브라우저 격리는 누구에게 먼저 적용해야 할까

브라우저는 이메일 링크, 검색 결과, 협력사 포털, 광고, 파일 다운로드가 한곳에서 만나는 업무 도구다. 공격자는 운영체제 취약점만 노리지 않는다.

가짜 로그인 화면, 악성 문서, 세션 탈취, 브라우저 확장 프로그램, 복사·붙여넣기 같은 일상 동작을 이용한다. 브라우저 격리는 외부 웹 콘텐츠를 사용자 단말과 분리된 환경에서 실행하거나, 위험한 콘텐츠를 제한된 형태로 전달해 피해 범위를 줄인다.

그러나 모든 사용자를 같은 정책으로 묶으면 업무 마찰이 빠르게 커진다. 화상회의가 느려지고, 웹 기반 개발 도구가 깨지며, 파일 업로드와 인쇄가 막히고, 패스키나 장치 인증이 예상대로 동작하지 않을 수 있다. 결국 예외가 쌓이거나 사용자가 다른 브라우저·개인 기기로 우회한다. 먼저 적용할 사람을 위험으로 고르는 것이 중요한 이유다.

먼저 사람보다 업무 흐름을 분류한다

직급이나 부서명만으로 대상자를 정하면 실제 위험을 놓친다. 같은 재무팀에서도 인터넷 검색을 거의 하지 않는 사용자와 외부 청구서 링크를 매일 여는 사용자의 노출은 다르다. 다음 네 축을 점수화하면 적용 순서를 설명하기 쉽다.

평가 축	낮은 위험	높은 위험
외부 콘텐츠 접촉	승인된 내부 서비스 중심	미확인 링크·파일을 반복 검토
계정 권한	일반 업무 권한	관리자·재무 승인·고객정보 접근
단말 영향	표준 재설치가 쉬움	특수 장비·운영 단말·공용 단말
데이터 반출 가능성	공개 자료 중심	계약서·고객정보·소스코드 취급

점수는 정교한 수학보다 합의 가능한 기준이 중요하다. “외부 링크를 얼마나 자주 여는가”, “침해되면 어떤 권한이 이어지는가”, “다운로드한 파일이 어디로 이동하는가”를 실제 업무 예시로 확인한다.

우선 적용하기 좋은 사용자군

1. 보안 분석과 위협 조사 담당자

악성으로 의심되는 도메인, 피싱 페이지, 파일 공유 링크를 업무상 직접 확인한다. 일반 업무 세션과 조사 세션을 분리하고, 조사 세션에서는 다운로드·클립보드·자격 증명 입력을 기본 제한한다. 샌드박스와 브라우저 격리의 역할도 나눈다. 격리는 웹 탐색 피해를 줄이고, 파일의 정밀 행위 분석은 별도 샌드박스가 맡는다.

2. 고객지원·채용·구매 담당자

불특정 외부인이 보낸 링크와 첨부 파일을 자주 받는다. 고객 티켓, 입사지원서, 견적서처럼 정상 파일이 많아 전면 차단이 어렵다. 미확인 도메인에서만 격리를 적용하고, 다운로드 파일은 악성코드 검사와 콘텐츠 무해화 절차를 거쳐 전달하는 방식이 현실적이다.

3. 재무·급여·결제 승인자

계정이 탈취되면 송금, 환불, 결제수단 변경으로 이어질 수 있다. 이메일·메신저에서 들어온 외부 결제 링크는 격리하고, 실제 승인 시스템은 신뢰된 브라우저 경로와 강한 인증을 요구한다. 피싱 저항 MFA 로드맵, 패스키 도입 전 헬프데스크 운영과 함께 설계해야 효과가 크다.

4. 관리자와 외주 운영자

클라우드 콘솔, 저장소, 원격 관리 도구에 접근하는 계정은 침해 영향이 크다. 일반 웹 탐색 세션과 관리 세션을 분리한다. 관리 세션에서는 허용 목록 기반 접근, 파일 다운로드 금지, 짧은 세션, 별도 장치 조건을 적용하고, 외부 웹은 격리 세션으로 보낸다.

