사업체를 운영하다 보안 사고를 겪으면 단순히 컴퓨터가 고장 났을 때와는 다릅니다. 시간과 돈을 들이고, 오랜 세월 애써 일군 사업이 한순간에 멈출 수도 있기 때문입니다.
시스템이 멈추면 직원에게는 잠시 쉬는 시간이 될 수도 있습니다. 하지만 사업주에게는 일을 하지 못하는 시간만큼 손해가 쌓입니다. 고객 응대는 해야 하고, 직원 급여와 각종 비용도 그대로 나갑니다. 어떻게든 문제를 해결하고 다시 문을 열어야 하는 부담은 결국 사업주가 안게 됩니다.
보안 사고가 사업주에게 남기는 부담
더 힘든 것은 돈을 잃는 데서 끝나지 않는다는 점입니다.
고객 정보가 유출된 것은 아닌지, 누군가 아직 회사 계정에 접속하고 있는 것은 아닌지 불안해집니다. 사고의 내용에 따라 보험사에 상황을 설명하고, 주 법무장관실이나 미국 보건복지부 민권국(OCR)의 조사나 자료 요청에 대응해야 할 수도 있습니다. 시스템을 복구한 뒤에도 걱정은 쉽게 사라지지 않습니다. 평소 같으면 그냥 열어봤을 이메일도 의심하게 되고, 또 같은 일이 생길까 봐 마음을 놓지 못합니다.
직원들도 맡은 일을 성실히 하고 회사를 아낄 수 있습니다. 그렇다고 사업주와 같은 책임과 부담을 느끼는 것은 아닙니다. 어떤 상황이 위험한지 제대로 배운 적이 없다면, 알아서 조심해 주기만을 기대하기도 어렵습니다.
외부 전문가와 함께하는 직원 보안 교육
그래서 외부 전문가에게 업무 환경을 점검받고 직원 교육을 맡기는 것이 도움이 됩니다.
늘 같은 방식으로 일하다 보면 익숙한 업무 습관에 어떤 위험이 있는지 놓치기 쉽습니다. 외부 전문가는 다른 시각에서 업무 절차를 살펴보고, 평소 미처 생각하지 못했던 부분을 짚어줄 수 있습니다. 직원들에게도 일상적인 이메일이나 전화 한 통이 어떻게 보안 사고로 이어질 수 있는지 구체적으로 설명해 줄 수 있습니다.
사업주가 여러 번 당부해도 바쁜 업무 중에는 흘려듣게 되는 경우가 있습니다. 반면 외부 전문가가 실제 사례를 들어 설명하면, 같은 이야기라도 내 업무와 관련된 문제로 받아들이기 쉬워집니다. 평소 궁금했지만 묻지 못했던 내용을 질문할 기회도 됩니다.
저희가 고객사와 직원분들을 대상으로 매년 정보보안 교육을 진행하는 이유도 이 때문입니다. 교육 중에는 퀴즈도 풀어봅니다. 시험을 보거나 점수로 평가하려는 것이 아닙니다. 실제로 의심스러운 상황을 마주했을 때 어떻게 판단하고 행동해야 할지 연습하고, 헷갈리는 부분은 함께 짚어보기 위한 과정입니다.
사이버 공격 수법은 계속 바뀌기 때문에 교육 내용도 최신 동향에 맞춰 업데이트합니다. 진짜처럼 보이는 이메일, IT 지원 담당자를 사칭한 전화, 사장님 이름으로 온 급한 요청에 속는 것은 부주의한 직원만의 일이 아닙니다. 맡은 일을 빨리 처리하려다 누구나 실수할 수 있습니다.
의심스러운 상황은 멈추고 확인하고 알리세요
조금이라도 이상하면 잠시 멈추고 확인해도 괜찮다는 분위기가 중요합니다. 이미 링크를 눌렀거나 정보를 입력했더라도, 혼날까 봐 숨기지 않고 바로 알릴 수 있어야 합니다. 문제가 생겼을 때 빨리 이야기할 수 있도록 해주는 것까지가 보안 교육의 일부입니다.
힘들게 일구어 온 사업인 만큼, 직원들도 함께 지킬 수 있도록 알려주고 도와주세요. 직원 보안 교육은 회사의 정보와 재산을 지키는 일이면서, 사업주가 조금 더 안심하고 일상을 이어갈 수 있도록 준비하는 일이기도 합니다.
함께 읽어보세요: IT 보안과 복구 계획 점검 / Windows 보안 업데이트 점검