[최우현의 IT 칼럼] 보안 교육 이수했습니다. 그래서 안전한가

최우현 칼럼니스트 발행일 2026-09-01 22:48:32
▲ 최우현 ProveLabs 대표(서울대 객원교수)


매년 이맘때 회사마다 공지가 돈다. "정보보호 교육 이수 기한이 이번 주까지입니다. 미이수자는 부서장에게 통보됩니다." 그러면 다들 영상을 틀어놓고 다른 일을 한다. 2배속이 되면 2배속으로, 건너뛰기가 막혀 있으면 창을 띄워둔 채 점심을 먹는다. 마지막에 퀴즈 다섯 개를 풀고 이수증이 나온다. 회사는 이수율 99%를 보고서에 적는다. 나도 그 교육 자료를 만들어본 사람이라 심정을 이해한다. 아무도 안 본다.

이게 왜 문제인가. 교육이 무의미해서만은 아니다. 형식적 교육은 두 가지를 망친다. 첫째, 조직에 잘못된 안심을 준다. "우리 직원들은 교육받았다"는 문장이 보고서에 들어가는 순간, 정작 사람이 뚫리는 위험은 관리된 것으로 처리된다. 둘째, 직원에게 보안이 '귀찮은 의무'라는 인상을 심는다. 한번 그렇게 자리 잡으면 진짜 중요한 공지도 같은 서랍에 들어간다.


그런데 사고 통계는 정반대 이야기를 한다. 기업 침해 사고의 출발점은 여전히 대부분 사람이다. 메일 한 통, 링크 하나, 전화 한 통. 기술 방어에 수십억을 쓰고도 직원 한 명의 클릭으로 뚫리는 구조에서, 사람 교육이 연 1회 영상 시청으로 끝난다는 건 앞뒤가 안 맞는다.

효과 있는 교육은 어떻게 다른가. 현장에서 본 것 중 통한 건 세 가지였다.

첫째, 짧고 자주. 연 1회 60분이 아니라 월 1회 5분. 최근 실제로 온 피싱 메일 하나를 보여주고 "이건 이래서 가짜였다"고 짚어주는 게 교과서 60분보다 낫다. 둘째, 실전 훈련. 회사가 직접 가짜 피싱 메일을 보내보는 모의 훈련인데, 여기서 핵심은 클릭한 사람을 혼내지 않는 것이다. 혼내면 다음부터 신고를 안 한다. 클릭 자체보다 클릭 후 신고까지 걸린 시간을 보는 회사가 실제로 강해진다. 셋째, 위에서부터. 임원이 교육을 건너뛰는 회사에서 직원이 교육을 챙길 리 없고, 실제로 스피어피싱의 표적은 임원이다.

그리고 하나 더. 이수율이라는 지표를 버려야 한다. 이수율 99%는 아무것도 말해주지 않는다. 대신 볼 건 이런 숫자다. 모의 피싱 클릭률이 작년보다 내려갔는가, 의심 메일 신고 건수가 늘었는가, 신고까지 평균 몇 분 걸리는가. 이 숫자들은 조작하기 어렵고, 오르고 내리는 이유가 분명하다.

교육은 보험이 아니라 근육이다. 한 번 들어서 되는 게 아니라 계속 써야 남는다. 올해도 이수 기한 공지가 왔다면, 이수증 말고 이걸 물어보시라. "우리 회사에서 의심 메일을 신고하면 무슨 일이 일어나는가." 그 답이 없는 회사는, 이수율이 100%여도 교육이 없는 회사다.


*본 칼럼 내용은 본지 편집방향과 다를 수 있습니다.

댓글

(0)
※ 댓글 작성시 상대방에 대한 배려와 책임을 담아 깨끗한 댓글 환경에 동참에 주세요. 0 / 300

함께 보면 좋은 기사