 CIO는 이런 생각을 일부 없애야 한다. 오자크 은행은 3개월 동안 베타 테스트를 진행했다.

보안에 대안 샌드박스(Sandbox) 접근방식
그룹로직은 퀵오피스(Quickoffice)가 사용자들이 워드 문서, 엑셀 스프레드시트, 파워포인트 슬라이드 등에서 작업할 수 있는 아이패드 앱 퀵오피스 프로셀레트 HD(Quickoffice ProSelect HD)를 출시한 지난 주 같은 날에 액티베코를 공개했다. 이 두 앱은 아이패드에서 데이터 유출을 방지하기 위해 상호 공조하기 때문에 중요하다.

최종 사용자의 관점에서 그 작동법을 살펴보면 다음과 같다. 오자크 은행의 직원이 아이패드에서 액티베코를 실행하고 기업 네트워크에 있는 워드 문서에 접속할 수 있다고 하자. 하지만 워드 문서를 열 수 있는 유일한 방법은 오피스와 유사한 페이지스(Pages), 오피스2 HD(Office2 HD), 독스 투 고(Docs to Go) 등의 아이패드 앱이 아니라 퀵오피스 뿐이다.

퀵오피스가 실행되면 직원은 문서를 확인하고 편집할 수 있다. 문서를 저장할 때 직원은 세이브백 온리(SaveBack Only) 옵션으로 방화벽을 우회하는 셰어포인트(Sharepoint) 접속 포인트처럼 원본 소스에 파일을 다시 저장할 수 있다. (퀵오피스 프로셀렉트는 퀵오피스 앱 외부로의 복사 및 붙여 넣기를 허용하지 않는다.)

"우리는 협력하는 벤더들 사이에서 가상의 샌드박스를 생성하고 있다"라고 그룹로직의 CTO 데릭 내프는 설명했다.

카이켄달과 같은 CIO들은 요즘처럼 모빌리티가 화두가 되고 있는 시기에 반드시 새로운 보안 솔루션을 분석해야 한다. 하지만 모든 태블릿이 동일하게 적용되지 않는다는 사실을 기억해야 한다. 현재 오자크 은행은 보안은 더욱 취약하게 하는 안드로이드 기기를 지원하지 않고 있다.

현재까지 카이켄달은 아이패드의 보안에 만족하고 있다. 그는 "액티베코는 소비자 데이터 보안을 통제하고 이행하는데 반드시 필요한 요소다"라고 말했다. ciokr@idg.co.kr