이것만 지키면 고효율! 보안 교육의 기본 6단계

동기부여부터 커뮤니티 안내까지, 보안 교육에 꼭 필요한 요소들

결국 보안은 모든 현대인의 문제로 대두될 것

[보안뉴스 문가용] 대기업은 보안 문제가 아무리 거세게 몰아쳐도 걱정이 없다. 끄떡없는 건 아니지만 그래도 후속조치를 취할 수 있기 때문이다. 여차하면 새로 장비나 솔루션을 마련할 수도 있다. 전사적으로나 팀별로 혹은 부서별로 보안교육을 할 시간 및 자원의 여력도 있다. 물론 대단히 바쁘겠지만 조직문화가 대기업일수록 훨씬 존중받는 것이 보통이기 때문에 교육효과도 높은 편이다.

그러나 중소기업은 정 반대의 사정에 처해있다. 사고를 당하면 크게 당하고 후속조치를 취하기도 어렵다. 새로운 장비 사려면 재정이 휘청거리는 경우도 많다. 교육하려면 일단 시간도 없고 자원도 턱없이 부족하다. 이들이 대기업보다 더 바쁘다고 말할 수는 없지만 시간을 활용하는 것에 있어 자유도는 상대적으로 낮은 편이다. 보안교육의 효과가 더 높다고 장담할 수도 없고 말이다.

그렇다면 이런 중소기업에서는 어떤 식으로 보안 관련 프로그램을 만들어야 할까? 프로그램 자체야 환경별로 천차만별이니 여기서 뭐 하나를 딱 정해주기는 어렵지만 어디에 주안점을 두어야 하는지 몇 개 정도는 순서대로 짚어내는 것이 가능할 거 같아 정리해보았다. 물론 어디까지나 하나의 방법론을 제시하는 것이지, 이것이 다 맞는 건 아닐 것이다.

1차 : 인식 바꾸기

어느 분야나 마찬가지지만 교육효과를 가장 크게 보려면 교육 받는 사람들이 ‘필요’를 느껴야 한다. 그것이 흔히들 말하는 보안 인식이다. 그렇다고 사건사고의 사례를 들며 겁을 주고 협박하는 방식은 오래가지 않는다. 오히려 보안이 업무와 어떻게 연결되며, 어떤 식으로 도움을 주는지 ‘실용’의 측면에서 설득하는 편이 좋다.

2차 : 비전 심기

개인의 실용 측면에서 설득을 시도했다면 이제 보다 전체적인 시야를 제공해야 한다. 회사 전체 시각에서 왜 보안이 필요하며, 어떤 목표를 가지고 있는지, 또 그걸 어떻게 이룰 것인지, 전체 맥락을 파악할 수 있도록 해야 한다. 시야가 좁으면 올바른 판단을 할 수가 없게 되는 순간이 오기 마련이다.

3차 : 사람, 과정, 기술

보안의 3요소는 사람마다 다르게 정의하겠지만 나는 사람, 과정, 기술이라고 본다. 이를 하나로 묶어서 볼 수 있도록 교육을 하는 게 중요하다. 즉 ‘보안’을 생각할 때 적어도 이 세 가지가 곧바로 떠오르도록 말이다. 사람은 보안의 주체이며 주인공이자 보호대상이다. 현재 보안 업계의 가장 부족한 게 바로 이 사람, 즉 인재다. 과정이란 어떤 상황에 어떤 솔루션 및 기술을 사용해 어떤 방식으로 해결해야 하는지 고민하는 ‘해결’의 중요한 허리부분을 뜻한다. 이에는 사용자의 학습이 반드시 필요하다. 기술은 이런 과정을 가능하게 해주는 요소다. 기술 없이는 과정도 없다. 다만 이 기술을 갖추는 데 있어 ‘돈’이란 요소가 개입되기 때문에 이 균형을 잘 맞추어야 한다.

4차 : 워크플로우

동기부여도 됐고, 넓은 시야도 제공했으며, 보안이란 것에 어떻게 접근해야 하는지 기초적인 설명을 맞췄다면, 다음은 워크플로우 차례다. 쉽게 설명하자면 위에서 말한 기본사항들이 실제 보안의 현장에서는 항상 바뀌어서 나타난다는 걸 이해시키는 것이다. 어떤 경보가 발생하고, 각 경보는 상황에 따라 어떠한 심각성을 갖게 되는지, 그런 변화를 어떻게 하루하루 읽어낼 수 있는지 요령을 가르치는 걸 말한다. 이는 사용자의 지속적인 학습을 요한다.

5차 : 커뮤니케이션

이거, 더 자세히 설명할 필요가 있을까? 위의 절차를 잘 교육시키고, 학습자도 열심히 쫓아온다고 해도, 혼자서 모든 걸 다 해낼 수 있는 사람은 없다. 도움이 필요할 때 어디서 어떻게 도움을 청할 수 있는지 알려주는 것도 좋은 교육이다.

6차 : 커뮤니티

위와 비슷한데, 이미 여러 군데 구성된 보안 커뮤니티를 알려주는 것도 좋다. 요즘 인터넷 생활은 커뮤니티 위주로 많이 이루어지기 때문에 여기서 더 실제적인 도움을 받거나 동기부여를 받을 수도 있다.

아주 기본 골격만을 설명했지만, 위의 순서로, 위의 요소들을 교육 프로그램에 배치하면 기본 맥락은 빠짐없이 유지할 수 있을 것이다. 이제 보안은 전문가 몇몇의 문제가 아니다. 그걸 깨닫게 해주는 것만으로도 교육은 이미 성공한 것으로 보인다.

글 : 조슈아 골드팝(Joshua Goldfarb)

@DARKReading

[국제부 문가용 기자(globoan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)