디지털 마케터를 위한 부서 간 사이버 보안 교육

소개

사이버 범죄는 수적으로나 창의성 면에서 발전하고 있습니다. 2023년에 소비자와 기업 모두 사이버 범죄로 인해 1250만 달러의 손실을 입었으며, FBI에 따르면 이 수치는 여전히 낮은 편에 속한다는 사실을 알고 계셨나요?

또한, 데이터에 따르면 2023년은 사이버 공격이 역대 최고치를 기록했으며, 2021년보다 72% 증가해 역대 최다 공격 기록을 세운 것으로 나타나 이 수치는 계속 증가할 것으로 예상됩니다. 특히 이러한 침입의 원인은 대개 일상적인 것으로, 이메일 공격이 가장 흔한 원인 중 하나입니다. 94%의 조직이 이메일 멀웨어를 통한 침해를 보고했으며, 연구에 따르면 멀웨어 공격의 35%가 이메일을 통해 전달되는 것으로 나타났습니다.

이에 비해 데이터 유출로 인한 평균 손실은 44억 달러에 달합니다. 다시 말해, 이메일 한 통만 잘못 보내도 조직은 막대한 손실을 입을 수 있다는 뜻입니다. 안타깝게도 사이버 범죄자들은 기술의 발전과 함께 그 수법도 날로 진화하고 있습니다.

Unsplash

이러한 수치가 무섭기는 하지만, 이 수치가 강조하는 것은 회사 데이터를 보호하기 위해 회사 전체가 힘을 합쳐야 한다는 것입니다. 사이버 보안 소프트웨어 유지보수를 전담하는 팀만으로는 충분하지 않으며, 조직 전체의 팀이 일상적인 업무 전반에 걸쳐 사이버 보안 모범 사례를 숙지하고 구현해야 합니다.

특히 마케팅 부서의 경우 더욱 그렇습니다. 마케팅 부서는 대량의 고객 데이터에 액세스할 수 있으며, 일상에서 이러한 데이터를 적극적으로 활용합니다. 따라서 마케팅 부서는 특히 사이버 범죄자들의 표적이 되기 쉬우며, 경험이 부족한 인턴이나 과로한 담당자가 잘못된 이메일을 열거나 잘못된 링크를 클릭하는 등의 실수로 인해 수백만 달러의 손실을 입게 될 수도 있습니다. 고객이 데이터를 잘못 보관하는 조직에 데이터를 맡길 가능성이 낮아지므로 평판에 타격을 입는 것은 말할 것도 없습니다.

그렇다면 마케팅 부서가 사이버 보안 위협을 피하기 위해 어떻게 준비할 수 있을까요? 모든 사람이 사이버 보안 프로토콜을 숙지하게 하려면 무엇이 필요하며, 프로그램을 진행하면서 팀의 진행 상황을 어떻게 측정할 수 있을까요? 이 글에서는 팀을 통합된 전선으로 구성하여 회사 데이터를 보호하고 진화하는 사이버 보안 위협을 피하는 데 도움이 되는 실용적인 팁과 요령을 자세히 설명합니다.

인지도 향상

Unsplash

팀원들이 인지하지 못하는 위협에 대처할 수는 없습니다. 마케팅 팀원들이 사이버 범죄자들이 침입에 사용하는 전술을 기본적인 수준에서라도 알고 있다고 가정해서는 안 됩니다. 팀의 인식에 대한 기본적인 감사를 수행하여 이러한 일반적인 사이버 공격에 대한 지식을 테스트하세요:

• 멀웨어 사이버 범죄자들은 어떻게 직원 컴퓨터에 멀웨어를 설치하나요? 이러한 원치 않는 침입을 피할 수 있는 방법이 있을까요?
• 피싱 회사 외부에서 온 이메일 하단에 클릭 가능한 링크가 있는 이메일을 받은 경우 어떻게 해야 하나요? 회사 내부에서 보낸 이메일이라고 주장하지만 클릭 가능한 링크가 있고 모든 직원에게 양식을 작성하라는 CEO의 요청과 같이 이상해 보이는 경우 어떻게 해야 하나요?
• 소셜 엔지니어링 회사 기록, 비밀번호 또는 개인 정보와 같은 민감한 정보를 웹을 통해 전달해야 하나요? 회사 내부에서 온 사람이라고 주장하지만 모르는 사람이 이메일을 통해 이러한 정보를 요청하는 경우, 이메일의 정확성을 확인하기 위해 어떤 프로토콜을 따를 수 있나요?

