보안 교육이 진짜 효과를 내려면 정책과 규정들을 읊는 것 이상으로 짜여져야 한다. 그러려면 어떻게 해야 할까? 보안의 핵심은 사람으로 더 깊고 구체적으로 파고들어가야 한다.
[보안뉴스 문가용 기자] 보안 관련 교육과 훈련 프로그램들은 대다수가 지겹고 따분하기 짝이 없다. 매번 이건 하면 된다 안 된다 늘어놓는 규정 위주의 수업이니 아무리 들어도 머리에 남는 건 없고, 시간만 아깝게 느껴진다. 그래서 많은 이들이 할 수만 있다면 대타를 찾아 수업으로 보내고, 자신은 보다 생산적인 일을 하려 한다. 이 부분이 바뀌지 않으면 ‘모두가 참여하는 보안’이라는 건 허상으로 끝날 수밖에 없다.
포레스터(Forrester)의 수석 분석가 지난 버지(Jinan Budge)는 “인간의 행동과 심리를 분석하는 방향으로 교육 콘텐츠를 확대해야 한다”고 제안한다. “몇 해 전부터 여러 기업들이 가짜 피싱 공격을 내부 직원들을 향해 실시하는 식으로 보안 교육을 진행하곤 했습니다. 반응이 나쁘지 않았죠. 자신들이 실제로 하는 행위들이 위험하다는 걸 곧바로 인지시켜주는 것이었으니까요. 하지만 그런 잘못된 클릭은 공격을 허용하는 수많은 행동 패턴 중 하나일 뿐입니다. 어떤 인증 방법을 사용하는지, VPN을 활용하는지, 모바일 화면 잠금을 해제시켜놓는지 등 보안의 측면에서 다뤄야 할 인간의 행동 패턴은 대단히 많습니다.”
무심코 비밀번호를 설정한다거나, 원격 근무자가 VPN 없이 회사 서버에 접속한다거나, 업무용 모바일에 어떤 잠금 장치도 설정하지 않는다거나 하는 행동 패턴들은 위험을 수반할 수밖에 없다. 버지는 “기업들이 잠재적으로 위험할 수 있는 이러한 행동 패턴들을 발견해 다루지 못하면 보안은 늘 뜬구름 잡는 이야기가 된다”고 설명한다.
보안 교육의 효과 측정하기
미국의 표준기술연구소(NIST)는 보안 교육 효과를 측정하는 방식에도 문제가 있다고 발표한 바 있다. NIST가 조사한 바에 따르면 교육 시간에 끝까지 앉아 있었다는 것만으로 ‘교육 완료’를 선언하는 조직이 84%였다고 한다. 앉아서 뭘 했든, 어떤 내용을 얼마나 기억하든 상관없이 그냥 그 자리에 있기만 하면 보안 훈련이 되었다고 보는 조직들이 거의 다라는 것이다. 그러므로 “교육 과정을 이수했다”라는 인증이 사실 아무런 의미를 갖지 못한다. 이런 식으로는 국민 전부가 보안 교육을 받는다 하더라도 의미가 없다는 게 NIST의 설명이다.
버지는 “교육 이수자들만 양적으로 늘리는 게 아니라 인간이 가진 위험성을 수량화 하는 게 중요하다”고 말한다. “여러 가지 보안 및 데이터 분석 도구를 활용해 사람들의 행동 패턴을 파악하고 분석해 가며 ‘인간의 행동’이라는 것을 위주로 한 현재 조직의 위험 노출도를 구체적으로 파악해야 합니다. 어떤 위험한 행동이 조직 내에서 가장 많이 나타나고 있으며, 그런 행동들 때문에 어떤 위협들이 조직 내로 흘러들어올 수 있는지 정형화 및 수치화 하는 것이죠. 그러면 교육과 훈련의 주제가 자연스럽게 도출됩니다. 구체적으로 해결해야 할 과제를 교육해야지, 항상 보안의 전반적인 것을 가르칠 수는 없습니다.”
교육과 정책
인간으로부터 오는 위험들을 정량화 했다면, 이제 그것들을 해결하기 위한 일들을 하나 둘 해나가야 한다. 개인의 사고방식과 행동 패턴을 기업이 개조하지야 못하겠지만, 적어도 회사 근무 시간 내에서 이뤄지는 행동들에 대해서는 제어할 수 있다. 즉 개개인의 행동에 조직이 개입할 수 있다는 것으로, 버지는 “위험한 행동들을 구체적으로 파악해야 하는 이유가 여기에 있다”고 강조한다.
