애플 아이폰, 10년 만에 모바일 전자정부 문턱 넘는다

국정원 "연내 MDM 국가용 보안요구사항 개발"

지난 6월 10일 국가정보원 IT보안제품 보안적합성 검증정책 설명회 현장. [사진=임민철 기자]

국가정보원(이하 '국정원')이 올 하반기 애플 아이폰용 '모바일 기기 관리(MDM)' 제품에 대한 보안요구사항을 연내 마련하겠다고 예고했다. 내년 이후 아이폰이 공무원 업무용 스마트폰으로 도입될 가능성이 열렸다. 아이폰이 지난 2012년 행정안전부 모바일 전자정부 사업에서 배제된 이래 구글 안드로이드폰에 치우쳤던 행정·공공기관용 모바일 기기 조달 시장이 10년 만에 재편될 전망이다.

11일 정보보안 업계에 따르면 국가정보원은 지난달 서울 양재동에서 설명회를 열고 현행 '정보기술(IT) 보안제품 국가용 보안요구사항' 주요 내용과 향후 개발 계획을 발표했다. 국정원에 따르면 국가용 보안요구사항은 공공 분야에 도입되는 IT 보안제품에 필요한 보안 기능을 서술한 문서로 정부 도입 IT 보안제품에 국가 배후 해킹 조직 공격 기법을 막는 기능을 반영하기 위해 개발된다.

이날 국정원 발표자는 공공 부문에 도입이 늘 것으로 예상되는 아이폰용 MDM 제품, 랜섬웨어 대응 제품, 생체인식 인증 제품, 클라우드 기반 정보보호 제품, 가상 네트워크 스위치 제품 등 여섯 가지 제품 유형에 대한 국가용 보안요구사항을 신규 개발할 계획이라고 밝혔다. 국정원 발표자는 "업계 의견 수렴 절차를 거쳐 (내용을 수정·보완해) 배포할 계획"이라며 "올해 개발 완료를 목표로 한다"고 언급했다.

MDM은 조직 내 개인이 쓰는 스마트폰이나 태블릿 등으로 발생할 수 있는 보안 문제(기기 분실·도난, 정보유출)를 방지하는 제품이다. 보안 관리자는 MDM 서버 연동 애플리케이션(이하 '앱')이 설치된 모바일 기기 상태를 원격으로 파악하고 제어할 수 있다. 기업은 출장·원격·재택 근무를 하는 직원들이 모바일 기기로 전자결재 등 사내 업무망에 접속하고 출근한 직원들과 협업하도록 지원하기 위해 MDM을 도입한다.

민간 기업에 판매되는 MDM은 일반적으로 모바일 시장을 양분한 구글 안드로이드와 애플 iOS 운영체제 탑재 스마트폰을 모두 지원하기 때문에 기업 내 사용자가 안드로이드폰을 쓰든 아이폰을 쓰든 문제가 되지 않는다. 그런데 공공기관용 MDM은 안드로이드폰만 쓸 수 있다. MDM 제품 공급 기업이 조달 사업 참여 시 따라야 하는 '스마트폰 보안관리제품' 보안요구사항이 애초에 아이폰을 다루지 않기 때문이다.
 

국정원 "애플 기기 등록 프로그램 등재돼야"…공무원 개인 구매 아이폰 BYOD 불가능

이번 설명회에서 국정원이 국가용 보안요구사항 개발 대상 제품으로 언급한 '아이폰용 MDM'은 이름 그대로 아이폰 보안 관리가 가능한 MDM 제품을 뜻한다. 아이폰용 MDM에 대한 국가용 보안요구사항이 개발되면 행정·공공기관은 아이폰과 안드로이드폰으로 모두 접속할 수 있는 행정업무용 시스템과 앱을 구축하고 기기 종류에 대한 제약 없이 조달 계약으로 일괄 구매해 기관 업무에 활용할 수 있게 된다.

다만 실제 개발된 국가용 보안요구사항을 충족해 기관에 도입된 아이폰용 MDM으로는 공무원들이 개인적으로 구매해 사용하는 아이폰을 제어·관리할 수 없다. 국정원 발표자는 "아이폰용 MDM은 조직(기관)이 직접 애플사(社)로부터 구매해 기기 등록 프로그램에 (관리용 일련번호 등이) 등재된 기기를 대상으로 작동한다"면서 "통신사나 대리점에서 판매하는 (소비자용) 기기에는 적용되지 않는다"고 설명했다.

