보안 인식 교육이란?

조직에서 보안 인식 교육을 실시하는 이유는?

사이버 보안 인식 교육은 피싱 공격과 사회 공학으로 인해 최종 사용자에게 가해지는 심각한 사이버 보안 위협을 최소화하는 데 중요한 역할을 합니다. 주요 교육 주제는 일반적으로 비밀번호 관리, 개인 정보 보호, 이메일/피싱 보안, 웹/인터넷 보안, 물리적 보안 및 사무실 보안 등이 있습니다.

보안 인식 교육에 대한 비즈니스 사례도 있는데, Aberdeen Group의 보고서인 보안 인식 교육: 작은 투자, 큰 위험 감소에서 확인할 수 있습니다. 연구원들은 기업의 보안 책임자와 워크숍을 진행하여 보안 인식 및 교육에 투자하는 이유를 알아봤습니다. 발견한 사항은 다음과 같습니다.

• 91%는 보안 인식을 통해 사용자 행동과 관련된 사이버 보안 위험을 줄임.
• 64%는 보안 인식 교육을 통해 사용자 행동을 변경함.
• 61%는 규제 요건 해결을 위해 보안 인식 교육을 실시함.
• 55%는 내부 정책을 준수하기 위해 실시함.

최종 사용자 교육 도구

오늘날 정보보안 전문가는 Proofpoint의 Phish™ 보고서 현황에서 확인할 수 있듯이 다양한 도구를 활용해 최종 사용자를 교육합니다. 컴퓨터 기반 인식 훈련은 지배적인 도구이자 계속해서 인기를 얻고 있습니다.

• 79%가 컴퓨터 기반 인식 훈련을 사용함.
• 68%가 피싱 시뮬레이션 연습을 사용함.
• 46%가 인식 캠페인(비디오 및 포스터)을 사용함.
• 45%가 대면 보안 인식 교육을 사용함.
• 38%가 월별 알림 또는 뉴스레터를 사용함.

잘 설계된 교육 프로그램은 종종 이러한 도구 중 몇 가지를 사용합니다. 시간이 지남에 따라 진행 상황을 추적하고 측정할 수 있도록 체계적이고 조직적인 방식으로 이러한 도구를 배포하는 것 역시 마찬가지로 중요합니다.

Proofpoint의 매우 효과적인 교육 솔루션은 학습자를 참여시키고 행동을 변화시키기 위해 학습 과학 원리로 디자인된 지속적인 교육 방법론을 활용합니다.

보안 인식 프로그램에는 다음과 같은 몇 가지 기능이 있어야 합니다.

• 콘텐츠: 콘텐츠는 일반 청중이 쉽게 소화하고 이해할 수 있어야 하며 챕터, 강의 등 체계적인 방법으로 정보를 제공해야 함.
• 경영진 지원: 경영진은 사용자가 절차를 따르도록 할 책임이 있으므로 교육 자료에는 부서 전체에 배포할 수 있는 콘텐츠가 있어야 함.
• 잦은 프로그램 업데이트: 사이버 보안 환경은 변화하므로 프로그램 콘텐츠도 변화해야 함. 최신 위협을 다루기 위해 매년 콘텐츠를 검토하고 새로 고쳐야 함.
• 테스트: 실제 피싱 이메일 및 사회 공학 시나리오로 사용자를 테스트하면 위협을 식별하는 데 도움이 됨. 예제 연습은 실제 공격을 모방해야 함.
• 보고: 보고는 테스트와 통합된 것으로 링크를 클릭하여 중요한 데이터를 제출한 사람을 관리자에게 보고함. 보고서로 추가 교육이 필요한 직원을 식별함.
• 설문 조사: 교육 후 관리자, 임원, 직원에게 설문 조사를 전송해 개선을 위한 피드백을 요청.

• 입증된 결과. 보안 교육은 클릭률을 최대 50%까지 줄이는 것으로 나타남.
• 실제 사례. 피싱 이메일을 보다 효과적으로 인식할 수 있도록 실제 사례로 직원을 교육함.