재택근무 보안 (네트워크, VPN, 제로트러스트)

네트워크, VPN, 제로트러스트

코로나 이후 재택근무가 장기화되면서 저도 처음엔 식탁 위 노트북 하나로 버텼습니다. 그러다 회의가 늘고 집중 업무 시간이 길어지면서 "이건 아니다" 싶은 순간이 왔습니다. 특히 보안과 속도 사이에서 매일 타협을 강요받는 느낌이었습니다. 재택근무 보안, 제대로 설계하면 생산성과 공존할 수 있습니다.

집에서 사무실처럼 쓰려면, 네트워크부터 다시 봐야 합니다

솔직히 처음에는 네트워크 환경을 건드릴 생각을 못 했습니다. 그냥 ISP에서 설치해준 기본 공유기를 그대로 쓰고 있었습니다. 문제는 화상회의가 잦아지면서 서서히 드러났습니다. 화면이 끊기고, 음성이 밀리고, 결국 회의 중간에 나갔다 다시 들어오는 일이 반복됐습니다.

결국 공유기 교체부터 시작했습니다. 새 공유기로 바꾸면서 SSID를 두 개로 분리했습니다. SSID(Service Set Identifier)란 Wi-Fi 네트워크를 구분하는 이름으로, 업무용과 개인용을 아예 다른 네트워크로 나눠버리는 방식입니다. 스마트 TV, 태블릿, 가족 스마트폰은 개인 네트워크에 물리고, 업무용 PC만 별도 네트워크에 연결했습니다. 이것만으로 간섭이 줄고 체감 속도가 달라졌습니다.

여기에 QoS(Quality of Service) 설정도 건드렸습니다. QoS란 네트워크 트래픽의 우선순위를 지정해 특정 서비스에 대역폭을 우선 배분하는 기능입니다. Zoom이나 Google Meet 트래픽이 유튜브 스트리밍보다 먼저 처리되도록 설정하고 나니 화상회의 품질이 눈에 띄게 안정됐습니다.

가정용 라우터 보안에서 간과하기 쉬운 부분도 있습니다. 관리자 계정 비밀번호를 기본값 그대로 쓰거나, 펌웨어를 수년째 업데이트하지 않는 경우가 많습니다. 이런 구형 설정은 공격자에게 사실상 문을 열어두는 것과 마찬가지입니다. 기본 중의 기본이지만, 실제로 확인해보면 잊고 있는 경우가 적지 않습니다.

VPN은 만능이 아니다, 재택 보안의 현실

재택근무자 중 상당수가 회사 VPN에 의존합니다. VPN(Virtual Private Network)이란 인터넷 구간에서 암호화된 가상의 전용 터널을 생성해 데이터를 안전하게 주고받는 기술입니다. 보안 측면에서는 분명히 의미가 있습니다.

그런데 제가 직접 써보니 현실은 좀 달랐습니다. VPN을 켜는 순간 유튜브, 일반 웹서핑, 심지어 뉴스 하나 보는 것도 회사 서버를 거쳐가는 구조가 됩니다. Zoom이나 Google Meet 같은 서비스는 원래 P2P나 최적화된 라우팅으로 지연 없이 동작하도록 설계됐는데, VPN 환경에서는 이 구조 자체가 무너집니다. 한국IDC의 2023년 조사에서 재택근무자의 58%가 VPN 속도 저하로 업무 효율이 떨어진다고 응답한 것은 저만의 경험이 아니었음을 확인해줬습니다(출처: 한국IDC).

저는 IT 팀에 스플릿 터널링(Split Tunneling) 방식으로 변경을 요청했습니다. 스플릿 터널링이란 VPN 연결 시 업무 관련 트래픽만 암호화 터널로 보내고, 그 외 일반 인터넷 트래픽은 VPN을 거치지 않고 직접 나가도록 분리하는 방식입니다. 그러나 돌아온 답은 "보안 정책상 불가"였습니다. 이해는 했지만 납득하기는 어려웠습니다.

결국 제가 택한 방법은 물리적 분리였습니다. 업무용 PC는 유선 LAN으로 직접 연결하고, 개인 기기는 무선 네트워크를 따로 쓰는 방식입니다. VPN 문제의 완전한 해결은 아니었지만, 적어도 개인 트래픽이 업무 구간을 침범하거나 반대의 상황이 생기는 것을 막을 수 있었습니다.

