MDM, 사생활 침해 논란 '오해와 진실'

[성지은기자] 스마트폰 같은 개인 소유 기기로 업무를 보는 'BYOD(Bring Your Own Device)' 환경이 확대되면서 기업내에도 모바일 단말관리(MDM) 필요성이 증가하고 있다.

MDM은 모바일 기기를 기업 IT 관리자가 통제할 수 있도록 지원하는 솔루션이다. 기업 내에서 스마트폰 촬영, 음성 녹음 등을 방지해 회사 내부 정보가 유출되지 않도록 하기 위한 것. 기업용(엔터프라이즈) 애플리케이션(앱)을 수월하게 관리할 수 있도록 관련 기능을 지원하기도 한다.

그러나 MDM 도입과 관련 기업 내 임직원의 반발이 거세다. 개인 소유 기기에 기업 보안을 적용, 사생활 정보를 수집하고 개인 프라이버시를 침해하는 것 아니냐는 의혹이 여전한 때문이다.

이와 관련 국내 MDM 시장 1위 사업자 지란지교시큐리티를 통해 MDM 논란에 관련한 '오해와 진실'을 들어 봤다.

◆MDM, 무차별 개인정보 수집?

먼저 MDM 도입을 반대하는 측에선 MDM을 사용하면, 과도한 정보 수집으로 개인 사생활 침해 문제가 발생할 수 있다고 우려한다. 가령 사용 중인 애플리케이션(앱)이 수집돼 사생활이 침해될 수 있다고 문제를 제기하는 것.

이에 대해 강정구 지란지교시큐리티 모바일보안사업부 부장은 "MDM은 사용자 앱 목록을 수집하는 게 아니라 사내 업무 앱 정보만 수집한다"며 "사내에서 관리하는 업무 앱을 관리하기 위해 현황 정보를 파악하는 것으로, 사용자의 앱 정보를 수집하지 않는다"고 강조했다.

권한 승인 문제와 관련해서도 과장되게 보이는 측면이 있다는 점도 설명했다. 예를 들어, 사용자 입장에서는 MDM이 카메라 제어 기능만 제공하는데 위치 정보에 접근할 수 있도록 권한 승인을 요청하는 것. 이때 사용자는 MDM이 과도하게 정보를 수집하는 것처럼 느낄 수 있다.

그러나 이와 같은 권한 승인은 사용자 편리성을 높이기 위함이지, 개인정보 수집에 목적을 둔 것이 아니라는 설명이다.

강 부장은 "보안 구역에서 벗어났음에도 불구하고 MDM 기능이 해지되지 않았을 때, 기능을 해지하기 위해 위치를 확인하는 것"이라면서 "카메라 차단 기능 외에 과도하게 정보를 수집하고 위치를 추적하지 않는다"고 선을 그었다.

예를 들어 직장에서 카메라 기능을 차단했는데, 퇴근한 뒤 카메라 차단 기능이 정상 해지되지 않을 경우 사용자들이 불편함을 겪을 수 있다. 이때 IT 관리자는 사용자가 보안 구역에 있는지 밖에 있는지 알아야 기능을 해지할 수 있다. 때문에 카메라 차단 기능과 관련 위치 정보 권한 승인을 요청하기도 한다고 강 부장은 설명했다.

그는 "위치를 확인할 때, 개인 스마트폰의 위치를 서버로 전송한 뒤 이를 비교하는 방식이 아니다"라며 "보안구역의 GPS 값을 개인 기기에 받은 뒤, 이를 사용자 위치와 비교하고 사용자가 보안 구역 밖에 있으면 MDM 기능을 해지할 수 있도록 하는 방식을 취한다"고 말했다.

이어 "사용자 위치를 서버에 저장하지 않기 때문에 위치 정보 수집을 걱정할 필요가 없다"면서 "혹여나 위치 확인과 관련한 문제를 우려하면, 이 기능을 넣지 않기도 한다"고 덧붙였다.

◆내 위치도 추적, 원격제어?

기기 원격 제어, 주소록 수집 기능과 관련해서는 개인 기기엔 적용되지 않고 주로 법인 기기에 적용된다는 점도 강조했다.

법인 기기가 분실될 경우, 기업 측면에선 자산 손실이 발생할 수 있다. 스마트폰에 저장된 고객사 정보(이름, 전화번호 등)가 유출돼 개인정보유출 문제가 발생할 수 있다.

따라서 이러한 문제를 방지하기 위해 MDM에 위치 추적 기능을 넣어 기기를 회수하거나, 원격 제어로 주소록 등의 데이터를 삭제할 수 있게 한다. 서비스가 필요해 개인 기기에 관련 기능을 추가할 경우, 미리 고지하고 사용자의 동의하에 기능을 제공한다.

강 부장은 "MDM 운영을 위해 기기정보 값 등 최소한의 정보만을 수집한다"며 "이마저도 사용자에게 반드시 고지하고 동의를 받은 상태에서 서비스를 제공하며, 어떤 MDM이든지 개인정보보호법에서 요구하는 기준을 준수한다"고 말했다.

이어 "지란지교시큐리티는 100여개 고객사에 MDM을 구축했지만, MDM 도입 목적에서 벗어난 정보를 수집한 적도, 이 때문에 법적으로 논란이 된 적도 없다"며 "MDM을 도입하기 전 웹에서 정보 수집의 목적, 권한 승인의 이유 등을 설명한다"고 덧붙였다.

일부 사용자는 MDM을 사용할 경우, 배터리가 빨리 닳고 데이터 사용량이 증가할 수 있다는 우려를 제기하기도 한다. 그러나 이에 대해서도 그는 "MDM 기술 고도화돼 배터리 사용이 미미하고, 이는 기술적으로도 증명돼있다"며 "데이터 사용도 미미하다"고 말했다.

강 부장은 "MDM은 순수하게 모바일 보안을 높이기 위한 기술"이라면서 "기술적으로만 봤을 때는 정보 수집이나 위치 추적이 가능하나, 이는 명백한 개인정보법 위반이기 때문에 모바일 보안 업체로서 관련 기능을 개발·제공하지 않고 이를 요구하는 업체도 없다"고 일축했다.

이어 "MDM은 기업 정보를 보호하고 관리하기 위한 기술이지 직원의 사생활을 감시하거나 개인정보를 수집하기 위한 기술이 아니다"면서 "최초 설치 동의에서 명확한 목적을 명시하고 충분한 설명을 거치기 때문에 MDM 도입과 관련해 필요 이상의 불안감을 가질 필요는 없다"고 거듭 강조했다.