2012.03.21

MDM의 기능과 한계, 단지 모바일 보안의 일환인가

George V. Hulme | CSO
기업에게 희소식이 있다. 모바일 기기가 강력해지고 있다는 것이다. 신형 아이폰은 1980년대 초기의 무거운 노트북보다 100배 더 가벼워지고, 100배 더 빨라졌으며, 10배 더 저렴해졌다.
 
하지만 이것이 기업에게 희소식이라고 해서 CISO에게도 희소식인 것은 아니다. 모바일 기기는 상당한 용량의 자료를 저장할 수 있으며, 애플리케이션은 강력하고 네트워크 속도는 끝없이 증가하고 있다. 
 
그리고 사용자는 자신의 기기를 가져와 본인이 원하는 앱을 다운로드하고 원하는 네트워크에 연결해 웹 서핑을 즐기는 상황에서 기업은 직접적인 통제를 전혀 하지 못하고 있다.
 
모바일 기기의 관리를 쉽게 하기위해 기업들은 점차 MDM(Mobile Device Management) 애플리케이션과 서비스를 도입하고 있다. 그리고 MDM은 보안 문제에 도움이 된다. 그런데 얼마나?
 
전문가들은 이 툴이 모바일 위험을 줄일 수 있다고 한다. 그러면서도 MDM 전용 모바일 보안 프로그램에 의존하는 것은 외발 의자에 앉아있는 것과 같다고 폄하했다. 
 
성장하는 MDM, 자동화 보안정책 필요
포레스터 리서치에 따르면 MDM 시장에는 40개 이상의 개발업체가 배치 관리와 문제 해결 및 지원, 재고, 원격 제어, 보고 기능 등의 핵심 기능을 갖춘 소프트웨어를 제공하고 있다. 
 
이 시장은 현재 성장하고 있다. IDC는 지난 2009년의 MDM 시장 규모가 약 2억 6,500만 달러 정도였으며, 매년 9%씩 성장하고 있다고 전했다. 또한 내년부터는 성장 속도가 10% 이상으로 증가할 것으로 전망했다.
 
MDM은 데이터를 검출하고 원격으로 삭제하며, 암호 및 암호화 정책을 실행함으로써 위험을 감소시킨다. 스파이어 시큐리티 연구 책임자 피트 린드스톰은 "MDM을 도입해 더욱 자동화된 방식으로 보안 정책을 실행하는 것이 옳다"고 언급했다.
 
린드스톰은 "모바일 기기가 확산되고 기기에서 애플리케이션과 데이터의 가치가 증가하면서 더 많은 기업들이 기기의 배치, 종류, 용도 등을 관리하고 싶어한다. 이런 것들은 전통적인 자산관리 기능에 포함된다고 볼 수도 있을 것"이라고 설명했다. 
 
하지만 전통적인 자산관리 애플리케이션이 일정 수준의 보안을 수립하고 노트북과 재택 근무자의 시스템을 통제했을 때처럼 이것들도 시스템과 데이터의 보안을 유지하는데 필요한 모든 것들을 관리할 수는 없다. MDM이라고 해서 완전히 다른 것은 아니다.
 
기기에 초점을 맞추면 보안은 어렵다 
HP 소프트웨어 월드와이드 수석 보안 전문가 라팔 로스는 "단지 기기에 초점을 맞추면서 보안의 수준이 높기를 바랄 수는 없다"고 말했다.
 
로스는 "시스템을 전체적으로 살펴봐야 한다. 여기에는 기반 시설, 애플리케이션, 데이터에 접속하고 사용하는 방법 등이 포함된다"며, "이것은 기기에서 애플리케이션에 내재된 보안뿐만이 아니라 애플리케이션 서버 및 접속하는 데이터베이스까지 살펴보는 것을 의미한다"고 설명했다.
 
애플리케이션 보안은 서버, 데스크톱, 노트북, 웹 사이트, 모바일 기기 등 애플리케이션이 설치된 장소를 불문하고 웹 이전의 시절부터 문제가 됐다. 그리고 핵심 영역에서 MDM 툴은 위험에 직면한 기기에서 패치를 제공하는 것 외에 아무런 역할을 하지 못하고 있다. 
 
지난해 봄에 발견된 안드로이드용 스카이프의 프라이버시 문제를 생각해 보자. 스카이프의 인스턴트 메시지가 안전하게 저장되지 않아 악성 앱 또는 해당 기기에 접근할 수 있는 사람이 메시지의 내용을 볼 수 있었다. 
 
이 사건뿐만이 아니라 다른 모바일 앱(시티은행 모바일 앱 등)에서도 취약성이 발견되고 있다.
 


