SecurityWeek는 보안 인식 교육이 여전히 유용하지만, 직원의 맥락이나 의사결정 순간과 연결되지 않은 일반적인 연례 규정 준수 과정으로 변하면 효과를 발휘하지 못한다고 결론 내린다. AI를 활용한 피싱과 사회공학이 발전함에 따라 반복적인 행동 교육을 기술적 통제, 신원 보안, 신고 및 검증 절차와 통합해야 한다.
보안 인식 교육의 가치는 사라지지 않지만, 이를 제공하는 전통적인 방식은 빠르게 변화하고 인공지능을 활용하는 사회공학 공격에 더 이상 충분하지 않다. 이는 SecurityWeek가 보안 전문가들과 인지심리학자의 의견을 청취한 뒤 발표한 분석의 핵심 결론이다.
교육은 일반적으로 직원을 내부자 위협으로 전환할 수 있는 실수를 줄이고, 피싱 메시지와 조작 기법에 저항하도록 돕는 데 초점을 맞춘다. 그러나 교육 프로그램이 널리 확산되었음에도 공격이 계속해서 성공하면서, 이러한 프로그램이 실제로 행동을 변화시키는지 아니면 요구된 과정을 이수했다는 사실만 입증하는지에 대한 의문이 제기된다.
교육에서 단순한 요구사항 충족으로
Malwarebytes의 Stefan Dasic은 많은 프로그램이 운영 방식 때문에 실패한다고 본다. 프로그램이 반복적이고 일반적이어서 무의미하게 느껴질 정도라는 것이다. 다른 전문가들은 규정 준수 및 보험 요건 때문에 조직들이 직원의 기존 지식이나 직면한 위험의 성격과 관계없이 매년 모든 직원에게 동일한 콘텐츠를 다시 제공한다고 덧붙인다.
이러한 관행은 행동에서 그에 상응하는 변화 없이 높은 이수율만 만들어낼 수 있다. 또한 규정 준수에 대한 집중은 요구되는 최소 기준을 최종 목표로 바꾸어 놓을 수 있다. 최소 기준은 개선할 수 있는 출발점으로 간주되어야 한다. 분석에 제시된 의견에 따르면 일반적인 과정이 현대의 사회공학 기법이나 인공지능을 사용하는 공격을 항상 반영하는 것은 아니다.
실제로 무엇이 달라지는가?
교육은 직원이 특정 상황에 대비하도록 할 때 효과를 발휘하지만, 공격자들은 끊임없이 수법을 바꾼다. 따라서 전문가들은 교육이 더 자주 제공되고 직원의 역할에 더 가까워져야 하며, 피싱 징후를 알아보는 데 그치지 않고 의심스러운 메시지나 이례적인 요청을 받았을 때 신고하거나 확인하는 등 무엇을 해야 하는지에 대한 명확한 지침을 포함해야 한다고 제안한다.
참여자들은 교육이 유일한 방어선이 될 수 없다고 강조한다. 교육은 신원 보호, 다중 인증, 기술적 통제, 명확한 검증 절차를 포함하는 현대적인 보안 구조로 뒷받침되어야 한다. 우수한 시스템 설계는 직원에게 모든 공격을 막을 책임을 지우기보다 인적 오류가 발생할 가능성을 전제로 한다.
공격이 더욱 설득력 있고 개인화된 메시지를 생성하는 데 더해 음성 복제와 문자 메시지, WhatsApp, 메신저 애플리케이션 등 모바일 채널을 사용하면서 과제는 더욱 어려워지고 있다. 분석은 Hoxhunt의 Mike Aalto의 추산을 인용해 2025년에서 2026년으로 넘어갈 때 AI로 생성된 피싱이 14배 증가했으며, 완전히 새로운 전술이 등장했다기보다 기존 수법이 개선되고 있다고 전한다.
암기보다 중요한 행동과 맥락
이 글은 모의 피싱 교육이 일시적으로 함정에 빠지는 비율을 낮출 수 있지만, 이러한 효과가 몇 달 안에 사라질 수 있다고 지적한다. 따라서 일부 전문가들은 위협 신고와 다중 인증 사용 등 측정 가능한 소수의 행동에 초점을 맞춘 지속적인 행동 교육과 적절한 맥락에서 제공되는 개입 및 알림을 권고한다.
한 관점은 보안 인식을 디지털 광고와 비교한다. 모든 사람에게 동시에 같은 메시지를 보내는 대신, 직원이 특정한 결정이나 위험에 직면했을 때 인식 제고 콘텐츠가 전달되도록 설계할 수 있다는 것이다. 여기서 목표는 직원을 가장 약한 고리로 보는 것이 아니라, 감지 및 대응 체계의 능동적인 일부로 만드는 것이다.
기억과 예측의 한계
Humanix의 인지심리학자이자 University of New South Wales의 조교수인 Jordan Richard Schoenherr는 망각이 기억의 기본 상태이며 빠르게 발생하기 때문에 교육이 어렵다고 설명한다. 정보를 기억한다고 해서 언제, 어떻게 사용해야 하는지 안다는 보장은 없다. 따라서 학습에는 반복적인 갱신과 의사결정 순간에 지식을 다시 활성화하는 행동 자극이 필요하다.
그러나 직원에게 알려진 패턴을 식별하도록 가르치는 데는 추가적인 위험이 따른다. 철자 오류나 전통적인 징후가 없다는 사실을 메시지가 합법적이라는 증거로 해석할 수 있지만, 실제로는 그렇지 않을 수 있다. 또한 새로운 변수가 등장하면 오늘의 교육은 낡은 것이 될 수 있다. 따라서 미래에 대한 하나의 예측에 의존하기보다 여러 시나리오를 구축하고 깊은 불확실성 속에서 의사결정을 내리는 것이 더 유용하다.
certi.news의 편집적 해석: 진정한 변화는 교육을 없애는 것이 아니라, 이를 행동을 측정하고 기술로 뒷받침하는 지속적인 운영 역량으로 전환하는 데 있다. 그럼에도 이 글은 어떤 하나의 모델이 문제를 해결했다는 사실을 입증하지 않는다. 전문가들은 위험의 비대칭성, 공격의 속도, 인간 기억의 복잡성 앞에서 교육이 여전히 제한적일 것이라고 인정한다. 따라서 미해결 과제는 행동 변화의 측정 방법, 그 변화가 지속되는 기간, 공격자의 적응보다 빠르게 교육을 갱신할 수 있는 조직의 역량과 관련되어 있다.