모바일 환경이 늘어남에 따라 떠오르고 있는 VPN
그 자체로 솔루션이 되는 것이 아니라 외부 요인 고려해야

[보안뉴스 문가용] 이제 업무 환경에서 스마트폰과 태블릿을 빼놓을 수 없는 시대가 되었다. 그러나 아직 개인이 업무를 위해 기업 정보에 접근하도록 하면서 그 정보를 보호하는 것 사이의 적정한 균형을 잡지는 못하고 있다. 특히 직원에게 업무용 스마트 기기를 구매해주지 못하는 기업의 경우, 즉 기기가 전부 개인 소유인 경우 이 균형 맞추기는 더욱 까다로워진다.
 

 ▲ "슬슬 회사 BYOD 정책을 수정해야 할 때가 된 거 같습니다."  by John Klossner from DarkReading

그래서 급한 대로 기업들은 정책과 툴들을 이 모양 저 모양으로 때때마다 발생하는 필요에 따라 끼어 맞춰가면서 지금까지 버텨왔다. 그런 과정 중에 개발된 툴들 중 하나가 모바일 VPN으로 스마트폰이나 태블릿과 기업의 게이트웨이 간 트래픽을 암호화시키는 기술을 말한다.

암호화시킴으로써 무선과 유선 사이의 변환 과정 중 정보의 스누핑을 막을 수 있다. 또한 직원들과 서드파티에서 기업 네트워크 내 허락되지 않은 부분에 접근하는 걸 원천 차단하는 것도 가능하다. 인포메이션위크지에서 실시한 ‘2014 모바일 보안 조사’에 따르면 무선에서 유선으로 혹은 그 반대 방향으로 변환되는 과정에서의 데이터 보안을 가장 큰 보안 이슈 중 하나로 본다는 응답자가 상당수였다.

그러므로 VPN 기술을 선택하는 기업 수도 상당하거나 상당히 높아질 거라는 예측이 가능하다. VPN을 선택할 때 고려해야 할 것이 몇 가지 있는데, 이를 네 가지로 추려보았다.

1. 모든 매체와의 호환성을 갖추고 있는가?
모바일 기기 종류가 워낙에 많기 때문에 직원들이 어떤 방식으로 네트워크에 접속할 지 예측하기가 쉽지 않다. 모바일 핫스팟, 셀룰러 연결, 공공 와이 파이 등 연결 방법 자체도 다양한 게 요즘이다. 이렇게 다양한 종류의 기기나 연결 방식을 호환한다는 건 한 종류의 연결 방식에서 다른 종류로 넘어갈 때마다 인증 절차를 거치거나 뚝뚝 끊기거나 하는 등의 과정이 없어야 한다는 뜻이다. 예를 들어 카페에서 와이파이를 쓰다가 밖으로 나오면 자동으로 LTE나 3G에 연결되는 것처럼 말이다.

2. 다양한 OS와도 호환성을 갖추고 있는가?
BYOD 트렌드가 커지면 커질수록 그에 따라 기기의 종류도 늘어나고 소프트웨어 옵션은 더욱 빠르게 늘어난다. OS도 그 종류가 천차만별이 되어가고 있으며 그에 따라 네트워크 관리자들은 더 많은 OS를 섭렵해야 할 필요마저 생기고 있다. 앞서 언급한 인포메이션위크 모바일 보안 조사에서도 응답자의 43%가 직원들이 BYOD 정책만 지킨다면 사무실에 어떤 기기를 가져오든 크게 상관하지 않는다고 답했다. 9%는 이런 최소한의 정책마저 없다고 답했다.

이런 경향이 트렌드로 굳어진다면 VPN은 윈도우, 안드로이드, 리눅스, 애플 제품 등 메이저급 OS와 전부 호환이 되어야 할 것이다. 가능하다면 잘 언급되지 않긴 하지만 시중에 나와 있는 OS 제품들도 아우를 수 있다면 더욱 좋을 것이다.

3. 정책의 유연성
네트워크 관리자들 입장에서는 사용자가 자신의 기기를 가지고 접속하는 시간을 별도로 정해주는 등의 백엔드 세팅 조정을 해야 할 수도 있다. 여기엔 고민을 통한 합의가 전제되어야 한다. 예를 들어 한 사용자가 랩탑과 모바일에서 네트워크에 접속을 하는데 접속시간이 랩탑에서 압도적으로 많다면 그 모바일을 통한 우회 공격이나 서드파티 침투를 조금이라도 방지하기 위해 연결을 해제해야 할까? 아니면 사용이 아예 없는 건 아니니 언제고 활용이 가능하도록 계속 연결 상태를 유지시키는 게 더 나을까? 관리자가 정책을 정할 때 단번에 흑백이 갈리는 경우는 거의 없다. 그래서 유연성이 중요하다.

4. 기존 인프라와의 호환성
VPN은 공인된 혹은 허가된 기존의 원격 접근 인프라와 부드럽게 연동되어야 한다. 그래야 새로운 사용자 기기가 프레임워크 안으로 잘 흡수되기 때문이다. 사용하려는 VPN이 기존의 인프라에서 어떤 식으로 작동하고 운영될 수 있는지 미리 정보를 모아서 검토해보는 과정이 꼭 필요하다. 기존의 네트워크 보안 프레임워크와 잘 맞지 않는다면 기능이 아무리 좋아도 그 기업 내에서는 쓸모가 없는 VPN일 뿐이다.

모든 보안 솔루션이 그렇지만 VPN 역시 그 자체만으로 모바일 기기와 기업의 정보를 완벽히 보호할 수는 없다. 다만 모바일에 대한 적정선의 관리 기법, 접근 제어, 애플리케이션 관리 등의 여러 가지 여건과 맞물려 시너지를 낼 때 VPN은 효과를 발휘할 수 있다. VPN은 문제 해결로 가는 하나의 부속품일 뿐 근본 대처법은 되지 못한다.
@DARKReading

[국제부 문가용 기자(boan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>