기기 관리란 무엇인가요?

기기 관리는 중앙 집중식 플랫폼을 통해 조직 내 모든 컴퓨팅 엔드포인트를 등록, 구성, 보안 설정 및 유지 관리하는 과정을 말합니다. 여러 사무실과 재택 근무지에 50대의 MacBook이나 5,000대의 iPhone이 분산되어 있는 경우, 기기 관리는 이러한 기기들이 규정 준수 상태를 유지하고, 패치를 적용받으며, IT 부서의 통제 하에 있도록 하는 운영 계층입니다.

이 글에서는 기기 관리가 기술적으로 어떻게 작동하는지, 이 분야가 기본적인 MDM에서 오늘날의 선언적 프로토콜로 어떻게 진화해 왔는지, 그리고 업무 부담을 줄여주는 플랫폼과 오히려 더 많은 업무를 야기하는 플랫폼을 구분하는 기준이 무엇인지 자세히 살펴봅니다.

기기 관리의 정의: 실제로 포함하는 범위

대부분의 공급업체가 제시하는 기기 관리의 정의는 너무 협소합니다. 이 용어는 원래 모바일 기기 관리(MDM)를 의미했는데, 이는 애플, 구글, 마이크로소프트가 자사 운영 체제에 내장하여 IT 팀이 등록된 기기에 정책 명령을 전송할 수 있도록 한 프로토콜이었습니다. 오늘날 기기 관리는 조직 내 모든 엔드포인트를 포괄합니다:

• 노트북 및 데스크톱 (macOS, Windows, Linux)
• 모바일 기기 (iOS, iPadOS, Android)
• 현장, 소매점 또는 의료 환경에서 사용되는 태블릿
• IoT 및 공용 키오스크

핵심 기능은 기기의 전체 수명 주기를 아우릅니다:

1. 등록: 기기를 개봉하는 즉시(제로 터치) 또는 수동으로 관리 플랫폼에 기기를 등록

2. 구성: Wi-Fi 프로필, VPN 설정, 이메일 계정 및 보안 정책 푸시

3. 애플리케이션 관리: 사용자의 개입 없이 자동으로 앱을 배포, 업데이트 및 제거

4. 보안 정책 적용: 암호 요구, FileVault 또는 BitLocker 활성화, USB 포트 차단, 화면 잠금 타이머 강제 적용

5. OS 및 패치 관리: 정해진 일정에 따라 OS 업데이트를 배포하고, 적용 기한을 강제 적용합니다.

6. 원격 작업: 기기에 물리적으로 접근하지 않고도 기기를 잠그거나, 데이터를 초기화하거나, 재시작하거나, 위치를 파악

7. 자산 현황 및 보고: 하드웨어 사양, 설치된 소프트웨어, 규정 준수 상태 및 구성 편차 파악

앱 수명 주기, 신원 통합, 보안 툴링 등 순수한 MDM 프로토콜을 넘어서는 모든 기능이 바로 업계가 보다 광범위한 프레임워크로 이동한 이유입니다.

MDM, EMM, UEM의 의미: 범주의 진화 과정

플랫폼을 평가할 때 MDM, EMM, UEM 간의 차이를 이해하는 것이 중요합니다. 공급업체들은 매우 다른 기능을 제공하면서도 이러한 용어를 혼용하여 사용하기 때문입니다.

MDM(모바일 기기 관리) 은 구체적으로 OS 수준의 프로토콜을 의미합니다. 기기가 MDM에 등록되면 플랫폼은 Apple Push Notification Service(APNs), Google Firebase Cloud Messaging 또는 Windows Push Notification Services를 통해 구성 프로필과 명령을 전송할 수 있습니다. MDM은 기기 수준에서 작동합니다. 즉, 암호 정책을 적용하거나 기기를 초기화할 수는 있지만, 앱이 어떤 작업을 수행하거나 어떤 데이터를 처리하고 있는지에 대해서는 파악할 수 없습니다.

EMM(기업 모빌리티 관리) 은 MDM을 확장하여 모바일 애플리케이션 관리(MAM) 및 모바일 콘텐츠 관리(MCM)를 포함시켰습니다. MAM을 통해 IT 부서는 앱 수준에서 정책을 적용할 수 있으며, 이는 직원의 개인 기기를 제어하지 않으면서도 Outlook 내의 기업 데이터를 보호해야 하는 BYOD 환경에서 중요합니다. 앱 래핑과 컨테이너화는 이 시기에 등장했습니다.

