보안 교육

보안에 돈을 쓰는 순서는 오랫동안 장비와 도구였습니다. 방화벽을 사고, 접속 기록을 남기는 시스템을 붙이고, 비밀번호 규칙을 강하게 걸었습니다. 그런데 실제로 사고가 난 경로를 들여다보면 대개 그 장비 바깥이었습니다.

흔한 모양은 이렇습니다. 대표 이름으로 온 메일에 급하게 처리해 달라는 요청이 적혀 있습니다. 첨부된 파일을 열거나 링크를 눌러 아이디와 비밀번호를 넣습니다. 방화벽은 정상 접속으로 봅니다. 아이디와 비밀번호가 맞기 때문입니다. 시스템은 뚫린 것이 아니고 문이 열린 것입니다.

한동안은 이것을 개인의 부주의로 다뤘습니다. 사고가 나면 그 사람에게 주의를 주고 전체 공지를 한 번 보냅니다. 두 달쯤 조심하다 원래대로 돌아갑니다. 공지는 읽는 순간에만 작동하고, 새로 들어온 사람은 그 공지를 아예 못 봅니다.

보안 교육은 그 일을 한 번의 주의에서 주기적인 절차로 옮겨 놓은 것입니다. 사람이 약한 고리라는 사실을 전제로 두고, 그 고리를 매번 조여 두는 쪽으로 방향을 바꾼 것입니다.

한 해를 기준으로 도는 절차이고, 다섯 단계입니다.

1. 무엇을 가르칠지 정합니다. 지켜야 할 규칙을 문서로 정한 보안 정책에서 가져옵니다. 정책에 없는 것을 가르치면 교육이 끝난 뒤 지킬 근거가 없고, 정책에 있는데 안 가르치면 문서만 있는 규칙이 됩니다.
2. 대상별로 나눕니다. 전원이 들어야 하는 것과 특정 역할만 들어야 하는 것을 가릅니다. 전원 몫은 피싱 메일 알아보기, 비밀번호 관리, 고객 데이터를 어디까지 내려받을 수 있는지입니다. 개발자 몫으로는 접근 키를 코드에 넣지 않는 것, 운영 데이터베이스를 직접 조회할 때의 규칙이 붙습니다.
3. 짧게 여러 번으로 짜맞춥니다. 한 해에 한 번 두 시간을 몰아서 하면 그 자리에서만 기억에 남습니다. 20분짜리를 분기에 한 번 돌리는 편이 같은 총량으로 훨씬 오래 갑니다.
4. 실제 사례로 만듭니다. 일반적인 수칙 목록은 읽히지 않습니다. 우리 회사에 실제로 온 피싱 메일을 그대로 보여 주고 어디가 이상한지 함께 찾는 쪽이 남습니다. 발신 주소의 글자 하나, 급하게 만드는 문장, 평소와 다른 결재 요청 같은 것들입니다.
5. 확인하고 기록합니다. 누가 언제 들었는지를 남기고, 짧은 문제 몇 개로 이해했는지 확인합니다. 기록이 남아야 미루는 사람에게 다시 요청할 수 있고, 외부 감사에서 증거로 쓸 수 있습니다.

교육만으로는 효과를 알 수 없습니다. 그래서 가짜 피싱 메일을 보내 반응을 보는 피싱 모의 훈련을 교육 뒤에 붙입니다. 교육 전 클릭률과 교육 후 클릭률을 나란히 놓으면 이 활동이 실제로 무언가를 바꿨는지가 나옵니다. 바뀌지 않았으면 내용이 아니라 형식을 손봅니다.

전원이 대상입니다. 개발자나 보안 담당자만의 일이 아니라는 점이 이 활동의 성격입니다. 오히려 고객 데이터를 매일 다루는 세일즈와 고객 성공 쪽이 더 중요합니다. 명단 파일을 개인 계정으로 보내는 일, 화면 공유 중에 다른 고객 정보가 보이는 일이 그 자리에서 일어납니다.

