이건 직원들이 의무적으로 시청해야 하는 보안 인식 교육 영상에 대해 남길 법한 리뷰는 아닙니다.
“재미있고 신나요!!!”
“이야기 전개가 훌륭하네요.”
“강렬해.”
인적 위험 관리 콘텐츠 분야의 선도 기업인 리빙 시큐리티(Living Security)가 제작한 영화 시리즈에 대해 이러한 긍정적인 반응이 잇따랐다. 의 ‘본(Bourne)’ 시리즈를 연상시키는 이 작품은 지루한 기업 교육 과정이라기보다는, “Born Secure: Training Grounds”는 평범한 사무직 직원이었던 제이콥 웹이 비밀리에 활동하는 윤리적인 슈퍼 해커 팀에 ‘매트릭스(Matrix)’와 유사한 방식으로 발탁되어 엘리트 사이버 요원이 되는 모험을 그립니다. 시리즈 예고편에서 위협적인 음악이 울려 퍼지는 가운데, 제이콥이 보안 카메라를 의심스러운 눈빛으로 쳐다보는 모습이 포착된다. 누군가가 달리고, 의자가 뒤집히고, 머리 위에서 드론이 윙윙거리는 소리가 들리더니, 제이콥이 보안문을 박차고 나와 눈부신 햇살 속으로 뛰쳐나왔다.
이는 사무실 내 행동에 실질적인 변화를 가져오기보다는 눈살을 찌푸리게 만들기 일쑤인, 전형적인 지루하기 짝이 없는 파워포인트 발표와는 천지 차이입니다.
에 따르면, 조직의 97% 가 보안 인식 교육을 실시하고 있지만, Living Security의 창립자이자 CSO 겸 전략 개발 책임자인 드류 로즈(Drew Rose)는 이러한 교육이 너무 자주 ‘내용 자체를 위한 내용’을 활용하고 있으며, 그러한 방식은 효과가 없다고 말합니다. “그저 체크리스트에 체크를 해두기 위해서였을 뿐이에요,”라고 로즈는 말한다. 그 직원은 과제를 수행했지만, 그게 그 업무에 대한 참여의 전부였다. 분석가들은 이러한 형식적인 세션이 지루할 뿐만 아니라—따라서 효과적이지 않다고 지적한다—참가자들이 실제로 무언가를 배웠는지 판단할 수 있는 평가 기준도 부족하다고 말한다.
“학습과 역량 개발은 지속적이고 몰입도 높은 실제 위기 상황을 시뮬레이션하는 방식으로 진행될 때 가장 효과적입니다.”라고 사이버 역량과 인력의 회복탄력성을 평가하고 측정하는 영국 기반 교육 센터이자 보스턴에 지사를 둔 ‘이머시브 랩스(Immersive Labs)’의 인적과학 담당 이사인 벡 맥키운(Bec McKeown)은 설명합니다.
이러한 교육 콘텐츠를 재미있고 상호작용이 가능한 형태로 구성함으로써, 고용주들은 직원들이 휴게실에서 교육 세션에 대해 이야기를 나누게 하고, 사이버 보안을 더 진지하게 받아들이도록 유도할 수 있기를 기대하고 있습니다.
인간이 가장 취약한 고리다
조직의 사이버 방어 체계에서 인간이 가장 취약한 고리라는 사실은 오랫동안 인정되어 왔지만, 적절한 교육을 통해 이를 개선할 수 있습니다. 즉, 잠재적 위험에 대한 인식을 높이고 경각심을 강화하며, 사기를 북돋우고, 직원들이 조직의 전반적인 사이버 보안 태세에서 자신이 맡은 역할에 대해 더 잘 이해하고 있다고 느끼게 함으로써 이를 해결할 수 있습니다.
“학습과 개발은 지속적이고 흥미로운 실제 위기 시뮬레이션을 통해 제공될 때 가장 효과적입니다.”이머시브 랩스(Immersive Labs)의 인간과학 부문 책임자, 벡 맥키운
“기업들은 이제 회복탄력성을 확보하기 위해서는 도구와 기술만으로는 더 이상 충분하지 않다는 사실을 점점 더 깨닫고 있으며, 개인과 팀의 역량 역시 그만큼 중요하다는 점을 인식하고 있다”고 공인 심리학자이자 이머시브 랩스(Immersive Labs)의 사이버 인력 심리학 부문 책임자인 존 블라이스 박사는 말했다. “많은 직원들이 지루한 프레젠테이션 때문에 피로를 느끼고, 또 다른 직원들은 클릭만 반복하며 지나가는 진부한 이러닝 과정에 지쳐, 몇 시간 동안 강의를 들어도 아무것도 배우지 못하는 경우가 많습니다.”