팀의 전반적인 인식에 대한 기본적인 아이디어를 얻었으면 이제 각자의 역할을 수행하여 지식창고의 부족한 부분을 채워야 할 때입니다. 위험을 완화하기 위해서는 인식을 높이는 것이 가장 중요하며, 회사 전체에서 시행해야 할 교육 프로그램 외에도 이러한 인식을 지속할 수 있는 방법이 있습니다.

교육 프로그램도 중요하지만(잠시 후에 설명하겠지만), 직원들이 매일 사이버 보안을 염두에 두기를 원한다면 다음과 같은 간단한 프로세스 변경으로 그 목표를 달성할 수 있습니다.

• 디바이스 강화 프로토콜 직원 및 기타 회사 시스템 사용자가 비밀번호를 자주 업데이트하도록 하는 프로토콜을 도입하세요. 오래된 비밀번호를 사용하는 시스템 하나만 있어도 사이버 범죄자가 악용할 수 있는 취약점이 되기 때문에 이는 매우 중요합니다. 하지만 많은 조직에서 이 단계를 나중에 처리할 사소한 일로 치부하는 경우가 많은데, 이러한 조직에 속한다면 자신을 보호하기 위해 가장 먼저 해야 할 일 중 하나입니다.
• 엔드투엔드 암호화 이동 중인 데이터를 암호화할 수 있는 시스템을 갖추는 것도 중요하지만, 미사용 데이터도 암호화할 수 있는지 확인해야 합니다. 직원들은 이러한 시스템의 존재와 그 역할을 알고 있어야 합니다.
• 패치 관리 운영 체제가 노후화됨에 따라 취약점이 더욱 두드러지고 시급한 문제가 되는 것은 피할 수 없는 일입니다. 패치를 자주 배포하고 직원들이 가능한 한 자주 디바이스를 업데이트하도록 독려하여 문제를 파악하세요. 어떤 이유로든 마케팅 부서의 직원이 해당 패치를 설치하지 않는다면 시스템이 공격 가능성에 노출되어 있는 것입니다. 정기적인 업데이트 프로세스를 마련하고 직원들에게 책임을 묻는 것이 가장 중요합니다.

직원들의 기존 지식을 평가하고 이러한 전사적 관행을 구현했다면 이제 다음 단계인 교육으로 넘어갈 차례입니다.

철저한 교육 프로그램 도입

Unsplash

지속 가능한 교육 프로그램을 구축하기 위한 핵심은 일회성 세미나처럼 취급하지 않는 것입니다. 사이버 공격의 위험성에 대한 30분짜리 강의를 기업에 적합한 브랜딩과 반짝이는 전환으로 끝낸다고 해서 그 누구도, 아니 정말 아무도 기억하지 못할 것입니다. 기껏해야 팀원들은 나중에 시험이 있다는 사실을 알게 되면 한두 가지 사실만 기억할 것이고, 최악의 경우 이 매우 중요한 강의를 인사팀의 체크리스트 점검 정도로 여기고 업무에 집중할 것입니다.

가치를 제공하는 교육 프로그램을 마련하는 가장 좋은 방법은 실질적인 인사이트에 초점을 맞추는 것입니다. 짧은 프레젠테이션 대신 직원들이 매번 새로 알게 된 지식을 시연해야 하는 멀티 세미나 과정처럼 교육을 진행하세요. 교육 과정의 여러 단계를 활용하여 기본적인 모범 사례뿐만 아니라 다음과 같은 사이버 보안 트렌드에 대해서도 가르칠 수 있습니다:

