MDM(모바일 기기 관리): 등록부터 폐기까지 보안 정책을 폐루프로 묶는 법
OMA-DM 표준과 플랫폼별 프로토콜을 통합하는 MDM의 구조, BYOD·COPE·COBO 소유 모델별 정책 설계, 온보딩부터 규정준수까지의 운영 흐름을 정리한다.
2026-08-13 · 최초 발행 2025-11-26
회사가 지급하거나 승인한 스마트폰·태블릿이 수백~수천 대로 늘어나면, iOS와 Android와 Windows가 뒤섞인 단말군을 개별로 손보는 방식은 곧바로 한계에 부딪힌다. MDM(Mobile Device Management)은 이 단말들을 등록부터 폐기까지 하나의 정책 체계 아래 두는 솔루션이다.
표준 하나로는 안 되고, 플랫폼별 프로토콜을 병행해야 한다
OMA(Open Mobile Alliance)가 정의한 OMA-DM/OMA-CP가 관리 프로토콜의 공통 기반이지만, 실제 현장에서는 이것만으로 충분하지 않다. iOS·iPadOS·macOS는 Apple MDM 프로토콜을, Android는 Android Enterprise(Work Profile/COBO/COPE)를, Windows는 OMA-DM 기반 CSP(Configuration Service Provider)를 쓴다. 그래서 MDM 솔루션은 표준 프로토콜 위에 플랫폼별 네이티브 인터페이스를 얹어 세 갈래를 동시에 다뤄야 한다.
이 위에서 소유 모델이 갈린다. BYOD(개인 소유)·COPE(회사 소유·부분 개인)·COBO(회사 소유·업무 전용)는 통제 강도와 개인정보 보호 범위가 서로 다른 전제를 깔고 있고, 하나의 정책 세트로 셋을 동시에 만족시킬 수 없다.
실제 기능의 구성
디바이스 관리는 하드웨어·OS 속성을 수집하고 네트워크·암호화·잠금 설정을 원격으로 구성하는 일부터 시작한다. 분실·도난 시 원격 잠금·초기화를 실행하고, 프로파일 기반으로 정책을 일괄 적용한다. 원격 잠금·지우기를 실제로 적용한 조직 사례를 보면, 분실 단말로 인한 데이터 유출 사고가 80~90% 줄어든다.
사용등록·추적관리는 사용자와 단말을 바인딩하는 절차다. Apple ADE/DEP나 Android Zero-touch 같은 자동등록과 자가등록 포털을 함께 지원하며, 위치·자산 상태를 추적하고 교체·폐기 같은 수명주기 이벤트를 이력으로 남긴다. 자동 자산 동기화와 비준수 탐지를 결합하면 인벤토리 정확도를 95% 이상으로 유지할 수 있다.
보안정책은 암호 정책·디바이스 암호화·루팅/탈옥 탐지·Wi-Fi/VPN/인증서 배포·카메라와 복사-붙여넣기 같은 기능 제한을 포함한다. 정책은 우선순위와 스코프에 따라 차등 적용되고, 비준수 단말은 자동으로 격리·퇴출된다.
소프트웨어·콘텐츠 배포는 앱스토어와 내부 앱을 함께 다루며 버전을 통제하고 강제 설치·업데이트 창을 관리한다. 키오스크(전용 모드) 구성과 콘텐츠 만료 정책도 여기 속한다. 자동등록과 무중단 업데이트를 전제로 하면 앱·프로파일 배포 리드타임을 50~70% 단축할 수 있다.
규정준수·감사는 준수 규칙 엔진이 실시간으로 상태를 수집해 SIEM·ITSM에 알림을 보내고, 변경 이력·감사 로그를 보존해 컴플라이언스 보고를 자동화하는 영역이다.
소유 모델별로 정책이 완전히 달라지는 이유
원격근무·BYOD 환경에서는 Work Profile로 업무와 개인 데이터를 분리하고, 클립보드·스크린샷·백업을 차단하는 DLP를 적용한다. 비준수 단말은 자동으로 네트워크에서 격리된다.
물류·제조 현장의 COBO 단말은 반대 방향이다. 전용 앱을 키오스크 모드로 고정하고 자동 로그인·오프라인 캐시를 구성하며, 스캐너·프린터 같은 주변기기 프로파일을 사전에 탑재하고 야간 무중단 업데이트 창을 둔다.
영업조직·대리점의 COPE는 두 극단의 중간이다. 개인 영역은 보호하면서 업무 영역에는 강제 보안을 병행하고, 지점 안에 들어오면 Wi-Fi·VPN 프로파일이 위치 기반으로 자동 활성화되며, 분실 신고 시에는 업무 영역만 원격 삭제한다.
온보딩은 인증부터 모니터링까지 폐루프로 돈다
디바이스가 등록되는 과정은 사용자 자격증명과 디바이스 식별자(IMEI/Serial), 소유 모델을 입력받아 인증·등록 → 프로파일 설치 → 정책/앱 배포 → 준수 검사 → 보고·모니터링 순으로 흐른다.
정책은 버전 단위로 원자적으로 적용되고 실패하면 롤백되며, 동시에 여러 정책이 충돌하면 우선순위·스코프 해석 규칙이 먼저 적용된다. 인증에 실패하면 등록을 거절하고 알림을 보내고, 네트워크가 불안정하면 지연·재시도·오프라인 큐로 처리하며, 정책이 충돌하면 최상위 정책을 우선하고 예외 워크플로로 넘긴다.
온프레미스냐 클라우드냐
| 지표 | 온프레미스 | 클라우드(SaaS) |
|---|---|---|
| 성능 | 내부망 최적화, 대규모 푸시 시 네트워크 설계 필요 | 글로벌 CDN/푸시 최적화, 지역 PoP 활용 |
| 확장성 | 하드웨어 증설·DB 튜닝 필요 | 수평 확장 자동화, 사용량 기반 요금 |
| 일관성 | 정책/에이전트 버전 동기화 관리 부담 | 관리 콘솔/에이전트 자동 업데이트 |
| 안정성 | DR 설계·이중화 별도 구축 | 내장 고가용성·가용 SLA 제공 |
| 운영 편의 | 패치·백업 내부 운영 | 무중단 업데이트, 운영 자동화 도구 제공 |
온프레미스는 데이터 주권과 맞춤 통제에서 강점을 갖는 대신 초기·지속 운영 비용을 떠안는다. 클라우드는 릴리즈 속도와 확장성이 강점이지만 지역 규제와 인터넷 의존을 감안해야 한다.
운영에서 실제로 갈리는 지점
등록·소유 모델 분리 설계가 첫 원칙이다. BYOD는 Work Profile과 데이터 분리를 우선하고, COBO는 키오스크·잠금 정책을 우선한다. 모델별로 정책 세트와 컴플라이언스 규칙을 분리 배포해야 섞이지 않는다.
인증·암호화는 SSO(MFA)와 연계하고 디바이스·파일 암호화를 강제하며, 루팅·탈옥이 탐지되면 자동으로 격리하고 시정 조치를 건다. 네트워크·인증서는 PKI 기반으로 자동 발급·갱신하고 Wi-Fi·VPN 프로파일을 롤링하며, 만료·폐기 이벤트를 모니터링과 연계한다.
배포 창구는 대역폭 스로틀과 피어 캐싱을 활용해 야간·유휴 시간에 몰아넣고, 1%→10%→100% 같은 단계적 배포와 빠른 롤백 경로를 확보하는 편이 안전하다. 모든 정책 변경과 원격 조치에는 RBAC와 승인 워크플로를 적용하고, 감사 로그는 장기 보관해 SIEM 분석과 연결한다.