기업에서도 스마트폰을 이용하여 업무효율성을 높이려는 시도가 증가하고 있다. 언제 어디서든 사내 인트라넷에 접속할 수 있는 환경을 제공하여 회사업무를 처리 하기 위해 스마트 오피스(Smart Office)를 도입하는 회사나 공공기관 및 단체 등이 증가하고 있다. 하지만 스마트폰에서 발생할 수 있는 보안 문제는 스마트오피스 도입 이전에 충분히 고려해야 할 필요가 있다. PC기반에서 처리하던 주요 업무가 스마트폰으로 확장되므로, 기존 PC 기반에서 발생 가능한 보안위협이 스마트폰에서도 재현될 수 있기 때문이다. 또한, 스마트폰 만의 특징을 이용한 신규 보안위협이 존재할 수 있다. 예를 들면, 기존의 PC기반에서 노트북 분실로 인한 정보유출 위험도 대비 스마트폰은 작고 가벼운 이동성으로 인해 분실 위험이 상대적으로 더 큰 것으로 볼 수 있다. 그리고 PC기반에서는 데이터 도청 시 반드시 회사 내부 망에 접속하고 있어야 하나, 스마트폰의 경우는 Wi-Fi, 3G(WCDMA), Bluetooth, PC동기화를 이용한 다양한 유/무선통신 기능을 지원하므로 음성 및 데이터 도청으로 인한 정보유출의 위험 범위가 더 확대된 것으로 볼 수 있다.
스마트 오피스에서 주요 보안위협은 다음과 같이 다섯 가지로 언급할 수 있다. 첫 번째는 스마트폰 악성코드를 들 수 있다. Open-market에서 악성코드에 감염된 컨텐츠를 소비자가 구매하여 스마트폰에 설치 및 실행 하였을 경우 악성코드는 스마트폰에 저장된 개인정보 및 기업 내부 정보가 변조 및 유출될 수 있으며, 이로 인해 기업은 정보 자산의 금전적 손실과 브랜드 가치 저하 등의 피해를 입게 된다.
두 번째는 기업 내부의 인트라넷 시스템에 대한 침입이다. 기밀정보의 유출이나 내부 시스템의 가용성을 침해하여 기업에 직접적인 피해를 발생시킬 수 있다. 기존 IT인프라 시스템과 연동을 제공하는 스마트 오피스는 다양한 네트워크(WCDMA, Wi-Fi, WiBro)를 통해 언제, 어디서든 기업내부 인트라넷까지 접속할 수 있는 위협에 노출되어 있다.
세 번째는 스마트폰을 통한 분산서비스거부(DDoS, Distributed Denial of Service)공격이 발생할 수 있다. 기존 PC기반의 DDoS 공격은 기업의 네트워크에 가용성 피해만을 발생시킨 반면, 스마트폰을 이용한 DDoS 공격은 네트워크 가용성 피해와 더불어 원하지 않은 트레픽 발생으로 인해 스마트폰 사용자에게 요금부담을 발생시킬 수 있다. 또한, 통신사업자 입장에서는 WCDMA망에 DDoS로 인한 가용성이 저해되는 경우 음성서비스와 데이터서비스에 치명적인 피해를 발생시킬 수 있다. 네 번째는 스마트폰 분실, 도난으로 인한 위협으로 스마트폰에 저장 된 개인정보와 기업 내부정보의 외부유출 이 발생 될 수 있으며, 실 사례로 현재까지 분실 및 도난 위험이 가장 많은 비중을 차지하고 있다. 스마트폰에 저장된 데이터를 보호할 수 있는 보호대책이 제공되지 않은 상태에서 도난 및 분실은 기업에 직접적인 비용손실을 발생시키는 보안위협으로 볼 수 있다. 마지막 다섯 번째는 도청으로 인한 보안위협이다. 기업에 적용되는 스마트오피스 서비스에서 음성통화는 대부분 업무적인 내용이 많다. 이러한 업무적인 전화 내역이 도청되어 악용되는 경우 기업의 정보자산 유출과 프라이버시 침해까지 확산될 수 있다.
