인간의 심리를 보안 설계에 녹여내는 방법

[연재목차 Part 3. 인간중심보안과 보안문화]
1. AI 시대, 왜 인간 중심 보안인가
2. AI 시대, 인간 중심 보안을 구현하려면
3. 인간의 창의성과 AI 보안
4. 보안 위반, 뇌 과학 해법
5. 넛지 보안의 힘
6. 감정과 비합리성, 보안의 숨은 힘
7. 디지털 야누스, 두얼굴의 사용자
8. 인간 중심 보안과 제로트러스트 아키텍처
9. ESG 너머, 인적 지속가능성과 보안
10. 예산·인력 없는 중소기업, ┖사람┖이 답이다
11. 보안문화, Nature vs. Nurture
12. 보안 성패를 가르는 7가지 문화 유형
13. 한국형 보안문화 진단 모델_K-SCT
14. 디지털 보안문화 전환 모델_CORE TRUST

[보안뉴스= 김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장] 현대 보안 위협은 복잡해지고 정교해지고 있습니다. 기술·규제의 고도화에도 불구하고 보안의 성패는 여전히 사람의 의사결정과 행동에 달려 있습니다. 특히, 인간의 비합리성과 감정은 보안행위를 좌우하는 핵심 변수임을 여러 학술 연구를 통해 입증되고 있지만, 현장 정책과 설계에서는 과소평가되기 쉽습니다. 이제 보안을 사람의 심리 메커니즘에 맞춰 재설계하는 전환이 필요합니다.


[출처: AI Generated by Kim, Jungduk]

감정과 비합리성, 보안의 블라인드 스폿
인간은 정보를 충분히 제공받고 위험을 이해하면, 그에 맞춰 행동할 것이라는 전제가 보안 교육과 캠페인의 기초에 깔려 있습니다. 그러나 행동경제학과 진화심리학은 인간 의사결정에 내재된 비합리성을 강조하며, 이 비합리성은 종종 감정과 불가분의 관계에 있음을 보여줍니다.

비합리성과 감정은 보안행위에서 상호보완적인 역할을 합니다. 감정은 위험 인식과 동기부여에 직접적인 영향을 미치고, 비합리성은 때때로 감정의 작용과 맞물려 예상치 못한 행동을 유발합니다.

예를 들어, 회의 직후 피곤한 상태에서 도착한 메일은 평소라면 의심할 내용을 그대로 클릭하게 만들고, 압박감이 큰 프로젝트 막판에는 파일 공유 규정보다 마감 시간과 상사의 눈치를 더 의식하게 됩니다. 이런 맥락을 무시한 채 “알려줬으니 지켜야 한다”는 식의 접근은 현실의 인간과 동떨어진 이상론에 가깝습니다.

인간은 왜 ‘보안적으로’ 비합리적인가
행동경제학은 인간이 손실을 특히 과대평가하고, 당장의 편익을 미래의 위험보다 크게 느끼며, 번거로움을 회피하려는 존재임을 반복해서 보여줍니다. 복잡한 비밀번호 정책은 “안전”이라는 추상적 이득보다 “지금 기억하기 불편하다”는 구체적 손실로 다가옵니다.

보안 경고창이 자주 등장하면 내용과 무관하게 ‘일단 닫고 본다’는 습관이 형성되고, 다중 인증은 “보안 강화”보다 “나를 귀찮게 하는 절차”로 인식되기 쉽습니다. 이처럼 보안적으로 봤을 때 비합리적인 행동은, 인간의 관점에서 보면 아주 자연스러운 선택인 경우가 많습니다.

비합리성을 설계에 반영하는 보안 전략
그렇다면 보안은 인간의 비합리성을 어떻게 다루어야 할까요.

첫째, 실사용자의 인지적·감정적 부담 완화에 중점을 둬야 합니다. 복잡하고 엄격한 보안 정책은 사용자의 부정적 감정을 키워 현장의 저항감을 초래하기 때문에, 가능한 한 사용자 편의를 우선하면서도 보안을 지킬 수 있는 ‘유연한 보안 설계’를 구현해야 합니다. 예를 들어, 위험에 따라 단계별 보안 요구 수준을 조정하고, 보안 자동화 도구를 적극 도입하는 것이 해당됩니다.

둘째, 감정을 고려한 리스크 커뮤니케이션이 필요합니다. 보안 메시지는 공포 조장보다는 경각심과 긍정적 기대감을 동시에 조성할 수 있어야 하며, 반복 노출에 따른 감정 둔화 현상을 방지하는 방식으로 설계되어야 합니다. 맞춤형 교육과 메시지 전달을 통해 직원 각자의 상황과 감정 상태에 적합한 접근을 해야 합니다.

셋째, 감정 상태 모니터링과 개인정보 보호의 균형을 유지하는 것이 필수적입니다. 감정 분석을 위해 수집되는 데이터는 익명화, 최소 수집 원칙, 암호화 등 엄격한 프라이버시 보호 조치를 적용해야 하며, 데이터 활용 목적과 범위를 명확히 고지하고 직원 동의를 받는 절차가 선행되어야 합니다. 이러한 투명성과 윤리성 확보 없이는 조직 신뢰를 잃어 보안 효과가 반감될 수 있습니다.

넷째, 긍정적 행동 강화와 조직문화 개선을 통해 감정과 비합리성 영향을 극복해야 합니다. 올바른 보안 행동에 대한 즉각적 칭찬과 보상 시스템을 도입하고, 소속감과 신뢰를 기반으로 한 협력적 보안 문화를 조성하는 것이 좋습니다. 이는 감정적 동기를 동원해 자발적 보안 준수를 이끄는 힘 있는 수단입니다.

마지막으로, 보안관리는 기술, 제도, 인간 심리의 삼박자를 조화시키는 균형적 설계를 추구해야 하며, 이를 위해 학제 간 협력과 현장 실험, 지속적 피드백이 병행되어야 합니다. 인간의 비합리성과 감정은 본질적으로 예측 불가능하고 다양한 면모를 가지므로, 경직된 규제 대신 적응적이고 유연한 관리가 핵심입니다.


▲김정덕 중앙대 명예교수 [출처: 김정덕 교수]
인간을 이해하는 보안이 가장 강하다
결국 강한 보안은 기술만으로 완성되지 않습니다. 안전을 원하면서도 불편을 싫어하고, 규정을 알고도 가끔은 어기는, 그 모순된 인간의 모습을 전제로 설계할 때 비로소 현실에서 작동하는 보안이 만들어집니다.

보안은 통제와 명령의 언어보다, 관계와 설계, 인정의 언어에 더 잘 반응합니다. 인간의 감정과 비합리성을 위협 요소가 아니라 설계 변수로 받아들이는 조직만이, 예측 불가능한 행동을 줄이고 자발적인 참여를 이끌어내며, 장기적인 보안 성숙도에서 차이를 만들어낼 수 있을 것입니다.

[글_김정덕 중앙대 산업보안학과 명예교수/인간중심보안포럼 의장]

필자 소개_ 중앙대학교 산업보안학과 명예교수, 인간중심보안포럼 의장, 한국정보보호학회 부회장, 금융 정보보호관리체계 인증위원, 전 JTC1 SC27 정보보안 국제표준화 전문위 의장 및 의원, 전 ISO 27014(정보보안 거버넌스) 에디터 등 역임

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>