BYOD 거부한 한 CIO의 이야기

산호세에 위치한 전기 도급업체인 로젠딘 일렉트릭(Rosendin Electric)에서는 약 6개월마다 직원 한 명이 샘 라모니카(Sam Lamonica) CIO 사무실 문을 노크한다. 그리고 "내 전화기를 업무에 사용할 수 없는 이유가 뭡니까?"라고 묻는다.

수천 명의 직원이 근무하고 있는 로젠딘 일렉트릭에서는 수백 대의 스마트폰과 400대 이상의 아이패드, 소수의 마이크로소프트 서피스(Surface) 태블릿이 사용되고 있다. 그러나 BYOD 기기는 단 한 대도 없다.

라모니카는 "앞으로도 BYOD 환경을 절대 도입하지 않을 가능성도 있다"라고 말했다.

BYOD를 거부하는 CIO는 라모니카 혼자가 아니다. BYOD를 반대하는 CIO들의 수가 증가하고 있다. 한 때 고공행진을 했던 BYOD 트렌드가 주춤하고 있는 것이다. 컴티아(CompTIA)가 올 봄 400명의 대기업 IT 및 비즈니스 중역을 조사한 결과에 따르면, BYOD를 일체 도입하지 않았다고 대답한 비율이 51%에 달한다.

BYOD는 소비자 기술이 확산해 기업을 침범하고 있음을 보여주는 트렌드다. 직장과 집에서 같은 기기를 편하게 사용할 수 있다는 장점이 있다. 그러나 보안을 신경 쓰는 CIO들로서는 직원들의 변덕을 인내하고, 기술 조달 과정에 직원들의 영향력이 커지는 문제를 감수해야 한다는 골칫거리를 안고 있다.

라모니카가 BYOD를 차단한 이유는 분명하다. 직원들이 잘못된 결정을 내릴 수 있고, 이런 결정으로 보안상의 위험이 초래될 수 있기 때문이다. 다른 말로 하면, 그는 직원들이 기술 장치, 앱, 클라우드 서비스와 관련해 현명한 결정을 내릴 것이라고 믿지 않는다.

라모니카는 "늘 옳은 결정을 내리지 못할 수 있는 사용자 기반이다"라고 말했다.

마블 시큐리티 랩스(Marble Security Labs)가 120만 개의 안드로이드 및 iOS 앱을 분석한 결과에 따르면, BYOD 환경의 소비자 앱으로는 기업 정보를 제대로 보호할 수 없었다.

두 운영 시스템 모두에서, 공격자들은 악성 앱을 개발하거나, SMS 또는 침해된 와이파이 핫스팟을 통해 모바일 사용자를 공격하는 것으로 밝혀졌다. 또 iOS의 경우 부적절한 설정, 암호화 되어 있지 않은 이메일 첨부파일, 백업 하이재킹 등이 해커들에게 유례 없는 기회를 제공하고 있다.

라모니카는 직원 소유의 기기 대신 회사 소유의 기기를 이용하면 관리성과 보안 수준이 높아진다고 주장했다. 그는 모바일아이언(MobileIron)의 모바일 장치 관리(MDM) 소프트웨어를 도입해 태블릿과 스마트폰을 관리하고 있으며, 장치를 잃어버리거나 도난 당했을 경우 원격 지우기 기능을 실행시킨다. 회사 소유 기기이기 때문에 직원들의 프라이버시 문제를 걱정하지 않아도 된다.

그는 또 BYOD에는 기기 보상금, 과세 대상인 수당, 통신 요금 지원금 등 숨은 비용이 있다고 지적하며, BYOD를 차단하면 오히려 회사 차원의 서비스 가입을 통해 무선 통신 사업자로부터 할인을 적용 받을 수 있다고 설명했다.

BYOD 수용 없이 직원 개인을 배려
라모니카는 BYOD에 강경한 태도를 유지하고 있지만, 대신 직원들이 회사 소유의 태블릿에 일상에 필요한 앱을 설치하고, 개인 사진을 저장하도록 허락하고 있다 (그러나 회사가 이를 지울 권리를 갖는다).

라모니카는 또 모바일아이언을 활용해 개인 앱 및 데이터와 비즈니스 앱 및 데이터로 분류해 구획할 수 있도록 지원하며, 또 50달러의 아이튠스 카드를 지급해, 직원들이 아이튠스 계정을 만들도록 돕고 있다.

직원들은 회사 소유의 아이패드를 개인화해 사용할 수 있기 때문에, 현장에서도 이를 자신의 물건처럼 소중하게 취급한다. 라모니카는 건설 현장에서의 아이패드 고장률이 놀랄 정도로 낮다고 전했다.

그러나 회사 소유의 기기에 개인 앱을 설치할 수 있도록 허락하고 있기 때문에 보안 위험도 초래될 가능성이 있다. 회사의 중요한 비밀 데이터를 회사가 규정한 박스(Box) 계정이 아니라 개인의 드롭박스(Drobox) 계정에 보관하는 것을 예로 들 수 있다.

이에 대해 라모니카는 모바일아이언이 드롭박스에 보관이 되기 전에 데이터를 암호화하는 기능이 있기 때문에 위험을 낮춰준다고 설명했다. 아울러 로젠딘 일렉트릭은 드롭박스의 데이터센터 건설에 참여한 바 있는데, 이런 관계를 이용해 위험 노출을 최소화 하고 있다고 그는 덧붙였다.

직원들이 선택하지만, CIO가 통제
라모니카는 "우리 회사에도 음지의 IT인 드롭박스 계정이 있을까? 있다. 그러나 우리는 드롭박스와의 관계를 이용해 얼마나 많은 계정이 있는지 확인한다"라고 말했다.

라모니카는 이런 질문들을 할 수 있다. 로젠딘 일렉트릭이 회사 소유 기기에 설치된 앱을 알 권리를 갖고 있기 때문이다. BYOD를 수용하지 않으면서 이런 장점을 누리고 있는 것이다. 조기에 BYOD를 도입한 회사들이 그리워하기 시작한 장점들이다.

라모니카는 "BYOD 정책을 도입한 동료나 친구 중 상당수가 CYOD(Choose Your Own Device)로 전환을 하고 있다. 직원들이 기기를 선택하고, 회사가 구입을 하는 정책이다"라고 말했다.

여기에서 중요한 점은 회사가 기기를 통제한다는 것이다. ciokr@idg.co.kr