5. 비관리 단말과 협력사 접속

단말 보안 상태를 완전히 통제할 수 없는 협력사·BYOD 환경에서는 내부 웹 애플리케이션을 격리 또는 제한된 세션으로 제공할 수 있다. 다만 브라우저 격리를 단말 신뢰 검증의 대체물로 보지 않는다. 접근 권한, 세션 수명, 데이터 다운로드를 별도로 제한한다.

격리 정책은 동작 단위로 설계한다

“격리 켬/끔”만으로는 운영이 어렵다. 웹 콘텐츠와 사용자의 상호작용을 나눠서 결정한다.

동작	기본 정책 질문	고위험 업무 예시
렌더링	어떤 도메인을 원격 환경에서 실행할까	신규·미분류 도메인 격리
다운로드	원본을 허용할까, 검사 후 전달할까	실행 파일 금지, 문서 무해화
업로드	내부 파일을 외부 사이트에 올릴 수 있나	승인 도메인에만 허용
복사·붙여넣기	방향과 데이터 유형을 제한할까	내부→외부 붙여넣기 제한
인쇄	PDF 생성과 로컬 인쇄를 허용할까	고객정보 페이지 인쇄 금지
자격 증명	격리 세션에서 로그인을 허용할까	미분류 사이트 인증 입력 차단
세션	쿠키와 로컬 저장소를 보존할까	조사 세션 종료 시 폐기

정책은 웹 카테고리만 보지 말고 업무 목적을 포함한다. 같은 파일 공유 사이트도 승인된 협력사 테넌트와 익명 공개 링크의 위험이 다르다.

파일럿 전에 반드시 시험할 실패 모드

SSO 리디렉션과 다중 도메인 흐름

로그인은 한 도메인에서 시작해 ID 제공자와 추가 인증 도메인을 거쳐 원래 서비스로 돌아온다. 중간 도메인이 다른 정책을 받으면 반복 로그인이나 세션 손실이 생긴다. 리디렉션 체인, 쿠키 정책, 새 창, 팝업을 실제 업무 계정으로 검증한다.

패스키와 장치 기반 인증

원격 렌더링 환경에서는 로컬 보안키, 생체 인증, 클라이언트 인증서가 서비스에 어떻게 전달되는지 제품별 차이가 있다. 패스키 등록과 로그인, 보안키 터치, 장치 준수 확인을 각각 시험한다. 인증이 깨진다고 비밀번호 예외를 장기 허용하지 않는다.

파일 업로드·다운로드

지원 티켓에 로그 파일을 올리거나, 협력사 문서를 내려받는 흐름이 끊길 수 있다. 파일 크기, 암호화된 압축 파일, 매크로 문서, 여러 파일 동시 업로드, 다운로드 후 저장 위치까지 시험한다. 검사 실패 시 허용할지 차단할지도 미리 정한다.

웹 개발·협업 도구

브라우저 IDE, 화면 공유, 마이크·카메라, WebSocket, 클립보드, 드래그앤드롭은 지연과 기능 제한에 민감하다. 개발자 도구가 필요한 사용자에게는 별도 프로필을 제공하되 관리자 콘솔과 일반 탐색을 같은 세션에서 섞지 않는다.

우회 브라우저와 개인 기기

정책 대상 브라우저만 격리하고 다른 브라우저가 열리면 통제는 쉽게 우회된다. 애플리케이션 제어, 기본 브라우저 정책, DNS·프록시 경로, 비관리 기기 접근 조건을 함께 확인한다. 우회를 탐지하되 업무 중단 원인이 정책 자체인지도 분석한다.

탐지 신호와 대시보드

브라우저 격리 운영은 “차단 건수”만으로 평가하면 과잉 차단을 보상하게 된다. 보안 효과와 사용자 마찰을 함께 본다.

