조직 전반에 강한 보안 문화 구축하기

10월은 국가 사이버 보안 인식의 달(National Cybersecurity Awareness Month).

다른 것 중 유방암 인식의 달, 치과 위생의 달, 왕따 예방의 달, 제 개인 최애 피자의 달도 겹칩니다. 할로윈도! 하지만 딴소리 그만... 사이버 보안 이야기하러 왔습니다.

모든 제조업체는 전 직원 대상 사이버 보안 인식 교육 최소 연 1회 실시해야 합니다. 많은 사람 '사이버 보안', '교육' 단어만 나와도 겁먹으니 10월이 적기. 교육 최소 IT 보안, 정보 보안, 물리 보안 등 관련 회사 정책 포함해야.

여러 해 우리 이런 교육 받아오며 두려워함 배움. 작년과 똑같은 사이버 보안 연설 하고 참석 서명 종이 나눠주는 교육. 진짜 졸음 축제. 이런 교육은 최소 요건 충족하지만 직원 행동 실질 형성엔 영향 적음.

사이버 보안 인식·교육 진짜 목적은 보안 문화 창조, 즉 직원들이 좋은 사이버 보안 관행을 좋은 비즈니스이자 '우리가 여기서 일하는 방식' 일부로 보게 하는 것. 직원들이 좋은 사이버 보안 결정 내릴 수 있게 권한 부여되고 좋은 결정 기준 이해해야. 인식·교육 초점:

• 위험 행동 멈추기: 나쁜 결과 초래할 결정 알리기. 예: 알 수 없는 출처 이메일 첨부파일 열기.
• 덜 위험한 행동 장려: 보안 높이는 프로세스 구현 이해·관심 갖게 하기. 예: 강력한 비밀번호 만들기.
• 직원을 파수꾼으로: 사이버 보안 이벤트 인지·대응하게 하기. 예: 손님 무단 USB 드라이브 기계 꽂으면 어떻게 할까.

이상적으로 교육 지속적 노력. 비즈니스 일상 업무에 사이버 보안 교육 포함 아이디어:

• 사이버 보안 회사 중요 목표 정기 강조.
• 모든 회의에 사이버 보안 팁·트릭·리마인더 하나씩 통합.
• 직장 곳곳 적절한 보안 관행 리마인더 게시.
• 직원 더 나은 보안 결정 쉽게 만드는 프로세스 개선 논의 정기 회의.

좋은 직원 사이버 보안 교육 모습 연구 많음. 일반적으로 'RAINSTORMS' 약어로 요약 가능. 네, 지금 방금 만들었습니다.

• Real(현실적): 실제 사례 연구나 현실적 시나리오로 교훈 와닿게.
• Actionable(실행 가능): 직원이 즉시 할 것 포함. 비밀번호 변경, IT 자산 재고 파악, 사고 신고할 사람·조직 연락처 폰에 저장 등. 장기 과제 적절할 때도 있지만 즉각적 목표 항상 도움.
• Interactive(쌍방향): 역할극, 소그룹 토론, 실습 등 교육 쌍방향성 높이는 좋은 방법. 이상적 상호작용은 모든 관리 수준 포함 양방향 대화로 모두 같은 책임, 같은 페이지 확인.
• New(새로움): 정책 이야기할 때 반복 일부 적절하지만 진부해지지 않게. 다른 교육 포맷(강의, 역할극, 비디오) 도움.
• Small(작게): 한 입 크기 정보 덩어리가 직원에게 컴퓨터 공학 학위 분량 정보 강요보다 소화 쉬움. 한 주제씩 일반적으로 바람직.
• Testable(시험 가능): 사이버 보안 교육 측정 가능 테스트 목표 필요. 일반 인식이면 퀴즈 개발. 피싱 공격 완화 목표면 가짜 피싱 이메일 행사 전후 몇 주 간격 발송. 교육 효과 보여줌.
• Owned(주인 의식): 직원 교육 후 사이버 보안 자기 책임 주인 의식 느낌, 좋은 사이버 보안 결정 권한 부여 느낌 가져야.
• Relevant(관련성): 대부분 회사 다른 유형 사용자 존재. 각 사용자 유형 맞춤 교육 더 현실적. 현장 직원 vs 사무직 직원 다른 교육 의미할 수 있음.
• Memorable(기억에 남음): 두문자어, 재치 있는 암기법, 제 개인 최애 유머 사용. 인간 웃긴 것 — 말장난, 나쁜 뮤직비디오, 고양이 웃긴 밈 — 지루한 강의보다 훨씬 잘 기억. 비전통적·재미 있게 두려워말 것.
• Simple(단순): 무엇보다 교육 단순해야. 기술 용어 가득한 지나친 기술 수업은 재우기만 함.

국가 사이버 보안 교육 이니셔티브(NICE) 직원 교육 도움 무료·저비용 리소스 작은 목록 보유. 온라인 추가 리소스 많음. 인터넷 검색하면 옵션 폭격. 위 RAINSTORMS 템플릿으로 옵션 평가.

10월 내내 NIST MEP 국가 사이버 보안 연합(NCSA) 제공 테마·개요 따라 느슨하게 블로그 시리즈 게시. 올해 테마 '당신 몫 다하기. #BeCyberSmart.' 개인적으로 셀프 프로모션 해시태그 팬 아님, 하지만 이번 달 트윗·블로그 사이버 보안 주제면 #BeCyberSmart 해시태그 고려 — 얼마나 갈지 보자.

NCSA 개요:

• 10월 5일 주(1주차): 연결하면 보호하라(If You Connect It, Protect It)
• 10월 12일 주(2주차): 집과 직장 기기 보호(Securing Devices at Home and Work)
• 10월 19일 주(3주차): 의료 분야 인터넷 연결 기기 보호(Securing Internet-Connected Devices in Healthcare)
• 10월 26일 주(4주차): 연결된 기기의 미래(The Future of Connected Devices)

어디서 시작할지 모르겠다면 지역 MEP 센터 연락해 효과적 사이버 보안 교육 프로그램 구현법 알아보세요. NIST MEP 웹사이트 제조업체 사이버 보안 리소스도 접근 가능.

이 블로그는 국가 사이버 보안 인식의 달(NCSAM) 연재 시리즈 일부. 다른 블로그: 제인 파탈리브 '연결하면 보호하라', 팻 토스 '의심 많은 마음: 비즈니스 해킹당했을 비기술적 징후', 제니퍼 커츠 '인터넷 연결 의료 기기 보안', 에릭 포글맨·제프 오르작 '연결된 기기의 미래'.