[논문 리뷰] BYOD Security: A New Business Challenge

Kathleen Downer, Maumita Bhattacharya|arXiv (Cornell University)|2016. 01. 06.

Information and Cyber Security참고 문헌 22인용 수 3

한 줄 요약

이 논문은 기업 내 BYOD(Bring Your Own Device)의 증가하는 보안 도전 과제를 다루며, BYOD 보안 문제의 분류 체계를 제안하고 기존 프레임워크를 평가한다. 핵심 취약점을 특정하고 해결책의 한계를 분석하며, 역동적인 BYOD 환경에서 더 효과적이고 기업 전략에 부합하는 보안 전략을 이끌어내는 데 기여한다.

ABSTRACT

Bring Your Own Device (BYOD) is a rapidly growing trend in businesses concerned with information technology. BYOD presents a unique list of security concerns for businesses implementing BYOD policies. Recent publications indicate a definite awareness of risks involved in incorporating BYOD into business, however it is still an underrated issue compared to other IT security concerns. This paper focuses on two key BYOD security issues: security challenges and available frameworks. A taxonomy specifically classifying BYOD security challenges is introduced alongside comprehensive frameworks and solutions which are also analysed to gauge their limitations.

연구 동기 및 목표

• BYOD 도입으로 인한 증가하는 기업 위험을 다루되, 그 보안 영향에 대한 인식이 제한되어 있음에도 불구하고.
• 기업 환경에서 BYOD와 관련된 핵심 보안 과제를 특정하고 분류하기.
• 기존 BYOD 보안 프레임워크를 평가하여 그 강점과 한계를 밝히기.
• 효과적인 BYOD 보안 정책의 설계 및 구현을 안내하기 위해 체계적인 분류 체계를 제공하기.
• BYOD 보안을 기업 IT 전략에서 중요하게 여겨지지 않는 핵심적 문제로 위치시키기.

제안 방법

• 위협 벡터와 공격 표면을 기반으로 BYOD 보안 과제를 분류하기 위한 종합적인 분류 체계를 개발하였다.
• 기존 BYOD 보안 프레임워크를 검토하고 분석하여 그 커버리지와 실용적 적용 가능성을 평가하였다.
• 확장성, 기기 다양성 지원, 기업 시스템과의 통합 능력 등의 기준을 활용해 프레임워크를 평가하였다.
• 식별된 보안 과제를 특정한 제어 메커니즘과 정책 이행 지점에 매핑하였다.
• 사례 기반 분석을 통해 실제 기업 환경 구현에서 프레임워크의 한계를 입증하였다.
• 발견된 결과를 종합하여 BYOD 보안 솔루션의 선택 및 적응을 위한 체계적인 접근법을 도출하였다.

실험 결과

연구 질문

• RQ1 기업 환경에서 BYOD가 초래하는 주요 보안 과제는 무엇인가?
• RQ2 기존 BYOD 보안 프레임워크는 식별된 위협과 취약점을 어떻게 다루고 있는가?
• RQ3 현재 프레임워크가 다양한 기기 유형과 기업 정책을 처리하는 데 있어 핵심적인 한계는 무엇인가?
• RQ4 표준화된 분류 체계는 BYOD 보안 전략의 설계 및 구현을 어떻게 향상시킬 수 있는가?
• RQ5 BYOD 보안은 그 채택이 증가하고 있음에도 불구하고 다른 IT 보안 문제에 비해 여전히 과소평가되는 이유는 무엇인가?

주요 결과

• BYOD는 데이터 泄露, 기기 해킹, 정책 이행 곤란 등 광범위한 보안 과제를 초래한다.
• 기존 프레임워크는 이질적인 기기 생태계와 동적 액세스 패턴에 대한 포괄적 커버리지가 빈곤한 편이다.
• 많은 프레임워크가 사용자 프라이버시와 기업 데이터 보호 간의 균형을 충분히 고려하지 못하고 있다.
• 제안된 분류 체계는 BYOD 위협을 분석 가능한 개별 구성요소로 효과적으로 분류하여 위험 평가를 향상시킨다.
• 인식이 증가하고 있음에도 불구하고, BYOD 보안은 다른 IT 위험에 비해 여전히 기업 보안 계획에서 우선순위가 낮게 설정되어 있다.
• 프레임워크 평가 결과, 변화하는 기업 및 모바일 기기 환경에 대한 확장성과 적응성 측면에서 심각한 격차가 드러났다.