[김정덕의 인간중심보안-7] 디지털 야누스, 두 얼굴의 사용자

인간 중심 접근으로 모순을 설득하는 실천 방안

[연재목차 Part 3. 인간중심보안과 보안문화]
1. AI 시대, 왜 인간 중심 보안인가
2. AI 시대, 인간 중심 보안을 구현하려면
3. 인간의 창의성과 AI 보안
4. 보안 위반, 뇌 과학 해법
5. 넛지 보안의 힘
6. 감정과 비합리성, 보안의 숨은 힘
7. 디지털 야누스, 두얼굴의 사용자
8. 인간 중심 보안과 제로트러스트 아키텍처
9. ESG 너머, 인적 지속가능성과 보안
10. 예산·인력 없는 중소기업, '사람'이 답이다
11. 보안문화, Nature vs. Nurture
12. 보안 성패를 가르는 7가지 문화 유형
13. 한국형 보안문화 진단 모델_K-SCT
14. 디지털 보안문화 전환 모델_CORE TRUST

[보안뉴스= 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장] 사람은 한 대상에 긍정과 부정의 감정·신념이 동시에 공존하는 특이한 심리를 보입니다. 형식 논리로 설명하기 어려운 이 현상은, 단순히 ‘좋거나 싫거나’가 아니라 애증처럼 좋기도 하고 미워하기도 하는 양면성을 띠며 일상에서 보편적으로 발견되고 있습니다. 심리학에서는 이를 ‘양가 감정’(ambivalence)이라 부르며, 동일 대상에 대한 긍정과 부정의 정서·평가가 병존하는 상태로 설명합니다. 이는 결함이 아니라 복잡한 환경에서 다중 목표를 저울질하려는 마음의 자연스러운 작동 방식이며, 충분한 숙고와 학습의 과정을 통해 더 나은 결정을 가능하게 합니다.

보안 앞의 두 얼굴: 우리는 왜 모순적으로 행동하는가
보안의 필요성을 인정하면서도 번거로움과 시간 지연을 싫어하는 마음은 누구에게나 있습니다. 업무 여유가 있을 때는 정책을 충실히 따르다가, 마감 압박이나 스트레스 상황에서는 우회와 예외를 택하는 ‘스위칭’이 나타납니다. 경고 알림은 처음엔 경각심을 주지만 반복되면 감정 마비로 이어져 무시됩니다. 사고 징후를 발견했을 때 책임감은 신고를 재촉하지만, 비난과 평판 손상에 대한 우려로 인해 신고를 지연할 수 있습니다. 이러한 모순은 악의가 아니라 양가감정의 자연스러운 결과입니다. 한 개인 안에서 가치 부여(안전)와 부담 회피(생산성)가 동시에 작동하기 때문입니다.

이러한 양가감정은 권한 관리와 취약점 공개에서도 두드러집니다. 업무 자율성과 생산성을 중시해 기존 권한 유지를 원하면서도, 공급망 위협과 내부자 위험을 인식해 권한 최소화 필요성에 동의합니다. 이에 파일럿 기간에만 권한 제한을 수용한 뒤 원상 복구를 요구하는 ‘진자 운동’이 반복됩니다. 또한 취약점 발견 시 고객 보호와 법적 책임을 위해 신속 공지를 지지하나, 평판 하락과 영업 영향 공포로 표현을 완화하거나 공개 시점을 미루는 타협이 나타나곤 합니다.

두 마음을 설득하는 ‘인간 중심’ 보안 전략
양가감정 패턴은 개인을 넘어 팀과 조직으로 확산되어 “보안은 필요하지만 번거롭다”는 이중 규범을 형성합니다. 이로 인해 보안 정책 준수 품질이 불안정할 수 있습니다. 이러한 두 마음을 보안관리 설계에 어떻게 반영해야 할까요?

첫째, 보안 목표를 “안전을 높이되 생산성을 해치지 않는다”는 이중 목표로 명시합니다. 양가감정을 제도적으로 인정하면 일률적 규범 대신 상황 적응적 설계가 가능해집니다.

둘째, 마찰을 최소화하는 사용자 경험을 제공합니다. 패스키, 싱글 로그온, 위험 기반 인증, 암호 자동화로 ‘귀찮음’을 줄이고, 안전한 기본값을 강화해 우회 가능성을 억제합니다.

셋째, 경고는 공감의 언어로 정밀하게 다듬습니다. 공포 대신 맥락 맞춤·행동 지향 신호로 경각심은 높이되, 잦은 경고로 인한 피로감을 낮추는 노력을 해야 합니다. 또한 사건 재현과 비난 대신 회복과 학습의 스토리를 강조합니다.

넷째, 신고 문화를 무벌점 원칙으로 재설계합니다. ‘빠른 신고–무처벌–빠른 복구’를 문서화하고, 사후 리뷰는 개인 비난이 아니라 절차·도구 개선에 집중합니다.

다섯째, 긍정 강화의 회로를 심습니다. 작은 올바른 행동에도 즉각적인 인정과 칭찬, 동료의 공개 추천, 가벼운 보상으로 자긍심과 소속감을 축적합니다.

여섯째, 감정의 흐름을 저침습 방식으로 주기적으로 점검합니다. 월 1~2회 익명 설문과 피드백으로 피로도, 경고 피로, 심리적 안전감을 파악합니다. 이때 수집 목적과 활용 범위 고지 및 동의, 최소 수집·비식별화·접근 통제·보존 기간 제한 등 프라이버시를 보호해야 합니다.

인간을 이해하는 보안이 가장 강하다
가장 견고한 보안은 기술이 아닌, 인간의 마음을 이해하는 데서 비롯됩니다. 사용자가 항상 한결같을 거라 가정하면 실패합니다. 안전을 원하면서 불편을 피하려는 모순된 두 마음을 포용할 때 보안은 진정한 생명력을 얻습니다.

사용자와의 마찰을 줄이는 사려 깊은 설계, 실수 처벌 대신 긍정 행동을 유도하는 무벌점 문화, 감정을 존중하며 신뢰를 쌓는 세심한 접근이 핵심입니다. 보안은 차가운 통제보다 따뜻한 관계·인정·지혜로운 설계의 언어에 깊이 응답합니다.

이렇게 양가감정을 설계에 녹인 조직은 예측 불가능한 행동을 줄이고 자발적 동참을 이끌어냅니다. 그 작은 차이가 결국 누구도 넘볼 수 없는 보안 성숙도를 만들어 낼 것입니다.

[글_김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장]

필자 소개_ 중앙대학교 산업보안학과 명예교수, 인간중심보안포럼 의장, 한국정보보호학회 부회장, 금융 정보보호관리체계 인증위원, 전 JTC1 SC27 정보보안 국제표준화 전문위 의장 및 의원, 전 ISO 27014(정보보안 거버넌스) 에디터 등 역임

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다