그리고 문제는, 생각보다 훨씬 일찍 시작되는 것 같습니다.
직원들은 지루한 프레젠테이션이나 이러닝 강좌를 접하기도 전에 이미 보안 인식 교육에 대해 의욕을 잃는 경우가 많습니다. 이 문제는 회사 내 기술직과 비기술직 직원 간의 괴리에서 비롯됩니다.
로즈는 기술 업계의 일부 사람들이 기술 분야가 아닌 동료들을 지식이나 이해도가 낮은 사람들로 취급하는 경향이 있다고 인정한다. 비기술직 직원들이 존중받고 있다고 느끼지 못한다면, 문제가 발생했을 때 IT 및 보안 팀에 도움을 요청할 가능성이 낮아집니다.
[관련 기사: 때로는 충성스러운 직원조차 사이버 보안 정책을 위반하기도 합니다. 그 이유는 다음과 같습니다.]
전문가들은 최종 사용자가 기업 리스크에 막대한 영향을 미치기 때문에, 기술 부서와 비기술 부서 간의 관계 구축에 더 많은 노력을 기울여야 한다고 말한다. 이러한 점을 고려하여, 기업 리더들은 양측을 하나로 묶고, 의사소통을 개선하며, 장기적으로는 위험을 보다 효과적으로 완화하기 위한 방안으로 게임화나 매력적인 경품이 걸린 경연 대회와 같은 기법을 도입하고 있다.
이들 리더들은 또한 교육 내용을 더욱 면밀히 검토하며, 파워포인트는 버리고, 말하자면 넷플릭스에서 볼 법한 콘텐츠로 대체하고 있다.
영화 보러 가자!
KnowBe4’s 의 최고 홍보 책임자 겸 전략 책임자인 페리 카펜터는 훌륭한 보안 인식 교육 동영상의 목표는 두 가지라고 말합니다. 보안 책임자들은 팀과 직원 간의 유대감을 강화해 줄 제품이 필요하며, 이는 직원들에게 귀사가 그들의 이익에 관심을 가지고 있음을 보여줌으로써 이루어집니다. 또한 인간적이고 감정적인 차원에서 그들과 소통해야 합니다. 그렇게 할 때 정보의 기억 유지율이 높아질 가능성이 커지기 때문입니다.
“직장을 옮기면서도 에피소드를 계속 따라가기 위해 우리 서비스에 가입하는 직원들의 이야기를 종종 듣곤 합니다.”페리 카펜터, KnowBe4 최고 전도사 겸 전략 책임자
더 나은 보안 인식 제고 자료를 제작하기 위해, KnowBe4 과 리빙 시큐리티(Living Security)와 같은 보안 기업들은 직원들이 여가 시간을 어떻게 보내는지, 그리고 어떤 종류의 콘텐츠에 관심을 보이는지 주목했습니다. 스포일러: 사람들은 영화를 보거나 TV 시리즈를 몰아보는 것을 좋아한다. 보안 인식 교육 영상이 그런 종류의 오락을 재현할 수 없는 이유는 전혀 없었다.
쇼타임의 《 》 《Homeland》 및 폭스의 《 》 24에서 영감을 얻어, KnowBe4 는 다양한 보안 위협을 중심으로 전개되는 줄거리와 반복 등장하는 캐릭터들을 바탕으로 전형적인 에피소드 형식을 따르는 다시즌 시리즈 《The Inside Man》을 제작했다. 시즌 4 에서는 국제적인 ‘’ 에너지 기업 을 대상으로 한 랜섬웨어 공격과, 딥페이크에 속아 넘어간 글로벌 인플루언서의 고군분투가 다뤄졌습니다. 1월, 시즌 5 의 ‘’ 예고편 이 공개되었습니다.
캘리포니아주 웨스트레이크 빌리지에 본사를 둔 보안 교육 기업인 ‘닌지오(Ninjio)’는 애니메이션을 선택했다. 이 제작사는 3~4분 길이의 애니메이션 스타일 ‘ ’ 동영상( )을 제작하며, 비즈니스 이메일 침해( )부터 비밀번호 보호()에 이르기까지 다양한 주제를 다룹니다. 이 동영상들의 대본은 ‘CSI: NY’ 및 ‘하와이 파이브-오’ 등 유명 드라마에 참여한 경력을 가진 할리우드 작가들이 집필했습니다.
