[김정덕의 인간중심보안-10] 예산·인력 없는 중소기업, ‘사람’이 답이다

예산과 인력의 한계를 넘어서는 ‘인간중심보안’ 전략

[연재목차 Part 3. 인간중심보안과 보안문화]
1. AI 시대, 왜 인간 중심 보안인가
2. AI 시대, 인간 중심 보안을 구현하려면
3. 인간의 창의성과 AI 보안
4. 보안 위반, 뇌 과학 해법
5. 넛지 보안의 힘
6. 감정과 비합리성, 보안의 숨은 힘
7. 디지털 야누스, 두얼굴의 사용자
8. ‘인간중심보안’과 ‘제로트러스트’
9. ESG 너머, 인적 지속가능성과 보안
10. 예산·인력 없는 중소기업, ‘사람’이 답이다
11. 보안문화, Nature vs. Nurture
12. 보안 성패를 가르는 7가지 문화 유형
13. 한국형 보안문화 진단 모델_K-SCT
14. 디지털 보안문화 전환 모델_CORE TRUST

[보안뉴스= 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장] “보안이 중요한 건 알지만, 당장 사람 뽑을 돈도 없습니다.” 많은 중소기업 경영자들의 하소연입니다. 고가의 최첨단 보안 장비와 전문 인력은 언감생심, 당장의 매출이 급한 중소기업에게 사이버 보안은 풀기 어려운 숙제처럼 느껴집니다.

하지만 관점을 바꾸면 길은 있습니다. 돈과 기술로 쌓은 성벽보다 더 강력한 방어 체계가 바로 조직의 핵심 자산인 ‘사람’에게 있기 때문입니다. 예산과 인력의 한계를 극복할 가장 현실적이고 효과적인 대안, ‘인간중심보안’ 전략을 제언합니다.

해커의 타깃이 된 99%, ‘선택과 집중’이 필요하다
통계는 냉혹합니다. 국내 기업의 99%가 중소기업이지만, 최근 5년간 발생한 사이버 공격 피해의 83%가 바로 이 중소기업에 집중되었습니다. 해커들은 보안이 허술한 중소기업을 ‘쉬운 먹잇감’으로 여기거나, 대기업으로 침투하기 위한 ‘우회 통로’로 악용합니다.

모든 중소기업이 고도의 보안관리를 해야 할 필요는 없습니다. 보호해야 할 중요한 자산이 있어야 보안 투자가 의미를 가지기 때문입니다. 단순 영세 업체가 아닌, 특정 유형의 중소기업이 우선적으로 보안을 강화해야 합니다.

첫째, 고객 개인정보·금융 데이터를 다루는 업체입니다. 전자상거래, 핀테크 지원, 의료·회계 서비스 제공 기업은 유출 시 법적·평판 피해가 큽니다. 둘째, 제조·물류 분야의 공급망 핵심 중소기업입니다. 대기업 협력사로서 기술 노하우나 생산 데이터가 공격 대상이 되기 쉽습니다. 셋째, 클라우드·디지털 플랫폼을 활용하는 신흥 중소기업입니다. AI·SaaS 기반 사업체는 데이터 중심 구조로 랜섬웨어에 취약합니다. 이러한 기업들은 자산 가치가 높아 보안이 생존 조건입니다

최고의 방화벽은 비싼 장비가 아닌 ‘보안 문화’
국내 중소기업이 보안관리를 부담스러워하는 주된 이유는 예산·인력 부족, 전문성 결여에 따른 심리적 거리감, 그리고 보안이 업무 효율 저하를 초래한다는 부정적 인식 때문입니다.

하지만, 보안 예산과 인력이 부족하다고 해서 보안을 포기할 이유는 없습니다. 인간중심보안은 이러한 현실적 한계를 정면으로 해결합니다. 고가의 기술 대신 기존 직원을 보안 역량을 갖춘 ‘인적 자산’으로 전환하는 데 초점을 둡니다.

직원들이 “보안은 보안팀의 일”이라고 생각하는 순간 뚫립니다. 경영진이 먼저 나서서 “보안은 우리의 생존 문제”라고 선언하고, 명확한 원칙을 공유하십시오. ‘출처 불분명 메일 열람 금지’, ‘소프트웨어 무단 설치 금지’와 같은 기본 원칙을 조직의 언어로 정의하고 지속적으로 소통하는 것만으로도, 고가의 장비 이상의 예방 효과를 거둘 수 있습니다.

살아 있는 교육: 실천을 이끌어내는 적시 교육
사이버 위협의 90% 이상은 이메일을 통해 시작됩니다. 아무리 비싼 시스템도 직원이 무심코 누른 피싱 메일 링크 하나를 막지는 못합니다. 따라서 교육의 방식도 바뀌어야 합니다. 일 년에 한 번, 강당에 모아놓고 하는 지루한 집합 교육은 효과가 없습니다. 가장 효과적인 것은 ‘적시 교육(Just-in-Time Training)’입니다. 모의 훈련이나 실제 상황에서 직원이 실수로 위험한 링크를 클릭했을 때, 그 즉시 경고와 함께 짧은 교육 콘텐츠를 제공하십시오. 실수의 순간에 이루어지는 피드백은 뇌리에 깊이 박혀 실질적인 행동 변화를 이끌어냅니다.

사람을 지원하는 기술: 필수 시스템의 역할

중요 데이터는 반드시 주기적으로 백업하되, 핵심은 ‘네트워크 분리’입니다. 해커가 침입해도 닿을 수 없는 별도의 공간(오프라인 저장소나 클라우드)에 데이터를 복제해 두십시오. 이는 사고 발생 시 해커에게 협박당하지 않고 비즈니스를 재개할 수 있는 유일한 담보입니다.

보안은 ‘비용’이 아니라 ‘경쟁력’이다
중소기업에게 보안은 여전히 부담스러운 비용으로 보일 수 있습니다. 하지만 디지털 전환 시대에 보안은 기업의 신뢰도와 직결되는 핵심 경쟁력입니다.

거창한 시스템보다 중요한 것은 ‘사람의 의식’과 ‘기본의 실천’입니다. 직원을 보안의 취약점이 아닌 ‘가장 강력한 보안 요원’으로 성장시키는 것, 그것이 바로 예산 없는 중소기업이 선택할 수 있는 가장 현명한 생존 전략입니다.

[글_김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장]

필자 소개_ 중앙대학교 산업보안학과 명예교수, 인간중심보안포럼 의장, 한국정보보호학회 부회장, 금융 정보보호관리체계 인증위원, 전 JTC1 SC27 정보보안 국제표준화 전문위 의장 및 의원, 전 ISO 27014(정보보안 거버넌스) 에디터 등 역임

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다