"꼭 기억하자!" 9가지 보안 인식 프로그램 팁

평가지표 보안 업체인 시큐어 멘템(Secure Mentem)의 이라 윙클러와 사만다 맨케는 “어떤 작업에서든 그것의 성공 여부를 증명하지 못한다면 절대 성공할 수 없다. 성공을 증명할 수 있는 유일한 방법은 새로운 인식 프로그램을 시작하기에 앞서 평가에 필요한 지표들을 수집하는 것이다”라고 말했다. 이들이 최근 기고한 ‘성공적인 보안 인식 프로그램을 만드는 7가지’에서는 이러한 지표의 사례로 태도 관련 조사 등이 언급됐다. 피싱 시뮬레이션 툴 이용 결과나 훈련 전/후 인식 수준 변화 등 역시 지표로 활용될 수 있을 것이다. 금지 웹사이트 방문 시도 내역과 같은 사고 기록 역시 분석해볼 필요가 있을 것이다. 이미지 출처 : 씽크스톡(Thinkstock)

유연성 SANS 인스티튜트(SANS Institute)의 인적 보안 프로그램 이사이자 ‘인식에 대한 다섯 가지 신화(5 myths about awareness)’의 저자인 랜스 스피즈너는 “많은 이들이 인식이라는 주제를 다룰 때 예방에만 초점을 맞추는 경향이 있다. ‘뭐든 사람이 문제야'라는 듯한 인식이 엿보이는 태도다. 물론 예방은 중요하다. 하지만 예방을 위해 우리 스스로를 옥죄는 것이 바람직한 행동일까? 훈련을 통해 구성원들을 ‘인간 센서'로 거듭나게 할 생각은 왜 하지 못할까?”라고 말했다. 스피즈너는 기업 차원에서 직원들에게 사고 관련 지표나 위협 보고 체계를 교육할 것을 권했다. 스피즈너는 “예를 들어 자신이 내부 모의 피싱 평가를 진행한다 가정해보자. 실험을 진행하면서 얼마나 많은 직원이 단순한 피싱에 속아 넘어가는지 뿐만 아니라 얼마나 많은 직원들이 이를 감지하고 보고하는지 역시 조사해야 할 것이다. 공격에 당하지 않는 것보다 중요한 것은 공격을 초기에 포착하고 그것을 기업 전체에 전달하는 능력임을 기억하자”고 조언했다. 이미지 출처 : 씽크스톡

규정 위반 허용 때론 규정에서 탈피함으로써 보안 인식이 상승될 수 있다고 시큐리티 캐털리스트(Security Catalyst)의 마이클 산타칸젤로는 주장했다. 산타칸젤로는 비즈니스 환경에서 이러한 예외가 제대로 효과를 발휘하려면 다음의 조언들을 참고할 필요가 있다고 설명했다. -위반할만한 ‘적절한' 규정을 선택하라: 규정을 위반함으로써 어떠한 피해가 발생하진 않을지, 그리고 그것을 통해 직원들이 가시적인 결과물을 얻을 수 있을지(그들의 행동으로 인한 결과물을 즉각적으로 확인할 수 있을지) 이해하라. -규정 탈피는 특별한(일상적이지 않은) 일이 되어야 한다: 불필요한 규정으로부터 직원들을 해방시켜주는 것은 그들에게 자신들이 존중 받고 있음을 인식 시키는 역할을 한다. 하지만 상황에 대한 이해 없이 주어지는 자유는 혼란을 가져올 수도 있다. -강의가 아닌 대화가 필요하다: 직원들의 경험에서 교훈을 이끌어내고 그것을 통해 규정의 기본적인 목적을 새로이 이해해보라.

