Intune에서 개인 장치를 원격 삭제로부터 보호하는 방법

만약 귀하의 근무 환경이 개인 기기 반입(BYOD)을 허용한다면, 항상 일부 중요한 위험이 수반됩니다. 이 위험을 완화하기 위해 IT 조직은 Intune을 배포합니다. 잘못 구성된 정책이나 관리자 오류로 인해 개인 스마트폰이나 태블릿이 완전히 공장 초기화될 수 있으며, 이는 치명적인 데이터 손실을 초래할 수 있습니다. 이 글에서는 Intune에서 개인 기기를 원격 초기화로부터 보호하는 방법을 살펴보겠습니다.

Intune에서 원격 삭제로부터 개인 장치 보호

원격 초기화(Remote wipe)는 장치를 원래 설정으로 재설정하고 모든 데이터를 지울 수 있는 인튠(Intune)의 보안 기능입니다. 이는 일반적으로 장치를 분실하거나 도난당했을 때, 또는 직원이 회사를 떠날 때 발생합니다. 그러나 개인 장치가 전체 모바일 장치 관리(MDM)에 등록된 경우에는 위험이 있습니다. 이 경우, 인튠은 장치를 회사 소유인 것처럼 취급합니다. 이는 IT 부서가 회사 데이터와 사진, 연락처, 앱과 같은 개인 항목 모두를 삭제하는 초기화 명령을 내릴 수 있도록 합니다. 이전의 등록 방식은 장치가 개인용인지 회사 소유인지 명확하지 않은 경우가 많아 개인 정보 보호에 대한 우려를 불러일으킵니다.

애플 기기용 사용자 등록 활용

애플의 사용자 등록(User Enrollment)은 iOS/iPadOS 기기에서 기업 데이터와 개인 데이터 간의 암호화된 구분을 생성합니다. Intune이 이 구성에서 초기화 명령을 내리면 관리되는 기업 파티션(업무용 앱, VPN 프로필 및 관리되는 데이터)만 제거하고 개인 사진, iMessage 메시지 스레드 및 개인 앱은 그대로 두게 됩니다.

Intune에서 개인 장치를 원격 초기화로부터 보호하려면 아래 단계를 따르세요.

1. Intune 관리 센터에서 장치 > 장치 등록 > 등록 장치 플랫폼 제한으로 이동합니다.
2. MacOS 제한(또는 iOS)을 선택합니다.
3. 제한 정책을 선택하세요.
4. 플랫폼 설정을 개인 소유 장치에 대해 사용자 등록을 허용하도록 설정하세요.
5. 사용자가 회사 포털 앱을 설치하고 등록 중에 이 장치는 내가 소유함을 선택한 후 업무 또는 학교 앱만 필요함을 선택하도록 하여 전체 MDM이 아닌 사용자 등록을 트리거하도록 합니다.

이렇게 하면 사용자가 실수로 환경을 삭제하는 것을 방지할 수 있습니다.

등록 없이 모바일 애플리케이션 관리(MAM) 구현

기기의 원격 삭제를 방지하려면 기기를 완전히 등록하는 것을 피하십시오. 대신, 모바일 애플리케이션 관리(MAM) 정책, 또는 앱 보호 정책(APP)을 사용하십시오. 이를 통해 IT 부서는 Outlook 및 Teams와 같은 특정 Microsoft 앱 내의 데이터를 관리할 수 있으며, 기기 전체를 제어할 필요는 없습니다. 사용자가 회사를 떠나면, IT는 선택적 삭제를 수행하여 관리되는 앱의 기업 데이터만 제거하고, 나머지 휴대폰의 데이터는 그대로 둘 수 있습니다.

같은 작업을 하려면 아래에 언급된 단계를 따라야 합니다.

• Intune에서 앱 > 앱 보호 정책으로 이동합니다.
• Android 또는 iOS/iPadOS용 새 정책을 만드세요.
• 사용자가 회사 데이터를 액세스하는 방법을 정의하도록 설정을 구성합니다(예: Outlook에 PIN 요구).
• Azure AD에서 조건부 액세스 정책을 설정하여 승인된 클라이언트 앱은 요구하지만 장치 준수는 요구하지 않도록 합니다.

이렇게 하면 사용자는 장치를 Intune에 등록하지 않고도 MAM을 통해 이메일에 접근할 수 있습니다.

준수 정책을 통해 와이프 보호 구성

많은 우발적인 초기화는 장치가 규정을 준수하지 않게 되었을 때 발생합니다(예: 사용자가 운영 체제를 늦게 업데이트함) 그리고 관리자가 폐기/초기화 작업을 자동 조치 단계로 구성한 경우입니다. 기본 작업을 폐기(관리 기능은 제거하지만 개인 데이터는 유지) 또는 알림 전송으로 변경하면 자동 공장 초기화의 위험을 제거할 수 있습니다. 동일한 작업을 수행하려면 아래에 언급된 단계를 따르는 것이 좋습니다.

• 장치 > 규정 준수 정책으로 이동하세요.
• 개인 장치에 할당된 준수 정책을 선택하십시오.
• 비준수에 대한 작업으로 스크롤하십시오.
• 기본 작업이 '장치를 규정 미준수로 표시' 또는 '사용자에게 이메일 보내기'로 설정되어 있는지 확인하십시오.
• 만약 퇴직(Retire) 조치를 추가해야 한다면, 긴 유예 기간(예: 14일)을 설정하고 개인 장치 정책에서는 삭제(Wipe) 조치가 선택되지 않도록 하십시오.

이러한 변경을 한 후에는 이 정책에 등록된 모든 장치가 이 새로운 보존 정책을 갖게 됩니다.

선택적 작업을 위한 장치 필터링 활성화

모든 장치에 초기화 작업을 적용하는 대신, 장치 필터를 사용하여 기업 소유 장치(예: 기업 식별자 또는 DEP/ABM이 있는 장치)만 대상으로 지정할 수 있습니다. 이는 관리자가 대량 작업 중에 개인 장치를 실수로 선택하고 공장 초기화 명령을 내리는 것을 방지하는 안전망을 생성합니다.

Intune에서 테넌트 관리 > 필터로 이동합니다. 이제 Corporate Devices Only라는 새 필터를 만들고 규칙을 설정합니다: (device.deviceOwnership -eq “Corporate”). 자동 준수 작업을 만들거나 관리자 콘솔에서 대량 작업을 수행할 때 이 필터를 적용하십시오. 기본적으로 대량 작업과 자동화 스크립트에서 Personal 소유권 범주를 제외하여 개인 장치가 삭제 대상에 포함되지 않도록 하십시오.

그거야!

Intune이 내 개인 장치를 지울 수 있나요?

예, 하지만 기기가 회사 소유 장치로서 전체 모바일 장치 관리(MDM)에 등록된 경우에만 가능합니다. 사용자가 소유한 장치로서 iOS의 사용자 등록(User Enrollment) 또는 Android의 업무 프로필(work profile)을 사용하여 올바르게 등록하면, Intune은 전체 공장 초기화를 수행할 수 없고 회사 데이터를 제거할 수만 있습니다.

사람의 휴대폰을 원격으로 삭제할 수 있나요?

원격 초기화(공장 초기화)는 장치가 전체 관리 권한으로 관리되는 경우에만 가능하며, 일반적으로 회사 소유 장치나 레거시 장치 관리자(Android)에 등록된 BYOD 장치 또는 전체 MDM(iOS) 장치에 해당됩니다. 현대 관리(MAM 등록 없이 또는 사용자 등록)에서는 원격 초기화가 기업용 앱과 데이터로만 제한됩니다.