사이버 보안 교육에는 더 적게가 아니라 더 많은 마찰이 필요할 수도 있다

기업들은 사이버 보안 교육을 더 쉽게 이수할 수 있도록 수년간 노력해 왔습니다. 모듈은 짧아지고, 인터페이스는 깔끔해지며, 학습 내용은 게임처럼 구성되었습니다. 논리는 간단합니다: 직원들의 몰입도가 높아지면 학습 효과가 증가하고 실수가 줄어들어야 한다는 것이죠.

Abertay University와 University of Cape Town의 연구원들이 수행한 새로운 연구가 그 가정의 일부에 도전합니다.¹ 게임화가 효과가 있는지를 묻는 대신, 연구진은 두 가지 다른 구조 방식을 비교했습니다. 하나는 정답에 대해 사용자에게 보상을 제공했으며, 다른 하나는 사용자가 시작 시 포인트를 부여받고 실수할 때마다 포인트를 잃도록 했습니다.

결과는 가장 즐거운 사이버 보안 교육이 반드시 가장 높은 학습 성과를 내지는 않을 수 있음을 시사합니다. 대규모 실험에서 손실 회피 그룹은 전체 지식 향상이 10.71%였으며, 고정 보상 그룹은 4.65%에 그쳤습니다. 한편, 고정 보상을 받은 참가자들은 약간 더 높은 몰입도를 보고했지만, 두 그룹 간 전체 몰입도 차이는 통계적으로 유의미하지 않았습니다.

이 구분이 중요한 이유는 사이버 보안 교육이 엔터테인먼트가 아니기 때문입니다. 교육의 목적은 실제 피싱 이메일, 악성 첨부 파일, 가짜 웹사이트 또는 유출된 자격 증명이 눈앞에 나타났을 때 사람들의 행동 방식을 변화시키는 것입니다.

인간 요소는 여전히 공격 표면의 일부이다

사이버 보안 지출은 전통적으로 방화벽, 엔드포인트 보호, 신원 관리, 암호화, 위협 탐지, 그리고 점점 늘어나는 AI 기반 보안 운영과 같은 기술적 방어에 초점을 맞춰 왔습니다. 이러한 기술은 필수적이지만, 여전히 많은 공격이 성공하는 이유는 누군가가 클릭하거나 승인하고, 정보를 누설하거나, 신뢰해서는 안 되는 행동을 설득당할 수 있기 때문입니다.

2026 Verizon Data Breach Investigations Report는 현대 침해 환경의 주요 요소로 사회공학, 피싱, 도난된 자격 증명을 계속해서 식별하고 있습니다. 동시에, 실패의 경제적 비용이 더욱 심각해지고 있습니다. IBM의 2026 Cost of a Data Breach Report는 전 세계 평균 침해 비용을 4.99백만 달러로 제시했으며, AI 기반 공격이 급격히 증가했다고 보고했습니다.

이는 불편한 비대칭을 초래합니다. 방어 시스템은 점점 자동화되고 있지만, 공격자들도 개인화, 사칭, 정찰 및 규모에 대한 더 나은 도구를 확보하고 있습니다. Securities.io가 AI-driven ransomware defense에 대한 보도에서 살펴보듯, 사이버 보안은 단일 탐지 계층에 의존하기보다 보다 광범위한 회복력으로 전환하고 있습니다.

직원의 의사결정은 그 회복력 모델 안에 포함됩니다. 의심스러운 요청을 실제로 상호작용하기 전에 발견한 직원은 고가의 기술적 방어가 대응하기 전에 공격을 차단할 수 있습니다.

왜 포인트 손실이 사이버 보안 학습을 향상시킬 수 있는가

연구는 동일한 교육 내용을 담고 있으면서도 인센티브 구조가 다른 두 개의 웹 애플리케이션을 사용했습니다. 참가자들은 비밀번호, 사회공학, 웹사이트 보안, 악성 소프트웨어에 대해 배웠습니다. 손실 회피 버전에서는 오답이 사용자의 점수를 감소시켰으며, 고정 보상 버전에서는 정답이 포인트와 연속 보너스로 누적되었습니다.

예를 들어 사회공학 시나리오에서 손실 회피 참가자는 60점으로 시작해 실수할 때마다 점수를 잃었으며, 연속 오류가 발생하면 차감액이 커졌습니다. 고정 보상 참가자는 0점에서 시작해 연속 정답에 대해 추가 점수를 획득했습니다.

차이는 사소해 보일 수 있지만, 학습자가 실수를 경험하는 방식을 바꿉니다. 보상을 놓친 것은 아무 것도 얻지 못했음을 의미하고, 손실은 이미 가지고 있던 것이 사라졌음을 의미합니다.

연구진은 이 차이를 잠재적인 “생산적인 인지 마찰” 형태라고 설명합니다. 실수에 즉각적인 비용이 부과되면 사용자는 속도를 늦추고 정보를 보다 신중히 검토하며, 빠른 직관적 반응에서 보다 신중한 추론으로 전환할 가능성이 높아집니다.

이는 고용주가 교육을 고의적으로 불쾌하게 만들어야 한다는 의미는 아닙니다. 과도한 벌칙은 좌절감이나 의사결정 마비를 초래할 수 있습니다. 보다 유용한 통찰은 마찰을 설계할 수 있다는 점입니다. 보안 교육이 반드시 직원과 과정 이수 사이의 모든 장애물을 제거해야 하는 것은 아닙니다.

