Microsoft 365로 작은 회사를 운영하면서 모두의 휴대폰에 업무 이메일을 넣고 싶다면, 간단해 보이지만 전혀 간단하지 않은 질문에 부딪히게 된다: 내 소유가 아닌 기기에서 회사 데이터를 어떻게 보호할 것인가?

답은 명확한 트레이드오프를 가진, 잘 정의된 도구들의 스택이다. 제대로 쓰면 같은 휴대폰 안에서 회사 데이터는 강력하게 보호하고 개인 데이터는 완전한 프라이버시를 보장할 수 있다. 이 글은 그 개념들, 트레이드오프, 우리가 실제로 사용한 셋업 — 그리고 거기까지 가는 동안 부딪힌 문제들에 대한 가이드다. 문제가 한둘이 아니었기 때문이다.

왜 굳이 — 팩트부터

이 일을 제대로 할 가치가 있는 몇 가지 단순한 이유:

휴대폰은 이미 개인 소유다. 작은 회사는 법인 하드웨어를 나눠 주지 않는다. 사람들은 주머니 속 기기로 이메일과 Teams를 확인하고, 그러니 그 기기는 관리하든 안 하든 이미 범위 안에 들어와 있다.
관리되지 않는 액세스는 실재하는 데이터 경로다. 그냥 두면 회사 메일과 파일은 암호화 요구 사항도, PIN도, 데이터가 어디로 복사되는지에 대한 통제도 없고, 휴대폰을 잃어버리거나 사람이 떠날 때 제거할 방법도 없는 앱 안에 놓이게 된다.
우리는 중요한 데이터를 다룬다. 플레이어 자금과 개인정보가 있는 플랫폼을 운영하기 때문에, 내부 액세스도 최선을 다해 보는 수준이 아니라 명확히 정의된 기준(CIS/SOC 2 스타일의 통제)에 맞춘다.
프라이버시는 있으면 좋은 것이 아니라 요구 사항이다. 우리가 무엇을 하든 IT의 손이 누군가의 개인 앱, 사진, 메시지, 위치까지 닿게 해서는 안 된다.

목표는 구체적이었다: 휴대폰에서 회사 데이터로 가는 모든 경로가 정의된 보안 기준을 충족하되, 그 주변의 개인 기기는 관리하지 않는 것.

문제를 정확히 정의하면

두 가지 요구 사항이 동시에 적용된다:

회사 데이터는 보호가 필요하다 — 암호화되고, 액세스가 통제되고, 휴대폰을 잃어버리거나 사람이 떠나면 제거할 수 있어야 한다.
개인 휴대폰은 그 사람의 것이다 — 사진, 채팅, 앱, 위치는 사적으로 남고 IT의 손이 닿지 않아야 한다.

모바일 디바이스 관리는 이 둘을 동시에 만족시키기 위해 만들어진 도구다. 이 가이드의 나머지는 그 도구 상자와 각 부품이 어떻게 맞물리는지에 대한 이야기다.

도구 상자: 휴대폰을 관리하는 세 가지 방법

Microsoft Intune이 제공하는 건 스위치가 아니라 스펙트럼이다:

1. MAM — 모바일 애플리케이션 관리는 앱을 관리한다. 업무 앱만 보호하고 휴대폰의 나머지는 건드리지 않는다. 등록(enrollment)이 필요 없다.

2. MDM — 모바일 디바이스 관리는 기기를 관리하며, 두 가지 뚜렷한 방식이 있다:

직장 프로필 / 사용자 등록 — 개인 휴대폰 위의 분리되고 암호화된 업무용 컨테이너. IT는 그 컨테이너만 관리한다.
완전 관리형 — IT가 기기 전체를 관리한다. 회사 소유 하드웨어에 적합하고, 개인 휴대폰에는 맞지 않다.

대부분의 팀은 옵션 1과 옵션 2의 "완전 관리형" 끝단만 고려하고, 둘 다 거부한 뒤, 느슨한 무언가로 타협한다. 정말 쓸모 있는 옵션은 그 중간에 있다.

개념 1: MAM / 앱 보호

Intune의 앱 보호 정책이 MAM 레이어다. Outlook 같은 앱에 정책을 적용하면:

앱 안의 회사 데이터를 암호화한다.
앱을 열 때 PIN이나 생체 인증을 요구한다.
회사 데이터를 개인 앱으로 보내는 copy, Save As, Open in을 차단한다.
개인 데이터는 건드리지 않고 회사 데이터만 지우는 선택적 초기화가 가능하다.

이 중 어느 것도 기기 등록을 요구하지 않는다. 휴대폰은 온전히 개인 것으로 남고, 업무 앱만 관리된다. 많은 BYOD 사례에서는 이 정도면 충분하고 — 우리의 출발점이기도 했다.

개념 2: 규정 준수는 등록을 전제한다

모든 것을 하나로 묶어 주는 개념이 디바이스 규정 준수다.