UEM(통합 엔드포인트 관리)은 휴대폰뿐만 아니라 모든 기기 유형에 걸쳐 동일한 정책 프레임워크를 확장합니다. UEM 플랫폼은 통합된 정책 모델을 통해 단일 콘솔에서 맥북, 안드로이드 휴대폰, 윈도우 워크스테이션, 아이패드를 관리합니다. 이를 통해 많은 IT 팀이 여전히 사용하고 있는 분산된 도구 세트(맥용 도구 하나, 윈도우용 도구 하나, 모바일용 도구 하나)를 없앨 수 있습니다.

실질적인 시사점은 다음과 같습니다. 오늘날 MDM이라고 자칭하는 대부분의 플랫폼은 최소한 EMM 수준의 기능을 제공합니다. 만약 2026년이 되어도 어떤 벤더가 여전히 “MDM”을 독립된 개념으로 내세운다면, 해당 벤더의 UEM 로드맵에 대해 날카롭게 질문해 보십시오.

기기 관리의 기술적 작동 원리

기기 관리의 아키텍처는 간단하지만, 구현 세부 사항에 따라 운영에 드는 부담이 결정됩니다.

모든것은 등록 채널에서 시작됩니다. Apple Business Manager(ABM)와 Apple School Manager(ASM)를 사용하면 기기를 개봉하기 전에 미리 MDM 서버에 할당할 수 있습니다. 직원이 새 Mac이나 iPhone을 처음 켤 때, 기기는 애플 서버를 확인하여 자신에게 할당된 MDM 정보를 찾아내고, IT 부서가 하드웨어를 직접 다루지 않아도 자동으로 등록을 시작합니다. 이것이 바로 제로 터치 배포입니다.

등록이 완료되면 MDM 서버는 푸시 알림과 체크인 주기를 통해 기기와 통신합니다. 기기는 일정 간격으로 서버를 폴링하여 대기 중인 명령을 수신하고, 이를 실행한 후 결과를 보고합니다. 기존 MDM 프로토콜에서는 이를 요청-응답 모델로 보았습니다. 즉, 서버가 요청하면 기기가 응답하는 방식입니다.

선언형 기기 관리(DDM)는 이러한 아키텍처를 완전히 뒤집습니다. 2021년 애플이 도입하고 2022년 감독형 기기 지원을 통해 상용화된 DDM은 지능을 기기 자체로 옮깁니다. 서버가 기기를 폴링하는 대신, 사용자가 원하는 상태("이 기기는 macOS 15.3 이상을 실행해야 함")를 선언하면 기기가 자율적으로 해당 상태를 달성하기 위해 노력하며, 요청을 기다리지 않고 상태 변경 사항을 선제적으로 보고합니다. 그 결과 정책 적용 속도가 빨라지고, 서버 부하가 줄어들며, 기기가 오프라인 상태일 때도 더 안정적으로 정책이 적용됩니다.

특히 OS 업데이트의 경우, DDM 적용을 통해 서버가 각 기기의 시간대를 별도로 추적할 필요 없이, 기기가 현지 시간대를 기준으로 유지보수 시간대에 필요한 업데이트를 적용할 수 있습니다.

구성 프로파일은 Apple 기기에서 대부분의 정책을 전달하는 수단입니다. 프로파일은 Wi-Fi 페이로드, 암호 페이로드, 인증서 페이로드 등과 같은 페이로드를 포함하는 서명된 XML 파일입니다. 프로파일은 기기 범위(모든 사용자에게 적용) 또는 사용자 범위(특정 사용자 세션에 적용)로 설정될 수 있습니다. 기기의 등록이 해제되면 MDM을 통해 배포된 프로파일은 자동으로 제거됩니다.

BYOD 대 기업 소유: 올바른 관리 모드 선택

기기 소유 모델에 따라 MDM이 행사할 수 있고 행사해야 하는 제어 범위가 결정됩니다.

기업 소유 기기는 완전한 기기 관리를 지원합니다. IT 부서는 ABM을 통해 iOS 및 iPadOS 기기를 감독할 수 있으며, 이를 통해 비감독 기기에서는 사용할 수 없는 관리 기능(무통보 앱 설치 및 제거, 웹 콘텐츠 필터링, 키오스크용 단일 앱 모드, 활성화 잠금 우회, DDM)을 활용할 수 있습니다. macOS에서는 자동 기기 등록(ADE)을 통해 OS 수준에서 동일한 결과를 달성할 수 있습니다.

BYOD 시나리오에는 다른 접근 방식이 필요합니다. 개인 기기를 전체 MDM에 등록하면 개인 데이터가 IT 부서의 감시 범위에 노출될 수 있으며, 많은 관할권에서 법적 및 개인정보 보호상의 위험이 발생할 수 있습니다. 더 깔끔한 해결책은 사용자 등록(iOS 13 이상 및 macOS Catalina 이상에서 사용 가능)으로, 이를 통해 관리 대상 데이터와 개인 데이터 사이에 암호화적 분리가 이루어집니다. IT 부서는 기업용 앱과 계정을 제어할 수 있으며, 개인 영역은 비공개로 유지됩니다.

