보안 인식 교육 · 모의 피싱 훈련

보안 인식 교육이란?

보안 인식 교육을 해마다 한 번 듣는 동영상 강의로 여기는 조직이 많습니다. 그러나 이 교육의 목표는 지식 전달이 아니라 수상한 메일 앞에서 3초 멈추는 습관입니다. 피싱 메일의 특징을 시험에서 맞히는 사람과 바쁜 월요일 아침에 '급여명세서 확인' 메일을 누르지 않는 사람은 다릅니다. 그래서 설명보다 반복되는 짧은 경험이 설계의 중심이 되고, 그 경험을 만드는 도구가 모의 피싱 훈련입니다.

모의 훈련은 실제 공격과 비슷한 메일을 임직원에게 보내고 반응을 기록합니다. 보는 지표는 네 가지입니다. 메일을 연 비율, 링크를 누른 비율, 계정 정보를 입력한 비율, 그리고 보안팀에 신고한 비율입니다. 흔히 클릭률만 낮추려 하지만 실제 공격에서 조직을 구하는 것은 신고입니다. 한 사람이 빨리 신고하면 같은 메일을 받은 나머지 전원을 보호할 수 있기 때문입니다. 클릭률은 낮추고 신고율은 올리는 것이 목표의 한 쌍입니다.

운영은 연 1회 대규모 훈련보다 분기나 격월 단위로 짧게 나누는 편이 효과적입니다. 시나리오는 택배 안내처럼 쉬운 것에서 인사팀·대표 명의를 흉내 낸 것까지 난이도를 섞고, 누른 사람에게는 그 자리에서 1~2분짜리 안내가 뜨도록 합니다. 결과는 개인이 아니라 부서 단위로 공유하고, 새로 입사한 사람과 재무·인사처럼 공격 표적이 되기 쉬운 직무는 따로 봅니다.

현장에서 가장 크게 어긋나는 지점은 훈련 결과를 징계나 평가에 연결하는 것입니다. 누른 사람의 명단을 공개하거나 인사고과에 반영하면 클릭률은 내려가지만 실제 사고 때 신고도 함께 사라집니다. 실수를 숨기는 쪽이 안전해지기 때문입니다. 성과급 지급 안내처럼 직원의 기대를 건드리는 시나리오는 훈련이 끝난 뒤 조직에 대한 불신을 남기기도 합니다. 훈련의 목적이 적발이 아니라 연습이라는 점을 사전에 알리고, 신고한 사람을 드러내 칭찬하는 편이 지표를 더 빨리 움직입니다.