한편, 리빙 시큐리티의 동영상은 거의 모든 사람에게 흥미로운 내용을 제공합니다. 리얼리티 쇼를 좋아하시나요? 그렇다면 “: The Cyber Race,”를 좋아하실지도 모릅니다. 이 프로그램은 에미상을 수상한 대히트작 ‘ Amazing Race’에 경의를 표하며, 전 세계를 누비는 참가자 쌍들이 디지털 신원, 피싱 및 기타 보안 문제와 관련된 단서를 찾고 과제를 해결해 나가는 내용을 담고 있습니다. 요리 프로그램 애호가들은 “의 사이버 키친”을 통해 새로운 레시피를 준비하면서 사이버 보안에 대해 배울 수 있습니다. 또한 심야 토크쇼, 인기 영화, 시트콤을 패러디한 작품들뿐만 아니라, 소름 끼칠 정도로 사실적인 ‘ ’ 스타일의 다큐멘터리 도 있는데, 이 다큐멘터리는 시청자들에게 내부 위협의 징후에 대해 알려줍니다.
보안 인식 교육은 흥미로운 이야기에서 시작됩니다
조직 행동학 전문가들은 오랫동안 스토리텔링이 이해관계자들의 참여를 유도하는 효과적인 수단으로서 지닌 힘을 높이 평가해 왔다. 심리학자들은 잘 짜인 이야기에 담긴 교훈이 사실이나 수치에서 도출된 교훈보다 더 오랫동안, 그리고 더 정확하게 기억된다는 사실을 밝혀냈다. 또한 존스홉킨스 대학교의 연구진은 최근 암, 당뇨병, 고혈압 환자들이 생활 습관을 바꾸도록 유도하는 수단으로 스토리텔링의 효과를 인정했다.
“보안 인식 교육은 ‘보안이 무엇인가’라는 모델에서 ‘보안이 왜 중요한가’라는 모델로 전환되고 있습니다.”드류 로즈, 리빙 시큐리티(Living Security) 창립자, 최고전략책임자(CSO) 겸 전략 개발 총괄
이 영화 형식의 교육 영상이 효과를 발휘하는 이유는, 지지자들에 따르면, 사용자들이 이를 시간 낭비로 여기지 않기 때문이라고 한다. 일을 하면서도 재미있게 볼 수 있는 기회예요. 시청자들은 심지어 이 프로그램에 푹 빠져들 수도 있다.
KnowBe4’s 카펜터는 “보안팀으로부터 직원들이 다음 에피소드나 시즌을 기다린다는 내용의 이메일을 받는다”고 말했다. “직장을 옮기면서도 에피소드를 계속 시청하기 위해 우리 서비스에 가입하는 직원들의 이야기를 들어본 적이 있습니다.”
[관련 기사: 왜 이제 모든 직원이 사이버 보안 팀의 일원이 되어야 하는지, 그리고 이를 실현하는 방법]
리빙 시큐리티(Living Security)의 로즈는 실사 영화로의 전환을 보안 인식 교육의 논리적인 다음 단계로 보고 있다.
로즈는 “보안 인식 교육이 ‘보안이 무엇인가’라는 모델에서 ‘보안이 왜 중요한가’라는 모델로 전환되고 있다”고 말했다. 사람들은 피싱, 및 랜섬웨어 가 무엇인지 알고 있습니다. 그는 이 영화들이 사이버 사고가 조직에 어떤 영향을 미치는지를 더 상세하게 보여준다고 말합니다. 또한 이들은 업계가 ‘보안 인식 교육’이라는 개념에서 ‘인적 위험 관리’로 진화해 온 과정을 보여준다. 직원들은 보안에 대해 잘 알고 있습니다. 이제 그들의 위험을 관리할 때입니다.
카펜터는 이러한 방식을 통해 경영진과 보안 책임자들이 직원의 행동뿐만 아니라 직장 문화 전반에도 영향을 미칠 수 있다고 말합니다.
따라서 이번 주 오스카 시상식이나 올해 말 방송될 에미상 시상식에서 이 작품들이 후보로 오르지는 않겠지만, 여러분의 조직을 안전하게 지키는 데 큰 도움이 될 것입니다. 그리고 그건 어떤 트로피보다도 더 가치 있는 일입니다.