이러한 이유로 스마트폰을 중앙에서 통합관리가 가능한 MDM(Mobile Device Management)[3]과 같은 단말 보안관리 솔루션이 스마트폰 보안시장에 지속적으로 출시되고 있다. 하지만, 서비스 전 영역에서 발생할 수 있는 다양한 보안위협을 대응하기에는 분명한 한계가 있다. 이와 같이 산재해 있는 모바일 위험으로부터 안전한 스마트 오피스 환경을 제공하기 위해 서비스 전반에서 발생할 수 있는 보안위협에 대한 대응 전략이 선행된 후 스마트폰을 이용한 모바일 오피스 구현을 해야 한다.
그러면 기업 입장에서 스마트 오피스 환경에 존재하는 보안위협을 대응하기 위한 모바일 보안 대응에 관한 전략을 어떻게 가지고 갈 것인가? 모바일 보안 대응 전략을 수립하여 모바일 보안사고를 사전에 능동적으로 대응하는 방법을 알아 보기로 한다.
스마트워크를 이용한 보안위협은 스마트폰 단말에서 발생하므로 스마트폰 보안위협으로 단순하게 생각할 수 있으나, 스마트폰만이 보안위협이 있고 다른 곳에서는 없는 것인가? 이것은 당연하다고 생각하실 것이다. 이와 같이 전반적으로 살펴봐야 한다고 누구나 생각한다. 저는 이것을 수평적 모바일 생태계라고 표현하고 싶다. 수평적 모바일 생태계란 기업이 구성원들에게 스마트폰을 나누어주고 앱(App.)을 만들어 배포하고 이동통신사업자를 통해 통신 서비스를 받아서 스마트 워크 환경을 만들어 준다고 했을 때 보안위험은 해당 기업이 모든 책임을 지는 것인가? 아니다.
단말을 사용하는 구성원, 단말의 App.을 제공하는 App.개발업체, 단말기 제조사, 통신사업자, 해당기업, 정부, 플랫폼 개발사등 스마트 워크를 둘러 싸고 있는 생태계 모두의 책임이라고 생각하며 특히, 누가 위에 있고 누가 아래에 있는 것이 아닌 수평적인 형태의 생태계 모두의 책임이라고 생각할 때 기업의 보안 위협을 슬기롭게 대처 할 수 있으며 그 정점에 있는 것은 바로 사용자의 보안 인식과 보안인식이 가미된 사용행태라고 본다.
스마트폰과 수평적 모바일 생태계(Mobile Ecosystem)에 해당하는 다양한 복합단말(Compound Terminal, All-in-one Mobile Device), Tablet PC 등을 대상으로 한 서비스 전 영역 관점에서 보안을 고려하므로 스마트폰 보안을 포함하는 모바일 보안 전 영역에서 보아야 한다.
이에 본고에서는 기업의 Smart work를 이용한 업무 생산성 향상이라는 근본 목적과 안전성 모두를 추구하기 위해서는 보안을 고려한 전략적인 모델이 제시 될 필요가 있다.
안전한 스마트폰 보안 모델을 구체적으로 제시하기 위해 스마트폰 서비스의 정보제공 흐름과 이벤트 발생관점에서 아래 그림과 같이 대상을 구분하여 제시 하였다. 아래 제시된 그림은 비단 스마트폰만 해당되는 것이 아닌 스마트 기기 모두에 해당 될 것이다.
스마트워크 서비스를 도입한 기업의 보안은 스마트폰 서비스의 전 영역에 걸쳐 고려해야 하며, 그러기 위해서는 서비스 영역을 상세화하여 구분하기 위한 보안기준이 있어야 한다. 이러한 서비스 영역을 보안 관점에서 구분하는 것은 보안위협의 효과적인 대응 결과를 가져 올 것이라고 본다. 아래 그림에서는 보안위험과 피해규모를 고려하여 구분하였으며, 상단의 원은 기업의 업무프로세스 관점이고 하단은 보안 위협 및 대책의 영역으로 아주 간략히 표현하였다.