2012.03.21

MDM의 기능과 한계, 단지 모바일 보안의 일환인가

George V. Hulme | CSO
기업에게 희소식이 있다. 모바일 기기가 강력해지고 있다는 것이다. 신형 아이폰은 1980년대 초기의 무거운 노트북보다 100배 더 가벼워지고, 100배 더 빨라졌으며, 10배 더 저렴해졌다.
 
하지만 이것이 기업에게 희소식이라고 해서 CISO에게도 희소식인 것은 아니다. 모바일 기기는 상당한 용량의 자료를 저장할 수 있으며, 애플리케이션은 강력하고 네트워크 속도는 끝없이 증가하고 있다. 
 
그리고 사용자는 자신의 기기를 가져와 본인이 원하는 앱을 다운로드하고 원하는 네트워크에 연결해 웹 서핑을 즐기는 상황에서 기업은 직접적인 통제를 전혀 하지 못하고 있다.
 
모바일 기기의 관리를 쉽게 하기위해 기업들은 점차 MDM(Mobile Device Management) 애플리케이션과 서비스를 도입하고 있다. 그리고 MDM은 보안 문제에 도움이 된다. 그런데 얼마나?
 
전문가들은 이 툴이 모바일 위험을 줄일 수 있다고 한다. 그러면서도 MDM 전용 모바일 보안 프로그램에 의존하는 것은 외발 의자에 앉아있는 것과 같다고 폄하했다. 
 
성장하는 MDM, 자동화 보안정책 필요
포레스터 리서치에 따르면 MDM 시장에는 40개 이상의 개발업체가 배치 관리와 문제 해결 및 지원, 재고, 원격 제어, 보고 기능 등의 핵심 기능을 갖춘 소프트웨어를 제공하고 있다. 
 
이 시장은 현재 성장하고 있다. IDC는 지난 2009년의 MDM 시장 규모가 약 2억 6,500만 달러 정도였으며, 매년 9%씩 성장하고 있다고 전했다. 또한 내년부터는 성장 속도가 10% 이상으로 증가할 것으로 전망했다.
 
MDM은 데이터를 검출하고 원격으로 삭제하며, 암호 및 암호화 정책을 실행함으로써 위험을 감소시킨다. 스파이어 시큐리티 연구 책임자 피트 린드스톰은 "MDM을 도입해 더욱 자동화된 방식으로 보안 정책을 실행하는 것이 옳다"고 언급했다.
 
린드스톰은 "모바일 기기가 확산되고 기기에서 애플리케이션과 데이터의 가치가 증가하면서 더 많은 기업들이 기기의 배치, 종류, 용도 등을 관리하고 싶어한다. 이런 것들은 전통적인 자산관리 기능에 포함된다고 볼 수도 있을 것"이라고 설명했다. 
 
하지만 전통적인 자산관리 애플리케이션이 일정 수준의 보안을 수립하고 노트북과 재택 근무자의 시스템을 통제했을 때처럼 이것들도 시스템과 데이터의 보안을 유지하는데 필요한 모든 것들을 관리할 수는 없다. MDM이라고 해서 완전히 다른 것은 아니다.
 
기기에 초점을 맞추면 보안은 어렵다 
HP 소프트웨어 월드와이드 수석 보안 전문가 라팔 로스는 "단지 기기에 초점을 맞추면서 보안의 수준이 높기를 바랄 수는 없다"고 말했다.
 
로스는 "시스템을 전체적으로 살펴봐야 한다. 여기에는 기반 시설, 애플리케이션, 데이터에 접속하고 사용하는 방법 등이 포함된다"며, "이것은 기기에서 애플리케이션에 내재된 보안뿐만이 아니라 애플리케이션 서버 및 접속하는 데이터베이스까지 살펴보는 것을 의미한다"고 설명했다.
 
애플리케이션 보안은 서버, 데스크톱, 노트북, 웹 사이트, 모바일 기기 등 애플리케이션이 설치된 장소를 불문하고 웹 이전의 시절부터 문제가 됐다. 그리고 핵심 영역에서 MDM 툴은 위험에 직면한 기기에서 패치를 제공하는 것 외에 아무런 역할을 하지 못하고 있다. 
 
지난해 봄에 발견된 안드로이드용 스카이프의 프라이버시 문제를 생각해 보자. 스카이프의 인스턴트 메시지가 안전하게 저장되지 않아 악성 앱 또는 해당 기기에 접근할 수 있는 사람이 메시지의 내용을 볼 수 있었다. 
 
이 사건뿐만이 아니라 다른 모바일 앱(시티은행 모바일 앱 등)에서도 취약성이 발견되고 있다.
 


X