회사 지급 기기라 관리 권한이 넓은 건 맞지만 무제한은 아닙니다. 실제로 무엇이 보이는지는 그 갤럭시탭에 회사의 기기 관리 프로그램, 흔히 MDM이라고 부르는 것이 깔려 있는지와 어떤 정책이 켜져 있는지로 정해집니다. 그러니 먼저 그것부터 확인해 보시는 게 순서입니다.
확인은 어렵지 않습니다. 설정에서 보안을 열어 기기 관리 앱 항목을 보시거나, 설정의 휴대전화 정보에서 이 기기가 조직에 의해 관리되고 있다는 표시가 있는지 확인하시면 됩니다. 관리 중이라면 대부분 회사 이름이 적힌 프로파일이 보이고, 그 안에서 회사가 어떤 권한을 갖는지 항목이 나열됩니다.
관리 프로그램이 깔려 있을 때 회사가 통상 볼 수 있는 것은 이렇습니다. 기기 모델과 일련번호, 운영체제 버전, 설치된 앱 목록, 저장공간과 배터리 상태, 회사 계정으로 접속한 이력, 정책이 켜져 있다면 기기 위치, 그리고 회사 계정으로 주고받은 메일과 일정, 회사 클라우드에 올린 파일입니다. 여기에 원격으로 잠그거나 기기를 초기화할 권한도 대개 포함됩니다.
반대로 관리 프로그램만으로는 볼 수 없는 것도 분명히 있습니다. 개인 계정으로 로그인한 메신저의 대화 내용, 갤러리에 있는 개인 사진, 개인 앱 안에 저장된 데이터, 통화 내용 같은 것은 MDM이 읽지 못합니다. 화면을 실시간으로 들여다보는 것도 별도의 감시 프로그램을 설치하고 근로자에게 고지한 경우가 아니면 일반적이지 않습니다.
다만 예외가 두 가지 있어서 이건 알아두셔야 합니다. 첫째, 회사 와이파이나 회사 VPN을 통해 인터넷을 쓰면 어떤 사이트에 접속했는지가 네트워크 기록에 남습니다. 요즘은 암호화 통신이라 내용까지 보이지는 않지만 접속한 주소는 남습니다. 둘째, 회사가 기기에 보안 인증서를 심어두는 구성이면 그 내용까지 볼 수 있는 환경도 기술적으로는 가능합니다.
포렌식에 대해 물어보셨는데, 기기를 회수해서 분석하면 삭제한 파일이나 접속 기록의 일부가 복구될 수 있는 건 사실입니다. 다만 최신 안드로이드는 파일 단위 암호화가 기본이라 공장 초기화 이후에는 복구가 사실상 어렵고, 삭제한 데이터도 새 데이터로 덮어쓰이면 복구가 안 됩니다. 그리고 현실적으로 회사가 포렌식까지 가는 경우는 자료 유출 의심이나 법적 분쟁 같은 특수 상황이지 일상적인 관리로 하지는 않습니다.
법적인 부분도 짚어드리면, 국내에서 근로자 모니터링은 개인정보보호법의 적용을 받아 목적을 특정하고 사전에 고지해야 하며 필요한 최소한만 수집해야 합니다. 취업규칙이나 정보보안 지침에 근거가 있어야 하고, 몰래 감시하는 것은 문제가 됩니다. 통화나 대화 내용을 몰래 듣는 것은 통신비밀보호법상 원칙적으로 금지입니다. 그래서 회사에 어떤 항목을 수집하는지 문서로 알려달라고 요청하실 수 있고, 고지 의무가 있는 사항이라 보통 답을 줍니다.
실무적으로 가장 확실한 대응은 단순합니다. 회사 기기에는 개인 계정을 로그인하지 않는 것입니다. 개인 용무는 개인 휴대폰으로 하시고 그 태블릿은 업무용으로만 쓰시면 회사가 볼 수 있는 것과 볼 수 없는 것을 고민하실 일 자체가 없어집니다. 덧붙여 회사는 원격 초기화 권한을 갖고 있는 경우가 많아서, 개인 사진이나 자료를 그 기기에만 두면 어느 날 통째로 사라질 수 있다는 점도 감안하시면 좋겠습니다.