BYOD(Bring Your Own Device)는 직원, 계약업자 및 기타 승인된 일반 사용자가 회사 네트워크에서 자신의 개인 노트북, 스마트폰 및 기타 디바이스를 사용하여 기업 데이터에 액세스하고 업무를 수행할 수 있는 시기와 방법을 결정하는 기업 IT 정책을 의미합니다.

2000년대 후반 iOS 및 Android 스마트폰이 등장한 후 점점 더 많은 작업자들이 회사에서 발급한 표준 휴대폰보다 이러한 디바이스를 선호함에 따라 BYOD가 부상했습니다. 그리고 원격 및 하이브리드 근무가 증가하고 공급업체 및 계약업체에 기업 네트워크를 개방하면서 스마트폰을 넘어 BYOD 정책을 확장해야 할 필요성이 가속화되었습니다. 가장 최근에는 코로나19 팬데믹과 그에 따른 칩 부족 및 공급망 중단으로 인해 더 많은 조직에서 BYOD 정책을 도입해 신규 직원들이 회사에서 발급하는 디바이스를 기다리는 동안 업무를 할 수 있도록 지원했습니다.

일반적으로 CIO 및 기타 고위 IT 의사결정권자들이 제정하는 BYOD 정책은 직장에서 직원 소유 디바이스를 사용할 수 있는 조건과 최종 사용자가 개인 디바이스를 사용할 때 준수해야 하는 보안 정책을 정의합니다.

BYOD 정책의 세부사항은 조직의 BYOD 전략 목표에 따라 다르지만 대부분의 디바이스 정책은 다음과 같은 몇 가지 조건을 정의합니다.

서비스 이용: BYOD 정책은 일반적으로 직원이 업무 관련 작업에 개인 디바이스를 사용할 수 있는 방법과 시기를 설명합니다. 예를 들어 서비스 이용 가이드라인에는 가상 사설망(VPN) 및 승인된 업무 관련 앱 목록을 통해 기업 리소스에 안전하게 연결하는 방법에 대한 정보가 포함될 수 있습니다.

서비스 이용 정책은 직원 소유 디바이스를 사용하여 민감한 회사 데이터를 처리, 저장 및 전송하는 방법을 규정하는 경우가 많습니다. 해당되는 경우 BYOD 정책에는 건강 보험 이동성 및 책임법(HIPAA), 사베인즈 옥슬리법(SOX), 개인 정보 보호법(GDPR) 등의 규정을 준수하는 데이터 보안 및 보존 정책도 포함될 수 있습니다.

허용 디바이스: BYOD 정책은 직원이 업무 용도로 사용할 수 있는 개인 디바이스의 유형과 관련 디바이스 사양(예: 최소 운영 체제 버전)을 설명합니다.

보안 조치: BYOD 정책은 일반적으로 직원의 디바이스에 대한 보안 표준을 설정합니다. 여기에는 최소 비밀번호 요구사항 및 2단계 인증 정책, 민감한 정보를 백업하는 프로토콜, 디바이스 분실 또는 도난 시 따라야 할 절차가 포함될 수 있습니다. 보안 조치는 모바일 디바이스 관리(MDM) 또는 모바일 애플리케이션 관리(MAM) 도구와 같이 직원이 디바이스에 설치해야 하는 보안 소프트웨어를 지정할 수도 있습니다. 이러한 BYOD 보안 솔루션은 아래에서 자세히 설명합니다.

개인정보 보호 및 권한: BYOD 정책은 일반적으로 조직이 직원 개인 데이터와 기업 데이터를 분리해 유지관리하는 방법을 포함하여 IT 부서가 디바이스에서 직원의 개인 정보를 존중하기 위해 수행하는 단계를 설명합니다. 이 정책은 또한 IT 부서가 설치해야 하는 특정 소프트웨어와 통제해야 하는 앱을 비롯하여 직원의 디바이스와 관련하여 필요한 특정 권한을 자세히 설명할 수 있습니다.

보상: 회사가 직원의 개인 디바이스 사용에 대해 비용을 보상하는 경우(예: 디바이스 구매 관련 경비 제공, 인터넷 또는 모바일 데이터 요금제 보조금 지금 등) BYOD 정책은 보상 처리 방법과 직원이 수령할 수 있는 금액을 규정합니다.

IT 지원: BYOD 정책은 고장나거나 제대로 작동하지 않는 개인 디바이스 문제와 관련하여 회사의 IT 부서에서 이를 해결하는 데 도움을 줄 수 있는 범위를 지정할 수 있습니다.

