비밀번호 관리 부분에 있어서는 놀랍도록 비슷한 습관 가지고 있어
보안은 전문성에 좌지우지 되는 게 아니라 조직 문화와 관련 깊다는 소리

[보안뉴스 문가용 기자] 사이버 보안 전문가들이 일반인들의 위험한 습관에 대해 종종 성토하는데, 사실 그들 역시 크게 다를 바 없다는 조사 결과가 발표됐다. 특히 비밀번호 설정 및 관리 부분에 있어서는 보안에 대한 전문지식이 있든 없든 구별되는 점이 거의 나타나지 않았다고 한다.


[이미지 = iclickart]

이 같은 내용을 발표한 건 시장 조사 전문 업체인 포네몬 인스티튜트(Ponemon Institute)로, 2507명의 IT 보안 전문가들과 563명의 일반 사용자들을 대상으로 면담을 진행한 결과라고 한다. 포네몬의 CEO인 래리 포네몬(Larry Ponemon)은 “보안 전문가라면 아무래도 조금 더 보안에 민감한 생활 습관을 가지고 있으리라고 예상했지만, 거의 모든 부분에서 일반인과 비슷해서 놀랐다”고 말하기도 했다.

그렇다고 아예 똑같은 건 아니었다. 보안과 프라이버시에 관련하여 어떤 점이 특히 걱정이 되느냐고 물었을 때 보안 전문가들의 61%는 정부의 감시와 검열 행위가 증가하고 있다는 점을 꼽았고, 53%는 모바일 장비 사용량의 증가를, 41%는 사물인터넷 장비의 증가를 선택했다. 반면 소비자들은 개인정보, 특히 의료정보가 유출되는 걸 걱정했고(57%), 모바일 장비가 염려된다는 응답자는 46%, 사물인터넷 장비를 걱정하는 응답자는 43%인 것으로 나타났다.

이중 인증 도입과 관련해서는 두 그룹이 크게 다르지 않았다. 이중 인증을 업무용 계정에서도 사용하지 않는다는 보안 전문가는 60%였고, 같은 답을 한 일반 사용자는 64%였다. 중요한 계정들에 같은 비밀번호를 사용한다는 보안 전문가는 50%, 일반 사용자는 39%였다. 동료와 비밀번호를 공유한다는 보안 전문가는 51%, 일반 사용자는 49%였다. 심지어 일반 사용자가 나은 모습이 나타나기도 한다.

계정 침해 공격을 겪은 후의 반응은 어땠을까? 일반 사용자들의 경우 76%가 비밀번호 관리 방법을 바꾸었다고 답했다. 보안 전문가들의 경우 같은 답을 한 사람이 65%에 그쳤다. 일반 사용자들의 ‘변경된 관리 방법’에는 1) 더 강력한 비밀번호 사용(61%), 2) 비밀번호를 더 자주 바꿈(52%), 3) 계정마다 각기 다른 비밀번호 설정(36%), 4) 이중 인증 사용(35%) 등이 꼽혔다.

비밀번호 관리라는 부분에 있어서 전문가들의 59%와 일반 사용자의 59%는 기억력에 의존한다고 답했다. 포스티잇과 같은 메모지를 활용하는 경우도 적지 않았다. 전문가들 중에 포스트잇을 사용하는 이는 42%, 일반인들 중에는 41%인 것으로 나타났다. 브라우저 확장 프로그램을 사용해 자동 채우기를 하는 경우는 전문가가 36%, 일반인이 37%였다.

업무용 계정을 보호하는 데에 이중 인증을 활용한다는 전문가는 46%였다. 일반인의 경우 ‘사유 장비를 사용해 업무용 계정에 접속’하는 사례가 51%였는데, 이 중 이중인증을 사용하는 사람은 44%였다.

포네몬에 이 조사를 의뢰했던 유비콘(Yubicon)의 제라드 총(Jerrod Chong)은 “일반 사용자나 보안 전문가나 비슷비슷한 보안 습관을 가지고 있다는 건, 일부 그들이 속한 조직 문화 때문”이라고 분석한다. “기업들에는 저마다의 사규와 정책이 있습니다. 그리고 그 규칙들은 수십 년 전부터 정해진 것들이죠. 우리가 가지고 있는 습관들은 이러한 것들로부터 적잖은 영향을 받습니다.”

총은 “그래서 유의미한 변화를 만들려면 윗선에서부터 의지를 가지고 조직 전체를 바꿀 생각으로 직원 교육 혹은 문화 변혁을 이뤄내야 한다”고 말한다. “전문가나 일반인이나 비슷하다는 건, 이게 결국은 전문성이 아니라 사람의 문제라는 겁니다. ‘사람’을 둘러싼 문화의 문제이기도 하고요. 보안이라는 게 전문가들의 영역이 아니라 모두의 영역이라는 뜻이기도 하죠.”

3줄 요약
1. 보안 전문가들의 보안 위생 습관, 일반인과 비슷한 수준.
2. 전문가와 비전문가가 너무나 흡사한 패턴을 보인다는 건 결국 보안이 전문성이 아니라 문화의 문제라고 것.
3. 사람 하나하나 교육시키고 변화시켜야 하는 게 아니라, 문화를 통째로 변화시켜야 함.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>