시점은 넷으로 나뉩니다.

1. 입사할 때입니다. 첫 주에 넣습니다. 계정을 받고 권한이 붙는 시점이라 규칙이 필요한 때가 바로 그때입니다. 이 자리를 놓치면 그 사람은 다음 분기 교육까지 아무 기준 없이 일합니다.
2. 주기적으로입니다. 분기에 한 번이 흔하고, 사람이 아니라 날짜로 걸어 둡니다. 사고가 났을 때만 하면 조심하는 기간이 두 달쯤에서 끝납니다.
3. 무언가 바뀔 때입니다. 새 도구를 도입했거나, 정책을 고쳤거나, 실제로 사고가 났을 때입니다. 사고 뒤에 하는 교육은 가장 잘 들리는 교육이라 그 시점을 놓치지 않습니다.
4. 역할이 바뀔 때입니다. 운영 데이터베이스 접근 권한을 새로 받은 사람에게는 그 권한에 붙는 규칙을 그때 가르칩니다.

관리자 쪽 참여도 필요합니다. 팀장이 교육을 형식으로 여기면 그 팀 참여율이 먼저 떨어지므로, 참여율을 팀별로 뽑아 보는 회사가 많습니다.

외부 요구로 시작하는 경우도 많습니다. 서비스 조직의 보안 통제를 검증하는 SOC 2 같은 인증에는 연간 교육 실시와 그 기록이 항목으로 들어 있습니다. 고객사가 보내오는 보안 점검표에도 같은 문항이 있습니다.

"입사 첫 주 교육에 넣읍시다. 권한 받는 날에 규칙도 같이 받아야 해요."

시점을 권한 부여와 맞추자는 제안입니다.

"작년 교육 기록 남아 있나요? 고객사 점검표에 연간 실시 여부를 적어야 합니다."

기록이 외부 요구에 쓰이는 상황입니다.

"모의 훈련 클릭률이 교육 전후로 똑같아요. 내용을 바꿔야 합니다."

효과를 숫자로 확인하고 형식을 손보려는 판단입니다.

페이지덱에서는 규원이 분기에 한 번 20분짜리를 돌립니다. 자료는 매번 새로 만들지 않고 그 분기에 실제로 회사에 온 피싱 메일 두세 건을 골라 씁니다. 대표 이름으로 온 결재 요청 메일이 지난 분기 자료였습니다.

이 활동이 실제로 걸린 적이 한 번 있었습니다. 교육 두 주 뒤에 같은 모양의 메일이 왔고, 받은 사람이 링크를 누르지 않고 규원에게 물었습니다. 발신 도메인의 글자 하나가 다르다는 것을 교육에서 본 그대로 알아본 것입니다. 그 뒤로 자료에는 막은 사례를 함께 넣습니다.

보안 교육을 형식적인 연간 행사로 여기는 경우가 많습니다. 인증이나 고객 요구 때문에 하는 일이라 항목만 채우면 된다고 보는 것입니다. 그런데 요구를 채우는 일과 사고를 줄이는 일은 방법이 다릅니다. 두 시간짜리 영상을 틀어 두고 이수 기록만 남기면 항목은 채워지지만 클릭률은 그대로입니다. 남는 것은 사고가 났을 때 교육은 했다고 말할 근거뿐이고, 그 근거는 사고를 막지 못합니다.

사람을 가르치면 사고가 없어진다고 생각하는 것도 흔합니다. 원인이 사람이니 사람을 고치면 된다는 계산입니다. 하지만 아무리 잘 가르쳐도 바쁜 날에 급한 메일을 받으면 누구나 누릅니다. 교육은 확률을 낮추는 장치이고, 남은 확률은 다른 것으로 막습니다. 계정에 추가 인증을 붙이고, 권한을 최소로 주고, 누가 무엇에 접근할 수 있는지 주기적으로 확인하는 접근 권한 점검을 함께 돌립니다. 교육만 있는 조직은 한 사람이 누르는 순간 전부 열립니다.