사이버보안 성공의 열쇠: 인간 요소

상호연결 가능한 디지털 기기 수 증가로 사이버보안 복잡성 기하급수적 증가. 상호의존적 컴퓨터 인프라가 오늘날 거의 모든 조직 지원하므로 디지털 데이터 보호 필수적.

설문 대상 CEO 37%가 확장된 비즈니스와 핵심 엔터프라이즈 파트너 내 중대 리스크 존재한다고 답함. 예방 조치만으론 더 이상 충분치 않음. 새 환경은 경계심 있는 모니터링과 창의적 혁신 요구. 모든 이해관계자 참여 필요.

인간 요소가 핵심. 직원을 얼마나 잘 심사·교육·장비하느냐가 사이버보안 시스템, 고객·파트너 평판, 어쩌면 비즈니스 자체 성패 가름.

C-스위트 89%가 직원이 책임감 있게 정보 보호할 거라 믿지만, 22%는 직원이 오프사이트 데이터 정책 인지 못 한다고 말함. 최고 위험 기기: 회사 휴대폰(50%), 회사 노트북(45%), USB 저장장치(41%).

A.T. 커니(Kearney) 2018 C-스위트 관점(Views From the C-Suite) 보고서에 따르면 기업 85%가 작년 보안 침해 경험. 그중 40%만 사이버보안 전략 설계·구현.

직원 집중 외에 전체 공급망 동참 중요. 기업 리더들이 꼽는 실행 가능 사이버보안 4대 전술:

사이버보안 새 패러다임: 관여시키고, 설득하고, 교육하고, 전환하고, 보상. 최종 사용자는 비협조적, 통제 혐오, 행동 변화 거부로 부당하게 고정관념화되곤 함. 동시에 사이버보안 최약 고리. 깊은 기술 전문가도 덜 훈련된 일반 사용자만큼 취약할 수 있음.

실제 사례: 수년 전 남미 무선 통신사 CISO로 일할 때, 증가하는 데이터 유출 줄이는 임무 맡음. 고위 임원 보안 정책 강경 집행 권고. 최종 사용자, 보안에 비헌신적, 내부 통제 개선 캠페인에 무반응이라고 함.

저는 반대 입장 취함. 경험상 생존 가능 솔루션 만들려면 정책·기술·결정 영향받는 각 개인(이해관계자) 참여시켜야 함. 이사회 참석자만 아닌.

최종 사용자 처벌·통제 집행만 집중하는 대신, 직원들과 회의 시리즈 열어 모범 사례 공유, 페인 포인트 파악, 보안 도구 적절 활용 단계별 가이드 제공.

알고 보니 많은 보안 정책이 연이은 합병으로 구식됨. 게다가 사용자들 번거로운 30일 비밀번호 만료 관행에 포스트잇에 액세스 코드 적어둠. 악의적 사람들 이로 무단 접근 획득.

직원 피드백 기반 정책 업데이트, 절차·표준 재작성해 적절·명확하게 만듦. 스코어카드로 진척 추적, 보상 시스템 도입. 데이터 유출 감소, 사용자-보안부서 피드백 루프 구축해 프로그램 적절성 유지. 최종 사용자 프로세스 참여, 잠재 문제 포착 교육 루프로.

이해관계자·인간 중심 설계 프로세스, 처벌 아닌 관여·교육·전환·보상 의존이 가장 포괄적이고 지속가능한 사이버보안 솔루션 생산함 재확인.

J. 에두아르도 캄포스(J. Eduardo Campos)는 임베디드-놀리지(Embedded-Knowledge Inc.) 컨설팅 펌 대표.

산업기술