보안 신호

• 미분류·신규 도메인 격리 건수와 사용자군
• 악성으로 판정된 다운로드와 파일 유형
• 자격 증명 입력 차단, 위험한 붙여넣기, 업로드 차단
• 격리 세션에서 시작된 피싱 신고와 확인 결과
• 비격리 브라우저·직접 접속 우회 시도
• 관리자 계정의 외부 웹 접속과 이후 권한 사용

운영 신호

• 페이지 로딩 지연과 세션 실패율
• SSO 반복, 인증 실패, 파일 전송 실패
• 정책 예외 요청 수와 만료되지 않은 예외
• 사용자별 헬프데스크 문의와 해결 시간
• 격리 해제 후 재발한 동일 업무 문제
• 우회 사용 증가와 대체 경로 이용량

격리 로그를 제로 트러스트 신원 경계와 연결할 때는 사용자, 장치, URL 분류, 정책 결정, 다운로드 해시, 세션 ID, 예외 티켓을 남긴다. 전체 URL 쿼리나 입력 내용을 무조건 수집하면 개인정보와 비밀값이 로그에 쌓일 수 있으므로 마스킹 기준이 필요하다.

30일 파일럿 운영 순서

1. 외부 링크를 많이 다루는 두세 업무를 선정한다.
2. 정상 업무 목록과 필수 도메인, 인증 흐름, 파일 동작을 기록한다.
3. 관찰 모드로 일주일간 웹 카테고리와 동작을 수집한다.
4. 미분류 도메인 원격 렌더링처럼 좁은 정책부터 적용한다.
5. 다운로드·업로드·클립보드 제한을 한 번에 하나씩 추가한다.
6. 보안 신호와 사용자 마찰 지표를 매일 비교한다.
7. 예외에는 업무 사유, 소유자, 범위, 만료일을 붙인다.
8. 파일럿 종료 시 확대·수정·중단 중 하나를 근거와 함께 결정한다.

파일럿 사용자는 “보안에 협조적인 사람”만 고르지 않는다. 실제로 복잡한 업무를 수행하는 사용자와 여러 지역·네트워크 조건을 포함해야 장애가 본 배포에서 드러나는 일을 줄일 수 있다.

예외와 장애 대응

격리 서비스가 느리거나 중단됐을 때 모든 외부 웹을 무조건 직접 연결하면 가장 위험한 순간에 통제가 사라진다. 업무별 대체 경로를 정한다.

• 고위험 조사 업무는 격리 복구 전까지 중단하거나 별도 분석 단말을 사용한다.
• 승인된 업무 SaaS는 제한된 직접 접속 목록으로 운영할 수 있다.
• 관리자 계정은 일반 웹 탐색 대신 별도 비관리 권한 계정을 사용한다.
• 긴급 예외는 시간 제한, 승인자, 허용 도메인, 사후 검토를 필수로 한다.
• 장애 종료 후 직접 접속 기간의 로그와 다운로드를 재검토한다.

예외 만료를 자동화하지 않으면 파일럿 때 만든 우회가 영구 정책이 된다. 월별로 예외 소유자와 최근 사용 여부를 확인하고, 사용하지 않는 예외는 제거한다.

배포 전 검수 체크리스트

• 적용 대상이 직급이 아니라 실제 외부 콘텐츠 접촉과 권한으로 선정되었다.
• SSO, 패스키, 클라이언트 인증서, 파일 전송이 시험되었다.
• 격리 실패 시 기본 동작과 대체 업무 절차가 문서화되었다.
• 다른 브라우저와 개인 기기 우회 경로를 확인했다.
• 사용자 알림 문구와 헬프데스크 분류 기준이 준비되었다.
• URL·콘텐츠 로그의 개인정보 마스킹과 보존 기간이 정해졌다.
• 예외에 소유자와 만료일이 있고 자동 보고된다.
• 보안 효과와 사용자 마찰을 함께 보는 대시보드가 있다.

참고 기준

• CISA: Securing Web Browsers and Defending Against Malvertising
• CISA: Phishing Guidance, Stopping the Attack Cycle at Phase One
• NIST SP 800-207: Zero Trust Architecture
• CIS Critical Security Controls v8.1

브라우저 격리는 가장 위험한 웹 콘텐츠와 가장 큰 권한이 만나는 지점을 분리할 때 효과가 크다. 전사 일괄 적용보다 업무 흐름을 기준으로 작은 파일럿을 시작하고, 우회·인증·파일 동작·장애 절차를 검증하면 보안 통제와 업무 생산성을 함께 지킬 수 있다.