VPN의 또 다른 맹점도 있습니다. 암호화가 오히려 탐지를 어렵게 만든다는 점입니다. 재택 환경에서 악성코드가 VPN 터널을 타고 사내로 유입되면, 암호화된 패킷 안에 숨어 있어 전달 과정에서 탐지와 대응이 매우 어려워집니다. VPN이 보안의 전부라고 믿는 시각에는 분명히 한계가 있습니다.

제로 트러스트, 유행어인가 실질적 해법인가

최근 보안 분야에서 제로 트러스트(Zero Trust)라는 개념이 자주 등장합니다. 제로 트러스트란 "어떤 사용자나 기기도 기본적으로 신뢰하지 않고, 매번 인증과 검증을 거쳐야 접근을 허용한다"는 보안 철학입니다. 네트워크 경계가 사실상 사라진 재택근무 환경에서 기존 경계 방어 방식의 한계를 돌파하는 접근으로 주목받고 있습니다.

저는 이 방향이 옳다고 봅니다. 다만 제로 트러스트를 도입하면 모든 게 해결된다는 식의 묘사에는 동의하기 어렵습니다. 핵심은 '지속적 검증'입니다. 한 번 로그인했다고 신뢰를 유지하는 것이 아니라, 사용자의 위치, 기기 상태, 행동 패턴을 계속 모니터링하고 이상이 감지되면 즉각 접근을 차단합니다. 이 원칙을 구조적으로 구현한 것이 DaaS(Desktop as a Service)입니다.

DaaS란 사용자의 업무 환경 전체를 클라우드 서버에서 실행하고, 로컬 기기에는 화면만 전달되는 방식의 가상 데스크톱 서비스입니다. 직원이 어떤 기기로, 어떤 네트워크에서 접속하든 실제 데이터는 클라우드 안에서만 처리되고 밖으로 나오지 않습니다. 화면 캡처 방지, 워터마크 삽입, 클립보드 복사 제한 같은 제어 기능도 함께 적용할 수 있어 정보 유출 경로 자체를 구조적으로 차단합니다(출처: 과학기술정보통신부).

재택근무 보안의 핵심 체크포인트를 정리하면 다음과 같습니다.

• 라우터 관리자 비밀번호와 펌웨어를 최신 상태로 유지한다
• 업무용 Wi-Fi와 개인용 Wi-Fi를 SSID로 분리한다
• VPN의 한계를 인식하고, 가능하면 물리적 네트워크 분리를 병행한다
• 제로 트러스트 원칙에 따라 MFA(다중 인증)를 반드시 적용한다
• 사용하는 업무 도구가 DaaS 환경을 지원하는지 IT팀과 논의한다

물론 개인 레벨에서 DaaS까지 갖추기는 현실적으로 어렵습니다. 하지만 라우터 펌웨어 업데이트, 강력한 Wi-Fi 패스워드, 업무와 개인 네트워크의 분리처럼 돈이 들지 않는 보안 위생(Security Hygiene)만 제대로 지켜도 실질적인 위험을 크게 줄일 수 있습니다. 보안 위생이란 복잡한 솔루션 이전에 기본적인 보안 관행을 꾸준히 유지하는 습관을 뜻합니다. 제 경험상, 값비싼 솔루션보다 이 기본기가 훨씬 먼저입니다.

재택근무 보안을 '보안 팀의 몫'으로만 여기던 시절은 지났습니다. 네트워크 경계가 집 안까지 들어온 지금, 개인도 보안의 한 축을 담당해야 합니다. 거창한 시스템보다 오늘 당장 라우터 설정 화면을 한 번 열어보는 것에서 시작하면 충분합니다. 작은 습관이 큰 사고를 막는 것, 저는 직접 경험하고 나서야 제대로 실감했습니다.

---

참고:

• SpeedyKorea – 재택근무 보안 VPN vs DaaS 가이드 (speedykorea.com)
• 지니언스 – 재택근무 정보보안 가이드라인 (genians.co.kr)
• CIO Korea – 재택근무 보안 직원이 할 수 있는 10가지 (cio.com)
• 삼성SDS 인사이트 – 재택근무 인터넷 보안 강화 방안 (samsungsds.com)
• 센스톤 블로그 – 제로 트러스트 재택근무 보안 (ssenstone.com)