기기가 "규정 준수" 상태라는 건 관리에 등록되어 있고 동시에 정의해 둔 상태 규칙 — 디스크 암호화 켜짐, 화면 잠금 설정, OS 패치 적용, 루팅 안 됨 등 — 을 충족한다는 뜻이다. 규정 준수는 기기가 보고하고 관리 시스템이 검증하는 상태다.

핵심은 이것이다: 등록된 적 없는 기기의 규정 준수는 평가할 수 없다. MAM의 전제는 무등록이므로, MAM만 적용된 휴대폰은 앱 수준에서는 보호되지만 절대 "규정 준수"가 될 수 없다 — 확인할 등록 대상 자체가 없기 때문이다. Require compliant device와 "무등록"은 설계상 상호 배타적이다.

기기 수준의 보장을 원한다면 기기가 무언가에는 등록되어 있어야 한다. 그게 바로 중간 옵션을 가리킨다.

개념 3: 직장 프로필

Android에서 중간 옵션은 (Android Enterprise를 통한) 직장 프로필이다. iOS에서의 대응물은 사용자 등록(User Enrollment)이다. 모델은 이렇다:

직장 프로필은 개인 휴대폰 위의 분리되고 암호화된 컨테이너다. IT는 그 컨테이너 안에 있는 것만 관리한다. 그 밖의 모든 것 — 개인 앱, 사진, 메시지, 계정 — 은 IT가 보지도, 만지지도, 지우지도 못하는 공간에 있다.

업무 앱은 개인 홈 화면 옆에 배지가 붙은 세트로 나타나고, 컨테이너 안에 샌드박스된다. 기기는 업무 컨테이너 범위로 등록되고 규정 준수 상태가 된다. 개인 데이터는 사적으로 남는다. 여기서 "등록"이란 회사가 기기가 아니라 컨테이너를 관리한다는 뜻이다.

개념 4: 조건부 액세스

Microsoft Entra의 조건부 액세스(CA)가 액세스 게이트다. 로그인을 허용하기 전에 정의해 둔 조건들을 확인한다. 여기서 관련 있는 허가는 두 가지다:

Require app protection — 앱에 MAM 정책이 적용되어 있으면 액세스를 허용한다. MAM과 짝을 이룬다.
Require compliant device — 기기가 등록되어 있고 정상 상태면 액세스를 허용한다. MDM / 직장 프로필과 짝을 이룬다.

어떤 모델을 쓰는지 강제하는 곳이 바로 CA다. 허가를 바꾸면 액세스의 기준이 바뀐다.

우리가 걸어간 길

모델이 잡히고 나면 구축은 단순하다:

MAM으로 시작한다. 업무 앱에 앱 보호를 적용하고, 앱 보호를 요구하는 CA 규칙을 더한다. 가장 가벼운 방식이다.
필요한 보장 수준을 정한다. "앱이 보호된다"로 충분하다면 여기서 멈춰도 된다 — 그것도 유효한 선택이다. 우리는 기기 수준의 보장을 원했다.
Managed Google Play를 테넌트에 연결해 Android Enterprise를 활성화한다. 직장 프로필 등록을 열어 주는 일회성 연결이다.
휴대폰을 개인 소유 직장 프로필로 등록한다. 배지가 붙은 암호화된 업무 공간이 만들어지고, 개인 영역은 건드려지지 않으며, 기기는 몇 분 안에 compliant를 보고한다.
Managed Google Play에서 업무 앱을 배포한다 — Outlook, Teams, Edge, Office 앱들을 승인하고 할당하면 컨테이너 안에 설치된다.
CA 허가를 Require app protection에서 Require compliant device로 옮긴다 — 노트북에 적용하는 것과 같은 기준이다.

여기까지가 깔끔한 버전이다. 실제로는 이런 일이 있었다.

부딪힌 문제들, 그리고 해결한 방법

1. 관리되는 모든 앱이 "기기가 규정을 준수하지 않음"으로 차단됐다. 우리 MAM 앱 보호 정책에는 조건부 실행 규칙 appActionIfDeviceComplianceRequired가 block으로 설정되어 있었다. 완화하려고 하니 Intune은 block 또는 wipe만 받아 줬다 — API가 null과 warn을 거부한다. 개념 2와 합쳐지면 이건 닫힌 루프다: 정책은 규정 준수 기기를 요구하는데, MAM만 적용된 휴대폰은 등록된 적이 없으니 절대 규정 준수가 될 수 없고, 그래서 모든 앱이 차단되고 Company Portal은 계속 등록을 시도한다. 클라이언트 측에서 강제되기 때문에 Entra 로그인 실패로는 절대 나타나지 않는다 — 진단을 어렵게 만드는 디테일이다.

해결: 게이트와 싸우지 말 것. 기기를 (직장 프로필로) 등록해서 실제로 규정 준수가 가능하게 만든 다음, 그 플랫폼에서는 MAM에서 손을 뗀다(문제 5 참고).

2. Company Portal: "등록 요구 사항을 충족하지 않습니다." Android Enterprise가 연결되기 전에는 직장 프로필 등록 경로 자체가 없어서, 등록 시도가 도착할 곳이 없었다.

해결: Managed Google Play를 연결해 Android Enterprise를 바인딩한다. 직장 프로필 등록을 가능하게 만드는 게 바로 이 연결 하나다.