• 블록체인 기술 블록체인은 데이터 보안의 최신 혁신 중 하나로, 내장된 보안 기능으로 인해 데이터 공유 및 거래에 이상적입니다. 블록체인 사용의 이점과 블록체인과 관련된 고유한 보안 문제에 대한 짧은 강좌는 특히 조직에서 블록체인 사용을 고려하고 있는 경우 훌륭한 입문서가 될 것입니다.
• 다크 파이버 네트워크 안정성, 보안, 대역폭을 제어할 수 있는 새로운 네트워크 구조 방식인 다크 파이버 네트워크도 빠르게 주목받고 있습니다. 이는 부분적으로는 사용자가 데이터 보안 프로토콜을 쉽게 구현할 수 있고, 부분적으로는 예측 가능한 비용과 전반적인 지연 시간이 짧기 때문입니다. 이에 대한 교육을 통해 직원들은 다크 파이버 네트워크와 상호 작용하는 방법, 어떤 제어 기능이 있는지, 이러한 네트워크가 어떻게 보안 계층을 추가하는지에 대해 배울 수 있습니다.
• VPN VPN은 사용자가 웹 서핑을 할 때 개인 정보 보호 계층을 추가로 생성하여 민감한 데이터를 암호화된 비공개 채널을 통해 전송합니다. 최근 소비자의 77%가 온라인에서 개인 데이터를 보호하기 위해 VPN을 사용한다고 응답할 정도로 VPN은 많은 인기를 얻고 있습니다. 기업에서의 사용 사례도 마찬가지로 유망하며, 민감한 데이터를 다루는 직원들은 VPN을 올바르게 설정하는 방법을 이해하는 것이 중요합니다.
• DNS 보호 DNS 도구는 직원이 웹 검색 시 액세스할 수 있는 웹사이트 유형을 제한하여 멀웨어 감염 위험이 높은 웹사이트를 선제적으로 차단합니다. 이러한 도구의 존재와 그 이유를 알면 직원이 시스템을 트립할 때 액세스하려는 웹사이트를 멀리하는 것이 가장 좋다는 것을 알 수 있습니다.
• 제로트러스트 네트워크 제로 트러스트 네트워크는 엄격한 신원 확인과 회사 데이터에 대한 제한된 액세스를 결합합니다. 이러한 제어 기능을 도입한 이유와 설정 방법을 이해하면 직원들이 민감한 데이터와 공개적으로 공유할 수 있는 정보를 구분하여 데이터 프라이버시를 최우선으로 고려하는 데 도움이 됩니다.

물론 이러한 교육 과정에는 피싱, 소셜 엔지니어링, 랜섬웨어, 무차별 암호 대입 공격 등 가장 일반적인 형태의 사이버 공격에 대한 입문 과정도 포함되어야 합니다. 여기서 한 걸음 더 나아가 직원들에게 어떤 솔루션이 있는지, 어떻게 작동하는지, 왜 필요한지에 대한 지식을 제공해야 합니다. 이 전략은 직원들이 이러한 솔루션을 사용하고, 취약점을 피하며, 다각도로 데이터를 철저히 보호할 수 있도록 준비시킵니다.

성공 측정

인식을 높이고 기술 교육 프로그램을 만들었다면 이제 팀원들의 진행 상황을 개괄적으로 파악할 수 있어야 합니다. 이러한 이니셔티브를 시작하기 전에 KPI를 설정하는 것이 가장 중요한데, 이니셔티브가 팀을 적절하게 준비시키고 있는지 파악할 수 있어야 하기 때문입니다.

Unsplash

테스트는 사용할 수 있는 요소 중 하나이며, 패치 적용 추적, 민감한 데이터에 대한 액세스 모니터링, 적응을 잘 하지 못하는 팀원과의 정기적인 체크인 등이 있습니다. 사이버 공격 시도와 팀원들의 대응 방법에 대한 보고를 통해 현재 프로세스의 취약점을 정확히 파악하고 그에 따라 재평가할 수 있으므로 도움이 될 수 있습니다.

가장 약한 고리만큼만 강하다는 사실을 기억하세요. 항상 주의를 기울이고, 교육을 지속적으로 받고, 최신 사이버 보안 위협을 주기적으로 조사하면 민감한 데이터를 안전하게 보호할 수 있습니다.