조직이 개인의 행동을 변경시키는 방법에는 크게 두 가지가 있다. 하나는 교육을 통해서고, 또 하나는 규정을 통해서다. 예를 들어 비밀번호를 매번 1234로 돌려막기 하는 직원이 있다면 교육이나 모의 공격을 통해 위험성을 깨닫게 해 줄수도 있고, 그래도 잘 고쳐지지 않으면 규정으로 그러한 행동을 할 수 없게 만들 수도 있다. 또한 서로 비밀번호를 공유한다거나, 그럼으로써 권한 구분의 의미가 없어지는 협업의 문화를 규정으로 막을 수도 있다.
버지는 “교육 콘텐츠가 매우 중요하다”고 강조한다. “무엇을 가르치고, 무엇을 훈련시킬 것인가를 선정하는 것도 중요하지만, 그것을 어떻게 수업 시간에 표현하는가도 고민해야 합니다. 좀 더 사람들이 적극적으로 교육에 임할 수 있도록 만드는 게 바로 콘텐츠죠. 적극적으로 교육에 임할 때 사람은 비판적으로 생각할 수 있고, 배우지 않은 것도 응용하여 익힐 수 있게 됩니다.”
보안 문화 정착시키기
‘보안 문화’라는 것에는 아직 이렇다 할 정의나 표준이 존재하지 않는다. 하지만 교육과 훈련의 효과를 증대시키기 위해서는 반드시 있어야 할 것 중 하나다. “보안 문화가 정착한 곳은 교육장에서 설파된 내용이 현장에서 그대로 반영되는 곳입니다. 보안 문화가 없다면, 아무리 훌륭한 보안 교육도 피교육자들이 문 밖으로 나오는 순간 말끔하게 사라지죠. 배운 걸 현장에서 써먹을 기회가 없는 것과 마찬가지입니다. 그러니 보안 교육의 효과를 제대로 보려면 교육장 바깥의 분위기까지도 신경을 써야 합니다.”
버지는 “보안 교육의 효과는 6~10년 정도가 최대치이지만 인간의 행동으로부터 오는 위험을 평가하고 해결하는 방식은 조직 전체의 보안 강화의 든든한 기반이 될 수 있다”고 강조한다. “문제를 해결할 때는 항상 구체적으로 문제를 파악하고 하나하나 정확하게 해결하는 게 높은 효과를 나타냅니다. 보안도 예외가 아닙니다. 모호한 교육은 효과를 얻기 힘들다는 걸 기억해야 합니다.”
글 : 캐리 팔라디(Carrie Pallardy), IT 칼럼니스트
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 보안 관련 교육과 훈련 프로그램들은 대다수가 지겹고 따분하기 짝이 없다. 매번 이건 하면 된다 안 된다 늘어놓는 규정 위주의 수업이니 아무리 들어도 머리에 남는 건 없고, 시간만 아깝게 느껴진다. 그래서 많은 이들이 할 수만 있다면 대타를 찾아 수업으로 보내고, 자신은 보다 생산적인 일을 하려 한다. 이 부분이 바뀌지 않으면 ‘모두가 참여하는 보안’이라는 건 허상으로 끝날 수밖에 없다.
[이미지 = utoimage]
포레스터(Forrester)의 수석 분석가 지난 버지(Jinan Budge)는 “인간의 행동과 심리를 분석하는 방향으로 교육 콘텐츠를 확대해야 한다”고 제안한다. “몇 해 전부터 여러 기업들이 가짜 피싱 공격을 내부 직원들을 향해 실시하는 식으로 보안 교육을 진행하곤 했습니다. 반응이 나쁘지 않았죠. 자신들이 실제로 하는 행위들이 위험하다는 걸 곧바로 인지시켜주는 것이었으니까요. 하지만 그런 잘못된 클릭은 공격을 허용하는 수많은 행동 패턴 중 하나일 뿐입니다. 어떤 인증 방법을 사용하는지, VPN을 활용하는지, 모바일 화면 잠금을 해제시켜놓는지 등 보안의 측면에서 다뤄야 할 인간의 행동 패턴은 대단히 많습니다.”
무심코 비밀번호를 설정한다거나, 원격 근무자가 VPN 없이 회사 서버에 접속한다거나, 업무용 모바일에 어떤 잠금 장치도 설정하지 않는다거나 하는 행동 패턴들은 위험을 수반할 수밖에 없다. 버지는 “기업들이 잠재적으로 위험할 수 있는 이러한 행동 패턴들을 발견해 다루지 못하면 보안은 늘 뜬구름 잡는 이야기가 된다”고 설명한다.