오프보딩: 마지막으로 BYOD 정책은 직원이 퇴사하거나 BYOD 프로그램에서 디바이스 등록을 취소하는 경우 따라야 할 단계를 설명합니다. 이러한 종료 절차에는 디바이스에서 민감한 기업 데이터를 제거하고, 네트워크 리소스에 대한 디바이스의 액세스를 취소하고, 사용자 또는 디바이스 계정을 폐기하는 계획이 포함되는 경우가 많습니다. 

BYOD 프로그램은 회사에서 발급한 디바이스에서 자주 발생하지 않거나 낮은 빈도로 발생하는 문제에 대해 디바이스 보안 우려사항을 제기합니다. 직원 디바이스의 하드웨어 또는 시스템 취약성은 회사의 공격 표면을 확장하여 해커가 회사 네트워크를 침해하고 민감한 데이터에 액세스할 수 있는 새로운 방법을 제공할 수 있습니다. 직원은 회사에서 발급한 디바이스보다 개인 디바이스를 사용할 때 훨씬 더 위험한 탐색을 수행하거나 이메일 또는 메시지를 보낼 수 있습니다. 개인 용도의 사용으로 인해 직원의 컴퓨터를 감염시키는 멀웨어는 기업 네트워크로 손쉽게 퍼질 수 있습니다.

IT는 회사에서 발급한 디바이스를 사용해 디바이스 설정, 구성, 애플리케이션 소프트웨어 및 권한을 직접 모니터링하고 관리하여 이러한 문제와 유사한 문제를 피할 수 있습니다. 그러나 IT 보안 팀은 직원의 개인 디바이스를 동일하게 제어할 수 없고, 반면 직원들은 개인 디바이스의 통제에 대해 불만을 가질 수 있습니다. 시간이 지남에 따라 기업들은 BYOD 보안 위험을 완화할 수 있는 다른 다양한 기술로 눈을 돌렸습니다.

가상 데스크탑

가상 데스크탑 인프라(VDI) 또는 DaaS(Desktop as a Service)라고도 하는 가상 데스크탑은 원격 서버에서 호스팅되는 가상 머신에서 실행되는 완전히 프로비저닝된 데스크탑 컴퓨팅 인스턴스입니다. 직원들은 이러한 데스크탑에 액세스하고 기본적으로 개인 디바이스에서 암호화된 연결 또는 VPN을 통해 이를 원격으로 실행합니다.

가상 데스크탑을 사용하면 연결된 반대쪽에서 모든 일이 발생합니다. 개인 디바이스에 애플리케이션을 설치하지 않고, 개인 디바이스에서 회사 데이터를 처리하거나 저장하지 않으므로 개인 디바이스와 관련된 대부분의 보안 문제가 효과적으로 제거됩니다. 그러나 가상 데스크탑은 배포 및 관리 비용이 많이 들 수 있는데, 이는 인터넷 연결이 필요하고 직원들이 오프라인에서 업무를 할 수 없기 때문입니다.

클라우드 기반 SaaS(Software-as-a-Service)는 최소한의 관리 오버헤드로 유사한 보안 이점을 제공하지만 최종 사용자 행동을 완전히 제어할 수 없습니다.

디바이스 관리 솔루션

BYOD 이전에 조직은 모바일 디바이스 관리(MDM) 소프트웨어를 사용하여 회사에서 발급한 모바일 디바이스를 관리했습니다. MDM 도구를 사용하여 관리자는 디바이스를 완벽하게 제어할 수 있었습니다. 예를 들어 관리자는 로그온 및 데이터 암호화 정책을 시행하고, 엔터프라이즈 앱을 설치하고, 앱 업데이트를 푸시하고, 디바이스 위치를 추적하고, 분실, 도난 또는 손상된 디바이스를 잠그거나 초기화할 수 있었습니다.

하지만 MDM은 직원들이 직장에서 자신의 스마트폰을 사용하기 시작하고 개인 디바이스, 앱 및 데이터에 대한 제어 권한을 IT 팀에 부여하는 데 불만을 갖기 전까지만 사용할 수 있는 모바일 관리 솔루션이었습니다. 그 이후 개인 디바이스 사용자와 직원의 업무 방식이 변화하면서 새로운 디바이스 관리 솔루션이 등장했습니다.

모바일 애플리케이션 관리(MAM): MAM은 디바이스 자체를 제어하기 보다는 앱 관리에 중점을 두고, IT 관리자에게 기업 앱과 데이터에 대한 제어 권한만 부여합니다. 이를 실현하기 위해 MAM은 개인 디바이스에 비즈니스 데이터 및 애플리케이션을 위한 보안 엔클레이브를 생성하는데, 이를 컨테이너화라고 합니다. 컨테이너화를 통해 IT는 컨테이너 내의 애플리케이션, 데이터 및 디바이스 기능을 완벽하게 제어할 수 있지만 컨테이너 외부에서는 직원의 개인 데이터 또는 디바이스 활동에 액세스하거나 이를 볼 수도 없습니다.

