재택근무 회사 VPN 켜면 내 개인 활동도 다 보이나요? (팩트체크)

재택근무를 하면서 회사가 요구하는 VPN(SSL VPN 등)을 연결해두면 “내 모든 인터넷 활동을 회사가 들여다볼 수 있다”는 이야기를 듣고 불안해하는 분들이 많습니다. 어디까지가 사실이고 어디부터가 과장인지 짚어보겠습니다.

먼저, 회사 VPN과 개인 VPN은 다른 물건입니다

이 글에서 주로 다루는 상용 개인 VPN(NordVPN, Surfshark 같은)은 사용자의 프라이버시 보호가 목적입니다. 반면 회사가 재택근무용으로 지급하는 VPN은 직원이 사내 네트워크에 안전하게 접속하도록 하는 것이 목적입니다. 이 둘은 이름은 같은 “VPN”이지만 설계 목적 자체가 반대에 가깝습니다.

핵심은 “풀 터널링”인지 “스플릿 터널링”인지입니다

회사가 개인 활동까지 볼 수 있는지 여부는 회사가 VPN을 어떻게 설정했느냐에 달려 있습니다.

• 풀 터널링(Full Tunneling): 기기의 모든 인터넷 트래픽이 회사 네트워크를 거쳐 나갑니다. 이 방식이라면 이론적으로 회사가 방문한 사이트 목록 정도는 로그로 확인할 수 있는 구조입니다.
• 스플릿 터널링(Split Tunneling): 회사 시스템 접속에 필요한 트래픽만 VPN을 거치고, 개인 유튜브 시청이나 SNS 같은 나머지 트래픽은 일반 인터넷 회선으로 바로 나갑니다. 이 방식이라면 회사는 개인 활동을 애초에 볼 수 있는 경로 자체가 없습니다.

회사마다, 심지어 같은 회사라도 부서나 정책에 따라 방식이 다를 수 있어서, “회사 VPN은 무조건 다 보인다” 또는 “전혀 안 보인다”라고 일괄적으로 말할 수는 없습니다. 가장 정확한 답은 사내 IT 부서에 방식을 직접 문의하는 것입니다.

HTTPS 사이트는 그래도 어느 정도 보호됩니다

풀 터널링 방식이라 해도, 오늘날 대부분의 웹사이트는 HTTPS로 암호화되어 있어 방문한 URL 정도는 로그에 남을 수 있지만 페이지 내용이나 입력한 비밀번호까지는 일반적으로 확인할 수 없습니다. 단, 회사가 별도로 SSL 검사(SSL Inspection) 장비나 루트 인증서를 기기에 설치해둔 경우는 예외적으로 암호화된 내용까지 들여다볼 수 있어, 이 부분은 사내 보안 정책을 확인해야 합니다.

불안하다면 이렇게 확인하세요

막연히 걱정하기보다, 아래 몇 가지를 사내 IT 부서나 온보딩 문서에서 직접 확인해보는 것이 가장 정확합니다.

• 회사 VPN이 풀 터널링인지 스플릿 터널링인지
• 개인 기기(BYOD)와 회사 지급 기기의 정책이 다른지
• VPN을 꼭 상시 연결해야 하는지, 업무 시간에만 연결하면 되는지
• SSL 검사 같은 별도 보안 장비를 사용하는지

이 네 가지만 확인해도 “얼마나 보이는가”에 대한 답이 훨씬 명확해집니다.

정리

회사 VPN이 개인 활동까지 다 보여준다는 것은 절반만 맞는 이야기입니다. 풀 터널링 방식이라면 어느 정도 가능하지만, 스플릿 터널링이라면 애초에 볼 수 있는 경로가 없습니다. 막연히 불안해하기보다 회사의 VPN 설정 방식을 직접 확인하는 것이 가장 확실한 답입니다.