보안 교육의 효과 측정하기
미국의 표준기술연구소(NIST)는 보안 교육 효과를 측정하는 방식에도 문제가 있다고 발표한 바 있다. NIST가 조사한 바에 따르면 교육 시간에 끝까지 앉아 있었다는 것만으로 ‘교육 완료’를 선언하는 조직이 84%였다고 한다. 앉아서 뭘 했든, 어떤 내용을 얼마나 기억하든 상관없이 그냥 그 자리에 있기만 하면 보안 훈련이 되었다고 보는 조직들이 거의 다라는 것이다. 그러므로 “교육 과정을 이수했다”라는 인증이 사실 아무런 의미를 갖지 못한다. 이런 식으로는 국민 전부가 보안 교육을 받는다 하더라도 의미가 없다는 게 NIST의 설명이다.
버지는 “교육 이수자들만 양적으로 늘리는 게 아니라 인간이 가진 위험성을 수량화 하는 게 중요하다”고 말한다. “여러 가지 보안 및 데이터 분석 도구를 활용해 사람들의 행동 패턴을 파악하고 분석해 가며 ‘인간의 행동’이라는 것을 위주로 한 현재 조직의 위험 노출도를 구체적으로 파악해야 합니다. 어떤 위험한 행동이 조직 내에서 가장 많이 나타나고 있으며, 그런 행동들 때문에 어떤 위협들이 조직 내로 흘러들어올 수 있는지 정형화 및 수치화 하는 것이죠. 그러면 교육과 훈련의 주제가 자연스럽게 도출됩니다. 구체적으로 해결해야 할 과제를 교육해야지, 항상 보안의 전반적인 것을 가르칠 수는 없습니다.”
교육과 정책
인간으로부터 오는 위험들을 정량화 했다면, 이제 그것들을 해결하기 위한 일들을 하나 둘 해나가야 한다. 개인의 사고방식과 행동 패턴을 기업이 개조하지야 못하겠지만, 적어도 회사 근무 시간 내에서 이뤄지는 행동들에 대해서는 제어할 수 있다. 즉 개개인의 행동에 조직이 개입할 수 있다는 것으로, 버지는 “위험한 행동들을 구체적으로 파악해야 하는 이유가 여기에 있다”고 강조한다.
조직이 개인의 행동을 변경시키는 방법에는 크게 두 가지가 있다. 하나는 교육을 통해서고, 또 하나는 규정을 통해서다. 예를 들어 비밀번호를 매번 1234로 돌려막기 하는 직원이 있다면 교육이나 모의 공격을 통해 위험성을 깨닫게 해 줄수도 있고, 그래도 잘 고쳐지지 않으면 규정으로 그러한 행동을 할 수 없게 만들 수도 있다. 또한 서로 비밀번호를 공유한다거나, 그럼으로써 권한 구분의 의미가 없어지는 협업의 문화를 규정으로 막을 수도 있다.
버지는 “교육 콘텐츠가 매우 중요하다”고 강조한다. “무엇을 가르치고, 무엇을 훈련시킬 것인가를 선정하는 것도 중요하지만, 그것을 어떻게 수업 시간에 표현하는가도 고민해야 합니다. 좀 더 사람들이 적극적으로 교육에 임할 수 있도록 만드는 게 바로 콘텐츠죠. 적극적으로 교육에 임할 때 사람은 비판적으로 생각할 수 있고, 배우지 않은 것도 응용하여 익힐 수 있게 됩니다.”
보안 문화 정착시키기
‘보안 문화’라는 것에는 아직 이렇다 할 정의나 표준이 존재하지 않는다. 하지만 교육과 훈련의 효과를 증대시키기 위해서는 반드시 있어야 할 것 중 하나다. “보안 문화가 정착한 곳은 교육장에서 설파된 내용이 현장에서 그대로 반영되는 곳입니다. 보안 문화가 없다면, 아무리 훌륭한 보안 교육도 피교육자들이 문 밖으로 나오는 순간 말끔하게 사라지죠. 배운 걸 현장에서 써먹을 기회가 없는 것과 마찬가지입니다. 그러니 보안 교육의 효과를 제대로 보려면 교육장 바깥의 분위기까지도 신경을 써야 합니다.”
버지는 “보안 교육의 효과는 6~10년 정도가 최대치이지만 인간의 행동으로부터 오는 위험을 평가하고 해결하는 방식은 조직 전체의 보안 강화의 든든한 기반이 될 수 있다”고 강조한다. “문제를 해결할 때는 항상 구체적으로 문제를 파악하고 하나하나 정확하게 해결하는 게 높은 효과를 나타냅니다. 보안도 예외가 아닙니다. 모호한 교육은 효과를 얻기 힘들다는 걸 기억해야 합니다.”
글 : 캐리 팔라디(Carrie Pallardy), IT 칼럼니스트
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