엔터프라이즈 모바일 관리(EMM): BYOD 참여가 증가하고 스마트폰을 넘어 태블릿으로, Blackberry OS 및 Apple iOS를 넘어 Android까지 확장되면서 MAM은 기업 네트워크에 도입되는 직원 소유의 모든 새로운 디바이스에 대응하기 위해 고군분투했습니다. 그리고 이 문제를 해결하기 위해 엔터프라이즈 모바일 관리(EMM) 도구가 곧 등장했습니다. EMM 도구는 MDM, MAM 및 IAM(ID 및 액세스 관리)의 기능을 결합하여 IT 부서가 한 곳에서 네트워크의 전반의 모든 개인 및 회사 소유 모바일 디바이스를 관리할 수 있는 단일 플랫폼, 단일 창을 제공합니다.

통합 엔드포인트 관리(UEM). EMM의 한 가지 단점은 Microsoft Windows, Apple MacOS 및 Google Chromebook 컴퓨터를 관리할 수 없다는 것이었습니다. 이것이 문제인 이유는 개인 PC를 사용해 원격으로 근무하는 직원과 제3자를 포함하도록 BYOD를 확장해야 했기 때문입니다. 이러한 격차를 해소하기 위해 UEM 플랫폼이 등장했고, 모바일, 노트북 및 데스크탑 디바이스 관리를 단일 플랫폼으로 통합했습니다. UEM을 사용하여 IT 부서는 연결 위치와 실행하는 운영 체제에 관계없이 모든 유형의 디바이스에 대한 IT 보안 도구, 정책 및 워크플로우를 관리할 수 있게 되었습니다.

조직에서 가장 자주 인용되는 BYOD의 이점은 다음과 같습니다.

• 비용 절감 및 IT 관리 부담 감소: 고용주가 더 이상 모든 직원의 디바이스를 구매하고 프로비저닝할 필요가 없습니다. 대부분의 직원 또는 모든 직원을 위해 BYOD를 구현하고 성공적으로 관리할 수 있는 기업의 경우 이러한 절감 효과는 상당할 수 있습니다.
  
  
• 신속한 신입 사원 온보딩: 직원들이 더 이상 업무 관련 작업을 수행하기 위해 회사에서 발급한 디바이스를 기다릴 필요가 없습니다. 특히 최근의 칩 부족 및 기타 공급망 중단 사태로 인해 회사가 직원들에게 제때 컴퓨터를 제공하지 못하는 상황에 유용합니다.
  
  
• 직원 만족도 및 생산성 향상: 일부 직원들은 회사에서 발급한 장비보다 익숙하고 더 잘 사용할 수 있다는 이유로 자신의 개인 디바이스를 사용하는 것을 선호합니다.

BYOD는 이외에도 다양한 이점을 제공하지만, 반면에 다음과 같이 해결해야 할 과제도 안고 있습니다.

• 직원 개인정보 보호 문제: 직원들이 개인 데이터와 활동의 노출에 대해 걱정할 수 있으며 자신의 개인 디바이스에 IT 필수 소프트웨어를 설치하는 것이 불편할 수 있습니다.
  
  
• 제한된 후보자 풀, 포용성 문제: BYOD가 필수인 경우 적절한 개인 디바이스를 소유할 여력이 없거나 소유하고 있지 않은 사람들은 고려 대상에서 제외될 수 있습니다. 그리고 경우에 따라 고용주의 보상 여부에 관계없이 개인 디바이스를 사용해야 하는 조직에서 일하는 것을 선호하지 않을 수 있습니다.
  
  
• 남아 있는 보안 위험: BYOD 보안 및 디바이스 관리 솔루션을 갖춘 경우에도 직원이 개인 디바이스에서 사이버 보안 베스트 프랙티스(예: 우수한 비밀번호 정제화, 물리적 디바이스 보안)를 항상 준수하지 못할 수 있으므로 해킹, 멀웨어 및 데이터 유출 가능성이 존재합니다.
  
  
• 규정 준수 문제: 의료, 금융, 정부 및 기타 규제가 엄격한 산업의 고용주는 민감한 정보 처리와 관련된 엄격한 규정과 금전적 처벌로 인해 일부 또는 모든 직원에 대해 BYOD를 구현하지 못할 수 있습니다.