직원 한 명이 무심코 누른 메일 링크 하나가 회사 전체의 문제로 번지는 일을 주변에서 여러 번 보았습니다. 특히 사칭 메일은 해마다 수법이 정교해지고 있습니다. 피싱은 기술로만 막기 어렵고 사람으로만 막기도 어렵기 때문에, 피싱 방지 솔루션과 보안 인식 교육을 함께 설계하는 것이 중요합니다. 오늘은 도입 순서와 모의훈련 운영 방법을 정리해 보겠습니다.
피싱 방지 솔루션이 먼저 막아야 할 것
피싱 방지 솔루션은 크게 메일 보안, 악성 URL 차단, 계정 보호 세 갈래로 나뉩니다. 메일 보안은 발신자 위장과 악성 첨부파일을 걸러내고, URL 차단은 클릭한 뒤 열리는 가짜 로그인 페이지를 막아 줍니다. 계정 보호는 비밀번호가 새어 나가도 다중 인증으로 피해를 줄이는 역할입니다. 세 가지 가운데 하나만 갖춰서는 빈틈이 생기므로 우리 회사가 어디에 약한지부터 점검해야 합니다. 여기에 메일 화면에 신고 버튼을 붙여 두면 탐지 속도가 훨씬 빨라집니다.
도입 전 점검 항목
메일 시스템이 클라우드인지 자체 서버인지, 임직원이 외부에서 접속하는 비율이 어느 정도인지, 기존 보안 장비와 연동되는지를 확인하십시오. 이 세 가지에 따라 맞는 제품이 달라지고 견적도 크게 달라집니다.
보안 인식 교육, 이렇게 시작하면 됩니다
보안 인식 교육은 길고 딱딱하면 아무도 기억하지 못합니다. 저도 예전에 강의식 교육을 열어 봤지만 끝나고 나면 남는 것이 거의 없었습니다. 15분 안팎의 짧은 영상을 분기마다 반복하는 편이 훨씬 효과적입니다. 내용은 실제로 받아 본 사칭 메일 화면, 택배와 청구서로 위장한 문자, 상사를 사칭한 급한 송금 요청처럼 눈에 익은 사례를 중심으로 구성하십시오.
교육이 끝나면 짧은 퀴즈로 이해도를 확인하고, 의심 메일을 어디에 신고하는지 한 장짜리 안내문으로 남겨 두십시오. 신고 경로를 모르면 알아채고도 그냥 지나치게 됩니다.
피싱 모의훈련 도입 방법 4단계
첫 단계는 훈련 범위와 일정을 경영진과 먼저 합의하는 것입니다. 둘째는 사전 공지 여부를 정하는 일인데, 첫 훈련은 기준점을 만드는 목적이므로 부서 단위로 가볍게 시작하는 편이 좋습니다. 셋째는 링크를 누른 직원을 질책하지 않고 즉시 짧은 교육 화면으로 연결하는 것이고, 넷째는 결과를 클릭률과 신고율로 나누어 다음 분기와 비교하는 것입니다.
훈련 시 주의할 점
훈련 메일은 실제 업무와 비슷해야 의미가 있지만 인사나 급여 같은 민감한 소재는 직원에게 상처를 줄 수 있어 피하십시오. 결과를 개인별 순위로 공개하는 것도 삼가야 합니다. 목적은 적발이 아니라 습관을 바꾸는 데 있습니다.
첫 훈련에서 클릭률이 높게 나오는 경우가 많지만 크게 놀랄 필요는 없습니다. 반복할수록 클릭률이 낮아지고 신고율이 올라가는 흐름을 보는 것이 핵심입니다.
도입 사례에서 배운 점
직원 150명 규모의 한 제조업체는 메일 보안 솔루션부터 도입한 뒤 석 달 간격으로 모의훈련을 세 차례 진행했습니다. 첫 훈련에서는 열 명 중 두세 명이 링크를 눌렀는데, 세 번째에는 한 명 안쪽으로 내려갔고 의심 메일 신고는 몇 배 늘었습니다. 담당자분은 솔루션보다 훈련 직후 바로 보여 준 안내 화면이 직원들의 인식을 바꾸었다고 하셨습니다. 다만 훈련 시기가 결산과 겹쳐 반발이 있었던 적이 있어 일정 조율이 중요하다는 말씀도 덧붙이셨습니다.
피싱 신고와 대응 요령은 KISA 보호나라에서 최신 사례와 함께 확인하실 수 있습니다.
함께 읽으면 좋은 글로 제로트러스트 도입 비용 구성과 솔루션 선택 기준 4가지도 정리해 두었습니다.
정리하면 피싱 방지 솔루션은 기술적 방어선이고, 보안 인식 교육과 모의훈련은 사람의 방어선입니다. 두 가지를 작은 범위에서 먼저 시작해 결과를 확인하며 넓혀 가시길 권합니다. 이번 주에는 우리 회사 메일 환경부터 점검해 보시기 바랍니다.