세계 최대의 보안 인식 교육 및 시뮬레이션 피싱 플랫폼 제공업체인 노우비포(KnowBe4)가 2024년 보안 문화 보고서를 공개했다. 이 보고서는 인적 요소와 관련된 사이버 보안 조치가 조직에 영향을 미치는 방식과 사람들이 직장에서 행동하고 느끼는 방식을 조사한다.

노우비포는 ‘보안 문화’를 조직의 보안에 영향을 미치고 인적 위험을 줄이는 아이디어, 관습 및 사회적 행동으로 정의한다. 보안 문화는 조직이 보안에 접근하고 우선 순위를 지정하는 방식을 형성하는 집단적 사고 방식, 관행 및 규범으로 가장 잘 이해된다.

노우비포의 최신 보안 문화 보고서에 따르면 전 세계적으로 전반적인 보안 문화 점수는 전년도와 변함이 없는 중하위 수준에 속한다. 조직들은 직원이 사이버 공격에 대한 핵심 방어 수단이며 경영진이 하향식 접근 방식을 채택하여 강력한 보안 문화를 구축해야 한다는 것을 인정한다. 이 보고서에 따르면 더 작은 조직일수록 더 큰 조직에 비해 전반적인 보안 문화에서 더 나은 성과를 보여주고 있는데, 이는 주로 규모가 더 큰 조직들이 종종 조직의 크기로 인해 효율적인 리더십 소통에 어려움을 겪는 반면에 더 작은 조직에서는 개인들이 보안에 대해 더 책임감을 느끼기 때문이다.

2024년 보고서에 따르면 보험, 금융 서비스 및 은행 산업의 조직들은 미국의 보안 문화에서 최고의 성과를 내고 있으며 운영의 고위험 특성으로 인해 먼저 책임을 지고 이끌어간다. 이러한 산업들은 수십 년 동안 전통적인 사이버 범죄의 표적이 되어 왔기 때문에 보안 문화를 강하게 강조하는 기조를 유지했다. 스펙트럼의 다른 측면에서는 정부, 제조 및 교육 부문은 주요 대상임에도 불구하고 적절한 표준을 유지하기 위해 대단한 노력을 하고 있으며 전년도에 비해 북미의 전반적인 보안 문화 점수가 약간 하락하는 데 기여했을 수 있다. 이는 주로 사이버 위협에 효과적으로 대응할 수 있는 능력을 제한하는 해당 부문의 리소스 제약에 기인한다.

노우비포의 CEO인 스튜 쇼워만은 “성공적인 조직 내에서 보안 문화가 수행하는 필수적인 역할에 대한 이해가 높아지고 있다는 것은 고무적입니다”라며 “그러나 이것은 지속적인 프로세스이며 강력한 보안 문화를 구축하고 유지하는 것은 사치가 아니라 사업적 필요입니다. 모든 산업, 특별히 사이버 범죄자의 표적이 되는 산업은 보안 문화를 우선시하고 특히 인적 기반 위험을 줄이는 데 적절하게 투자하는 것이 중요합니다”라고 말했다.

이 보고서는 AI가 상당한 관심을 받고 있지만 아직 사이버 공격의 본질에 영향을 미치지는 않는 것에 대해 다룬다. 악의적인 행위자가 AI를 악용하여 정교한 소셜 엔지니어링 전술을 만들 수 있지만 사이버 공격의 기본 구조는 변경되지 않은 상태로 유지된다. 이는 공격이 딥페이크와 같은 보다 효율적인 도구와 극적으로 개선된 번역으로 무장한 소셜 엔지니어링의 동일한 핵심 공식을 따를 것이기 때문이다. 결과적으로, 이러한 사이버 공격에 대한 방어는 소셜 엔지니어링의 전통적인 징후를 조심하는 일관된 공식을 따를 것이다. 따라서 AI의 잠재력을 사용하여 개인을 훈련하고 방어 조치를 강화하는 것은 사이버 범죄에 대한 전략적 필요성이다.

출처 : 노우비포