[그림. 스마트폰 보안의 기업대응 모델]
그리고 그림에서 제시 된 각 보안영역을 살펴 보면 다음과 같다. ISA(Information Security Area)는 사용자에게 송/수신되는 컨텐츠, 어플리케이션을 포함한 단일 데이터 또는 모든 데이터의 집합체를 의미하며, SSA(Server Security Area)는 사용자의 단말과 정보를 전달하기 위한 기반시스템 중 정보의 저장과 공유를 위한 게시 및 사용자의 요청에 응답하기 위한 서버시스템에 해당한다. NSA(Network Security Area)는 사용자의 단말과 서버시스템 간 허용 된 정보만을 전달하기 위한 네트워크 기반시스템이며, DSA(Device Security Area)는 사용자에게 장소와 시간의 제한 없이 정보를 송수신하는 스마트폰 단말로 정의할 수 있다.
PSA(Player Security Area)는 스마트폰을 이용하여 네트워크를 통해 서버에 정보를 요청하고 생성하는 사용자로 정의할 수 있다. 마지막으로, OSA(Operating Security Area)는 ISA부터 PSA까지 적용 된 보안운영측면에서 필요한 보안관리를 의미한다. OSA는 각 영역에서 필요로 하는 모든 보호 대책 별 운영의 범위가 광범위하므로 기업의 입장에 따라서 변경이 가능하리라 본다. 각 영역에 도출 된 보호대책의 운영이 해당된다고 보면 될 것이다. 이와 같이 구분 및 정의 한 보안영역을 적용했을 때 다음과 같은 효과를 기대할 수 있다.
◇정보의 흐름 순서대로 보안위협과 보호대책을 도출하여 상호 이해를 높일 수 있다.
◇각 보안영역 별 보호해야 할 정보를 선정하여 비교함으로써 중복과 누락을 최소화 할 수 있다.
◇각 영역간 상호연관성을 고려하여 최소의 비용과 노력으로 중요정보를 선별 및 집중하여 보호할 수 있다.
이와 같이 구분 된 각 영역의 보안위협과 보호대책은 명확하게 구분되어 적용되지 않을 수 있다. 그 이유는 한 영역에서 발생 된 보안위협이 타 영역에도 영향을 미칠 수 있고, 동일한 보안위협이 여러 영역에서도 발생할 수 있기 때문이다. 그러므로 중복된 보안위협과 보호대책이 제시될 수 있고, 이러한 중복을 최소화하고 효율적으로 중요한 정보를 보호할 수 있는 방법이 중요하다고 판단된다.
또한 위험분석과 위험도출은 스마트폰 서비스의 보안 관점에서 발생할 수 있는 보안위험을 살펴보면 발생 가능성과 위험영향도의 비교를 추가로 적용하여 기업의 수준에 맞추어 위험수준을 별도로 기업별 도출하여야 한다. 즉, 모바일 환경에서 발생할 수 있는 위험 빈도수를 기업의 특성에 맞추어 모바일 위험 발생가능성(Mobile Risk Likelihood)으로 별도 정의하여야 한다. 예를 들면 통신사업자의 경우는 고객의 개인정보 중 고객의 신상정보, 고객의 단말기 정보, 고객의 위치정보, 고객의 통화내역등이 가장 위험발생가능성이 높지만, 금융권의 경우는 고객의 금융정보가 가장 위험도가 높아 질것이므로 그 기업의 특성에 따라서 위험(Risk)를 별도로 정의하여, 기업정보의 유출 및 서비스 연속성에 영향을 주는 피해를 “모바일 위험영향도(Mobile Risk Impact)”로 먼저 만들어서 관리 되어야 한다.