3. Google 계정 충돌 — 가장 많은 시간을 잡아먹은 단계. Managed Google Play는 엔터프라이즈의 소유자가 되는 Google 계정으로 바인딩한다. 우리의 비즈니스 이메일은 이미 개인 Google 계정에 묶여 있었고, Google은 이를 충돌하는 계정(conflicting account)으로 취급한다 — 같은 주소로 조직/Workspace 관리자를 만들게 해 주지 않는다. 놓치기 쉬운 부분이고, 모든 걸 멈춰 세운다.

해결: 충돌부터 해소한다. Google의 충돌 계정 처리 절차를 통해 그 이메일을 비우거나(해당 주소의 기존 개인 Google 계정 이름을 바꾸거나 폐쇄), Google에 등록된 적 없는 전용 계정을 쓴다. 여기에는 진짜 시간을 배정해 둘 것 — 작은 팀이 첫날에 막힐 가능성이 가장 높은 단 하나의 지점인데, 정작 Intune과는 아무 상관이 없다.

4. 등록 후 직장 프로필이 텅 비어 있었다. 직장 프로필 앱은 개인 영역에서 넘어오지 않는다. 갓 만들어진 컨테이너에는 아무것도 없다.

해결: Managed Google Play에서 앱을 승인하고 그룹에 Required(자동 설치) 또는 Available(직장 프로필 스토어에서 직접 설치)로 할당한다. 그러면 컨테이너 안에 배지가 붙은 앱으로 나타난다.

5. 기기가 규정 준수가 된 뒤에도 여전히 "규정 미준수". 기기는 이제 compliant를 보고하는데 Outlook은 여전히 거부했다. 원인: 직장 프로필에서 이제 MDM으로 관리되는 바로 그 앱에 MAM 앱 보호 정책이 여전히 적용되어 있었고, 그 정책의 기기 규정 준수 게이트가 등록과 충돌했다. MAM과 MDM은 같은 앱을 공동으로 관리하고 싶어 하지 않는다.

해결: 플랫폼당 하나의 모델에 전념한다. Android 앱 보호 정책 할당을 해제하고 Android의 조건부 액세스 허가를 Require app protection에서 Require compliant device로 바꿨다. 직장 프로필 기기가 이를 직접 충족하고, 충돌할 MAM 게이트는 더 이상 남아 있지 않다.

6. 우리 정책이 우리 관리 도구를 차단했다 — AADSTS530033. Intune 변경을 자동화하던 중 관리자 로그인이 거부됐다: 조건부 액세스가 디바이스 코드 로그인을 거절한 것인데, 그 토큰이 규정 준수 기기에 바인딩되어 있지 않기 때문이다.

해결: 권한 있는 작업은 이미 규정 준수 상태인 기기에서 실행해 토큰이 기기에 바인딩되게 한다 — 예를 들어 관리되는 머신에서 Connect-MgGraph를 대화형으로 실행한다. 교훈은 긍정적이다: 여러분의 조건부 액세스가 디바이스 코드 로그인을 막을 수 있다면, 제대로 구성된 것이다.

AI와 함께 만든다는 것

우리는 공개적으로 만들고, 운영까지 포함해 AI와 함께 만든다. AI는 하나의 구성을 여러 갈래로 빠르게 검토해 나가는 데 효과적이다. 우리는 여기에 한 가지 규칙을 짝지운다: AI는 제안하고, 사람이 결정한다 — 특히 보안을 건드리는 것이라면 무엇이든. 이 분업이 작은 팀이 더 큰 팀의 속도로 움직일 수 있게 해 준다.

기억해 둘 멘탈 모델

MAM은 앱을 관리하고, MDM은 기기를 관리한다. 필요한 보장 수준에 따라 선택할 것.
규정 준수는 등록을 전제한다. 등록된 적 없는 기기는 검증할 수 없으니, Require compliant device와 "무등록"은 공존할 수 없다.
직장 프로필이 중간 옵션이다. 기기가 아니라 컨테이너를 관리한다 — 기기 규정 준수와 개인 프라이버시를 동시에.
앱당 모델은 하나. MDM으로 옮긴 앱에 MAM 정책을 남겨 두지 말 것. 한 길을 골라라.
조건부 액세스가 기준을 정한다. 모델에 맞는 허가를 고르고, 강제는 CA에 맡겨라.

우리가 고작 몇 개의 업무 메일함에 이만큼의 공을 들인 이유는, 모바일 액세스를 지키는 이 규율이 곧 플랫폼에서 여러분의 계정, 자금, 데이터를 지키는 규율이기 때문이다. 보안은 고객 눈에 보이는 부분만이 아니라 내부 작업 전체를 관통하는 습관이다.

그럼, 테이블에서 뵙겠습니다.

BYOD, 제대로 하기: Intune으로 개인 휴대폰을 보호하는 필드 가이드