애플 기기 등록 프로그램은 애플이 운영하는 'Device Enrollment Program(DEP)'을 지칭한 것이다. MDM을 도입하기로 한 조직은 직원에 지급할 아이폰 등 애플 기기 생산을 발주하면서 애플 공인 총판사에 생산된 기기에 대한 DEP 등록을 신청할 수 있다. DEP를 통해 애플 서버에 정보가 등재된 기기가 구매 조직의 IT 관리 부서로 배송되고 직원에게 지급되기 전에 MDM 연동 앱 설치, 보안 설정이 자동으로 진행된다.

기존 MDM을 도입한 기관 소속 공무원들은 개인적으로 구매한 안드로이드폰에 직접 MDM 연동 앱을 설치하고 기관 보안 설정을 적용해 행정업무망 접속을 할 수 있다. 이처럼 직원이 소유한 모바일 기기를 일터에서 쓰는 방식을 '브링 유어 오운 디바이스(BYOD)'라고 한다. 하지만 아이폰용 MDM 도입 시 전제되는 애플 DEP 절차를 감안하면 공무원들이 개인적으로 산 아이폰을 BYOD 방식으로 업무에 쓰긴 어렵다.

정보보호에 민감한 기업·기관이 기밀 유출 방지 등 보안을 목적으로 외부인 기기에 MDM 연동 앱 설치를 요구할 때가 있다. 기관은 앱이 설치된 기기 소지자 정보를 수집하고 기기의 촬영·녹취 기능과 데이터 송수신을 제한할 수 있다. 하지만 이 역시 아이폰을 쓰는 방문자에겐 해당되지 않는다. 지난 5월 대통령경호실이 대통령실 출입 기자들에게 설치를 요구했다가 철회한 보안 앱도 안드로이드폰에만 쓸 수 있었다.
 

아이폰용 MDM 보안요구사항 개발되면 모바일 전자정부 지원 플랫폼 다양화 가능

10여년 전 국내에 스마트폰이 보급되고 일선 행정·공공기관 소속 공무원과 협력 업체 임·직원들이 모바일 기기로 더 효율적으로 일할 수 있는 '스마트 워크'를 지원할 필요가 있다는 논의가 대두됐다. 행정안전부는 2011년부터 전국 중앙·지방 행정기관과 교육기관 소속 공무원 98만여명이 청사 내 업무용 PC로 가능했던 행정업무를 스마트폰으로도 처리할 수 있는 '공무원 대상 모바일 전자정부 서비스' 구축을 추진했다.

당시 행정안전부는 공무원 대상 모바일 전자정부 서비스를 보안상 안전하게 운영하기 위해 이동통신사, 주요 스마트폰 제조사와 함께 모바일 앱·보안 관리 시스템 구축 방안을 사전 협의했다. 국정원에 삼성전자, LG전자, 팬텍, 애플 등이 출시한 주요 스마트폰 대상 보안성 검토를 의뢰했다. 서비스 가동 시 공무원용 기기에 모바일 백신과 MDM 솔루션 설치 등 보안 조치를 적용하는 방안도 계획됐다.

공무원 대상 모바일 전자정부 서비스는 아이폰·아이패드 등 애플 iOS 운영체제를 탑재한 기기를 지원하지 못했다. 국정원이 주요 단말에 대한 보안성을 검토하면서 각 제조사에 소스코드 공개 등 요구사항을 전달했는데 2012년 시스템 구축이 본격화할 때까지 애플이 요구사항을 수용하지 않았기 때문이다. 아이폰을 쓰는 공무원이 행정업무에 필요한 전용 앱을 사용하려면 안드로이드폰을 따로 마련해야 했다.

2014년 말부터 문자로 업무 소통을 하거나 내부 문서 자료를 주고 받을 수 있는 공무원 대상 메신저 '바로톡'이 보급되기 시작했다. 바로톡은 공무원들이 모바일 업무 처리 시 '카카오톡' 같은 민간 메신저를 쓸 경우 보안 문제가 발생할 소지를 없애기 위해 개발됐는데 이 앱도 처음엔 안드로이드폰 전용이었다. 정부가 백신 설치 등 일부 보안 요건을 포기한 후 2016년 8월에야 아이폰용 바로톡이 나왔다.

이후에도 아이폰에 구현된 공무원용 전자정부 서비스는 온전히 구현되지 않았다. 정부는 2015년 하반기 공무원들이 80여개 내부·현장 행정업무를 모바일로 처리할 수 있게 하는 '바로일터'를 보급하기 시작했다. 바로일터는 메신저(바로톡), 메일, 문서유통(모바일 온나라), 인사관리(e-사람), 업무포털, 유무선 통합 전화 등 다양한 전자정부 서비스를 위한 '공통기반'이자 MDM이었는데 또 안드로이드만 지원했다.