OS 수준에서 개인 기기를 관리할 수 없거나 관리하지 않으려는 조직의 경우, MAM 전용 등록을 통해 앱 계층에서 정책을 적용합니다. 일반적으로 관리 대상 앱에 내장된 SDK를 사용하거나 Microsoft Outlook, Slack과 같은 앱의 컨테이너화를 통해 이루어집니다.

BYOD 결정은 하드웨어 자산 관리 전략에도 영향을 미칩니다. 완전한 MDM 등록을 적용하면 하드웨어 및 소프트웨어 자산에 대한 전체 정보를 확보할 수 있습니다. MAM 전용 등록의 경우, 앱 버전과 규정 준수 상태는 확인할 수 있지만 하드웨어 사양이나 기타 설치된 소프트웨어는 확인할 수 없습니다.

보안 및 규정 준수를 위해 기기 관리가 중요한 이유

관리 대상에서 벗어난 기기는 모니터링할 수도, 패치를 적용할 수도, 사고 발생 시 대응할 수도 없는 기기입니다. 이것이 바로 보안 측면에서 가장 핵심적인 논거입니다.

기기 관리가 직접적으로 완화하는 구체적인 위험 요소:

• 패치되지 않은 취약점: 자동화된 OS 업데이트 적용을 통해 CVE 공개 시점과 전체 기기 군에 대한 패치 배포 사이의 시간 간격을 좁힐 수 있습니다. 관리 체계가 없다면 개별 사용자가 업데이트를 선택하도록 의존할 수밖에 없습니다.
• 기준 구성 편차: 기기에는 시간이 지남에 따라 승인되지 않은 소프트웨어, 비활성화된 보안 설정, 잘못 구성된 제어 기능이 누적됩니다. MDM을 통한 지속적인 적용은 이러한 편차를 감지하고 수정합니다.
• 기기 분실 및 도난: 원격 잠금 및 데이터 삭제 기능은 MDM의 기본 기능입니다. ABM을 통한 ‘내 기기 찾기(Find My)’ 연동은 Apple 기기에 대한 추가 위치 서비스를 제공합니다.
• 무단 액세스: 강력한 암호 요구, 화면 잠금 타이머 강제 적용, 디스크 암호화 활성화는 모든 MDM이 적용할 수 있는 정책 항목입니다. 중앙 집중식 적용이 없다면 사용자의 자제력에 의존할 수밖에 없습니다.

규정 준수 관점에서 볼 때, NIST SP 800-124(기업 내 모바일 기기 보안 관리 지침) 및 macOS와 iOS에 대한 CIS 벤치마크를 포함한 프레임워크는 MDM 정책 설정과 직접 연계되는 구체적인 구성 제어 사항을 제공합니다. 많은 규제 산업에서는 규정 준수의 조건으로 입증 가능한 기기 관리를 요구합니다. SOC 2, HIPAA 및 FedRAMP 감사관들은 정기적으로 MDM 등록률, 암호화 상태 및 패치 적용 주기에 대한 증거를 요청합니다.

기기 관리와 제로 트러스트 아키텍처

기기 관리는 제로 트러스트의 기초이며, 선택적인 부가 기능이 아닙니다. 제로 트러스트 보안은 모든 액세스 요청에 대해 액세스가 허용되기 전에 기기 상태, 사용자 신원 및 컨텍스트를 기준으로 평가해야 합니다. 관리에 등록되지 않은 기기의 경우 기기 상태를 평가할 수 없습니다.

실제로 이러한 통합은 다음과 같이 이루어집니다. MDM 플랫폼이 기기의 규정 준수 상태(암호화됨, MDM 등록됨, 알려진 취약점 없음, 지원되는 OS 버전 실행 중)를 신원 제공자(IdP)에 보고합니다. IdP는 이 신호를 SSO 플랫폼과 공유하며, SSO 플랫폼은 이를 접근 허용 조건으로 활용합니다. 규정 준수 검사를 통과하지 못한 기기는 기업 리소스에 대한 접근이 차단되거나 문제 해결 절차로 리디렉션됩니다.

이러한 아키텍처는 MDM, IdP 및 액세스 제어 계층 간의 긴밀한 통합을 필요로 합니다. 세 개의 별도 벤더 API를 강제로 결합해야 하는 플랫폼은 유지 관리 부담을 가중시킬 뿐만 아니라, 동기화 간격 동안 규정 미준수 기기가 빠져나갈 수 있는 허점을 발생시킵니다.

Iru의 기기 관리 접근 방식

Iru는 Apple 기기를 효과적으로 관리하려면 일반적인 UEM 플랫폼이 제공할 수 있는 것보다 더 깊은 OS 통합이 필요하다는 전제 하에 구축되었습니다. 이를 반영하는 몇 가지 구체적인 기능은 다음과 같습니다.