새로운 접근법 도전 스피즈너는 "과거의 보안 인식 프로그램들은 사용자들의 근본적인 태도를 변화시키지는 못했다. 목적 자체가 태도 변화에 초점이 맞춰져 있지 않았기 때문이다. 과거 프로그램들의 유일한 목표는 규제를 준수하는데 있었다. 지금까지 보안 인식 프로그램에 한 치의 여유도 없는 빠듯한 예산이 배정되어 왔던 것도 이러한 이유 때문”이라고 말했다. 스피즈너는 “예산뿐 아니라 인력의 투입 역시 최소한의 수준에서 이뤄졌다. 기업에서 보안 인식이란 주제는 1년에 한 차례 한 직원의 프레젠테이션만으로, 혹은 분기 별 짤막한 뉴스레터 몇 줄로만 다뤄졌다”고 설명을 이어나갔다. 보안 인식 프로그램이 진정으로 직원들의 태도를 변화시키는 역할을 수행할 수 있으려면 프로그램 초기 구상 단계에서부터 이를 염두에 두고 작업에 임할 필요가 있을 것이라 스피즈너는 지적했다. 이미지 출처 : 씽크스톡

경영진의 지원 윙클러와 맨케는 경영진의 지원이 인식 프로그램의 성패에 상당한 영향을 끼친다는 점을 강조했다. 이들은 “경영진의 지원은 보다 많은 자유와 예산이, 그리고 타 부서들의 지지가 보안 인식 프로그램으로 전해질 수 있도록 한다. 때문에 프로그램을 시행하려 계획 중이라면 다른 무엇보다 경영진의 지원을 확보하는데 우선적으로 집중해볼 필요가 있다. 이후의 모든 작업들이 훨씬 순조롭게 진행되는 것을 확인할 수 있을 것”이라고 말했다. 이미지 출처 : 씽크스톡

핵심 사업부들과의 파트너십 윙클러와 맨케는 보안 인식 프로그램의 성공 비밀로 법률 사업부, 규제 사업부, 인적 자본 사업부, 마케팅 사업부, 물리적 보안 사업부 등 타 부서들과의 연계도 강조했다. 이들 사업부는 보안 인식 개선의 효과를 직접적으로 누리는 영역들이며, 또한 당신과의 협력을 통한 추가 자원 확보에도 관심을 가지고 있다. 이들의 요구는 임원진들에게 보안 인식 프로그램의 중요성을 알리는 역할도 수행할 수 있다. 이미지 출처 : 씽크스톡

창의성 윙클러와 맨케는 창의성을 필수불가결한 요소라 설명했다. 그들은 “사례를 들어 살펴보자. 한 보안 인식 팀은 기업의 행사가 진행되는 복도에서 작은 이벤트를 진행했다. 그들은 테이블에 직원들이 일상적으로 행하는 활동들이 적힌 주사위를 펼쳐 놓고, 그 가운데 보안 상 문제가 되는 10개의 행동들을 모두 찾아낸 참가자에게 경품을 증정했다”라고 설명했다. 이미지 출처 : 씽크스톡

효율적인 시간 계획 윙클러와 맨케는 대부분의 보안 인식 프로그램이 1년 단위의 계획으로 진행되며 한 달에 한 개의 주제가 다뤄지는 경우가 일반적이지만, 보다 효율적으로 프로그램을 운영하기 위해서는 90일 주기로 목표와 프로그램 진행 상황을 재고하는 방식이 좋을 것이라 조언했다. 이들은 “시장의 모범적인 프로그램 성공 사례들을 살펴보면 동시에 세 건 정도의 주제에 집중하며 90일 단위로 프로그램을 발전시켜 나가는 모습을 확인할 수 있다. 매 90일 마다 프로그램을 재평가해 그간 다뤄진 주제들을 다음 단계로 발전 시키는 것이다”라고 설명했다. 이미지 출처 : 씽크스톡

멀티미디어 접근법 기업은 다양한 개성을 지닌 사용자들이 모인 공간이다. 이들 모두에게 꼭 맞을 단 하나의 열쇠가 있다는 생각은 버려라. 윙클러와 맨케는 “창의성만으론 최고의 프로그램이 만들어질 수 없다. 그 속에는 다양한 인식 자료들이 담겨있어야 한다. 뉴스레터, 포스터, 게임, 뉴스피드, 블로그, 피싱 시뮬레이션 등, 다양한 수단을 이용하라. 보안 인식 프로그램의 핵심은 사용자들의 참여를 이끌어내는데 있다는 기본 원칙을 항상 기억하라”고 강조했다. 이미지 출처 : 씽크스톡