B2B인 Smart work환경에서 보안위협은 B2C의 보안위협과 동일한 수준으로 볼 수 있다. 그러나 B2B인 Smart work 환경에서는 발생할 수 있는 피해의 규모 측면에서 광범위하며, 이러한 이유는 위와 같이 구분 한 보안영역을 기준으로 간략히 정리하면 다음과 같다고 볼 수 있다.
◇Server 보안영역: 회사기밀정보를 보관하고 있는 사내 인프라 시스템을 대상으로 한 해킹공격으로 서버시스템의 가용성을 저해하는 보안위협
◇ Network 보안영역: 다수의 스마트폰 단말에서 악성코드가 WCDMA, Wi-Fi 망을 통해 의도하지 않은 트래픽을 일시적으로 발생시켜 네트워크의 가용성 저해하는 보안위협
◇ Device 보안영역: 기밀정보를 저장하고 있는 단말에서 악성코드 및 해킹을 통한 정보유출 보안위협
◇ Information 보안영역: Server, Network, Device 및 Player에서 발생하는 정보의 무단유출 보안위협 관련
◇ Player: Device, Information에서 발생하는 모든 보안위협과 관련
결론적으로 기업에서 스마트폰을 이용한 Smart work 도입 시 발생할 수 있는 보안위협과 이에 효과적으로 대응하기 위한 기업이나 산업군별 별도의 모바일 보안 대응 전략과 보호대책이 달리 제시되어야 한다. 그리고 그 기업군별로 위험도와 위험요소 및 취약점, 위협이 다르므로 그 위험에 따른 위협시나리오를 도출하여 발생되는 위협의 수준을 분석하였고, 이에 필요한 보호대책을 서비스 전체 구간별로 제시하여야 하며, 특히 모바일 환경에서 보안은 모바일 이전의 유선환경에서와 마찬가지로 보호해야 할 정보를 선정하는 단계를 거침으로써 정보의 가치를 산정하는 것이 반드시 선행되어야 한다.
이러한 정보의 가치를 산정하는 것은 각 기업마다 보호하려는 정보의 대상과 사업배경에 따른 서비스 모델이 상이하므로, 다양한 보안사고를 모두 대응하는데 있어 시간과 비용의 투자로 인한 현실적인 한계가 있을 수밖에 없다. 이러한 한계를 극복하기 위한 효과적인 방법은 보안위협이 발생하는 주요 구간을 보안영역으로 세분화하고, 이에 적합한 보호대책을 제공함으로써 효과적으로 보안사고를 줄이는 것이다. 이러한 방법을 제시하기 위하여 Smart work 환경에서 발생 가능한 보안위협과 보호대책을 보안구간별로 세분화하여 스마트폰 시대의 기업의 보안 전략을 잘 구현하여야 한다. 그리고 Smart work를 도입하려는 각 기업의 의사결정권자들에게는 다양한 환경에 적용할 수 있도록 보안위협과 보호대책을 상세히 언급하고 사전에 수평적 모바일 생태계를 구성하는 모두에게 변화관리를 실시하여야 한다.
<참 고 문 헌>
[1] A. Charlesworth, “The ascent of smartphone,” Institution of Engineering and Technology, pp. 32-33, Feb. 2009.
[2] B. Bae, W. Kim, C. Ahn, S. I. Lee and K. I. Sohng, "Development of a T-DMB extended WIPI platform for interactive mobile broadcasting services," Consumer Electronics, IEEE Trans., pp. 1167-1172, Jnu. 2006.
[3] S. Ryan, C. J. Kolodgy and S. D. Drake, "World wide Mobile Security 2010–2014 Forecast and Analysis," IDC #222348, Volume:1, Mar. 2010.
[4] C. H. Lin, J. C. Liu, H. C. Huang and T. C. Yang ,“A Defending Mechanism against DDoS Based on Registration and Authentication,“ 2008 The 9th International Conference for Young Computer Scientists, pp. 2192-2197, Apr. 2008.
[5] R. C. Basole, “Visualization of interfirm relations in a converging mobile ecosystem,” Journal of Information Technology, pp. 144–159, Jun. 2009.