DDM 우선 OS 적용은 운영 측면에서 가장 중요한 요소입니다. Iru는 관리 대상 Apple 기기에 대한 능동적인 DDM 지원을 최초로 제공한 플랫폼 중 하나였으며, 현재 DDM은 전체 기기 군에 걸쳐 OS 업데이트 적용을 주도하고 있습니다. 알림으로 기기를 쫓아다닐 필요 없이, 최소 OS 버전과 기한을 지정하기만 하면 됩니다. 기기는 자체적으로 업데이트를 적용하며, 현지 시간대를 인식하여 업데이트 시점을 처리합니다. 피드백 루프는 선제적입니다. Iru의 보고 기능은 폴링 주기가 아닌 기기 상태가 변경되는 즉시 이를 반영합니다.

블루프린트 기반 구성은 대부분의 MDM 콘솔에서 시간을 소모하는 프로필별 설정 작업을 대체합니다. 특정 기기 그룹(예: 엔지니어링용 노트북이나 소매용 iPad)에 매핑되는 블루프린트를 생성하고, 여기에 앱, 매개변수 및 라이브러리 항목을 할당하면, 해당 범위 내의 모든 기기에 변경 사항이 자동으로 적용됩니다. 대부분의 구성 작업에 별도의 스크립팅 계층이 필요하지 않습니다.

내장된 EDR 및 취약점 관리 기능은 많은 IT 팀이 별도의 엔드포인트 보안 도구를 구매하도록 만드는 공백을 메워줍니다. 위협 탐지, 행동 분석, 타사 앱에 대한 자율 패치 기능은 별도의 에이전트나 콘솔이 필요 없이 동일한 플랫폼 내에서 작동합니다.

Workforce Identity는 Mac 로그인을 위한 비밀번호 없는 SSO 기능을 동일한 플랫폼에 통합하므로, 신원 관리 계층을 별도의 벤더와 연동할 필요가 없습니다. 기기 규정 준수 상태는 추가적인 API 연결 없이도 액세스 결정에 직접 반영됩니다.

Iru는 Windows 및 Android도 지원하므로, 각 OS마다 별도의 도구를 관리하고 싶지 않은 혼합 기기 환경을 운영하는 조직에 중요합니다.

적합한 기기 관리 플랫폼 선택 방법

기기 관리가 무엇인지 이해했다면, 이제 어떤 플랫폼이 귀사의 환경에 적합한지 결정하는 것이 더 어려운 문제입니다. 다음 요소를 고려해 보십시오:

플랫폼 지원 범위 대 Apple 지원 깊이. 모든 OS를 지원하지만 Apple을 부차적으로 취급하는 플랫폼은 감독 기반 기능, 당일 OS 지원, DDM을 제공하지 못할 수 있습니다. 기기 구성의 대부분이 Apple인 경우, 플랫폼에 구애받지 않는 범용 UEM 공급업체는 실질적인 운영 비용을 초래합니다.

등록 경험. ABM을 통한 제로 터치 등록은 기본 요건입니다. 정상적인 경로를 벗어나 구매된 기업 기기, 사용자 간 기기 재할당, 등록 실패 복구와 같은 특수한 사례를 플랫폼이 어떻게 처리하는지 평가하십시오.

정책 세분화. 플랫폼이 귀사의 규정 준수 프레임워크에서 요구하는 특정 CIS 벤치마크 통제 사항을 적용할 수 있습니까? 구성 매핑 문서를 요청하십시오.

통합 범위. 플랫폼이 귀사의 IdP와 규정 준수 상태를 어떻게 공유합니까? 이벤트 로그 전달을 위해 귀사의 SIEM을 지원합니까? 웹훅을 호출하거나 티켓팅 시스템과 통합할 수 있습니까?

보고 및 가시성. 하드웨어 인벤토리 관리는 이를 뒷받침하는 보고 계층이 있어야만 그 진가를 발휘합니다. 기기 인벤토리를 대상으로 임의의 쿼리를 생성할 수 있는지, 아니면 미리 정의된 보고서에만 국한되는지 평가하십시오.

최신 프로토콜 지원. 플랫폼이 현재 DDM을 지원하지 않는다면, 언제 지원될 예정인지 문의하십시오. 애플은 선언적 관리에 투자하고 있으며, DDM 네이티브 플랫폼과 기존 폴링 기반 플랫폼 간의 격차는 OS가 출시될 때마다 더욱 벌어질 것입니다.

Iru데모를 예약하여 실제 기기 환경에서 블루프린트 구성, DDM 적용, 규정 준수 보고 과정을 직접 확인해 보세요.