사이버 보안 교육은 완료가 아니라 의사결정에 최적화되어야 한다

많은 기업 교육 시스템은 여전히 완료율, 모듈 내 소요 시간, 퀴즈 점수, 직원 만족도와 같은 지표로 평가됩니다. 이러한 수치는 수집하기 쉽지만, 잘못된 최적화 목표를 촉진할 수 있습니다.

목표가 보안 사고를 줄이는 것이라면, 보다 나은 모델은 최소 세 가지 결과를 구분해야 합니다:

• 직원들이 교육을 완료했는지 여부,
• 그들이 기본 보안 지식을 유지하는지, 그리고
• 실제 위협에 직면했을 때 그 지식을 올바르게 적용하는지 여부.

게이미피케이션은 세 가지 모두를 지원할 수 있지만, 동일한 메커니즘이 각각을 최적화하지는 않을 수 있습니다. 연구는 이를 명확히 보여줍니다. 고정 보상은 더 강력한 서술적 참여 프로파일을 만들어냈고, 손실 회피는 전체적인 지식 향상을 더 크게 만들었습니다.

이는 기업이 보안 인식 소프트웨어를 배포하는 방식에 영향을 미칩니다. 모든 직원에게 동일한 연간 모듈을 제공하는 대신, 조직은 관찰된 행동에 따라 교육을 점점 더 맞춤화할 수 있습니다. 모의 피싱 이메일을 반복적으로 식별하는 사용자는 최소한의 개입만 필요할 수 있습니다. 반면 의심스러운 링크를 자주 클릭하는 사람은 더 빈번한 연습, 강력한 피드백, 혹은 위험한 행동 전에 추가적인 마찰이 필요할 수 있습니다.

그 접근 방식은 보안 교육을 규정 준수 연습에서 행동 제어 시스템으로 전환합니다. 또한 지속적인 사이버보안으로의 광범위한 움직임에도 부합합니다. 최근 Securities.io의 에이전시 사이버보안 플랫폼에 대한 보도는 자동화된 보안 운영이 얼마나 빠르게 진화하고 있는지를 보여줍니다. 인간 위험 시스템은 연간 재교육을 기다리는 대신 행동을 지속적으로 측정하고 교육을 조정함으로써 동일한 궤도를 따라 발전할 수 있습니다.

AI가 인간 사이버 위험을 더 중요하게 만들다, 덜 중요하게는 아니다

AI는 보안 인식을 재고할 또 다른 이유를 제공합니다. 공격자는 생성형 시스템을 이용해 더 설득력 있는 메시지를 만들고, 글쓰기 스타일을 모방하며, 정찰을 가속화하고, 설득력 있는 사칭 시도를 만들 수 있습니다. 방어 측도 동일한 기술을 활용해 위협을 필터링하고, 분석을 자동화하며, 이상 행동을 식별할 수 있습니다.

그 결과는 사이버보안에서 인간을 제거하는 것이 아니라, 인간이 내려야 하는 의사결정 유형이 변화한다는 것입니다. 직원들은 점점 더 정교하고 개인화되며 상황에 맞게 설득력 있게 보이는 요청을 판단해야 합니다.

이것이 인간 층을 기술이 결국 없앨 부끄러운 약점으로 취급해서는 안 되는 이유입니다. 이는 모니터링하고, 교육하고, 개선할 수 있는 또 다른 보안 표면입니다. Securities.io가 살펴본 사이버보안 기업에 대한 보다 넓은 시각은 이 분야가 이미 각각의 위협을 개별적으로 다루기보다 여러 형태의 보호를 결합한 통합 플랫폼으로 이동하고 있음을 반영합니다.

이 연구는 AI 기반 교육 시스템에 대한 유용한 경고도 제공합니다. 개인화가 자동으로 모든 것을 더 쉽게 만든다는 의미가 되어서는 안 됩니다. 지능형 교육 플랫폼은 언제 난이도를 높여야 하는지, 언제 재검토를 요구해야 하는지, 그리고 사용자가 잘못된 결정을 내렸을 때 어떤 결과를 경험해야 하는지를 알 때 더 가치가 있을 수 있습니다.

인간 위험 관리에 투자하기

사이버보안 분야에 관심 있는 투자자에게는 새롭게 떠오르는 인간 위험 계층이 이미 확장 중인 시장에 또 다른 차원을 추가합니다. 이 분야를 직접 다루는 기업 중 하나는 Fortinet입니다.

Fortinet와 보안 인식 교육

Fortinet의 FortiSAT 플랫폼은 보안 인식 교육을 피싱 시뮬레이션, 위험 점수화, 행동 측정 및 목표 기반 복구와 결합합니다. 연구와의 중요한 연결 고리는 Fortinet이 논문에서 테스트된 정확한 손실 회피 설계를 사용한다는 것이 아니라, FortiSAT이 직원 행동을 일회성 규정 준수 의무가 아니라 측정 가능한 보안 데이터로 취급하는 보다 넓은 흐름을 반영한다는 점입니다.

이 플랫폼은 위험도가 높은 사용자를 식별하고, 피싱 시뮬레이션에 실패한 후 보완 교육을 할당하며, 행동 결과를 보다 넓은 보안 제어와 연결할 수 있습니다. 이는 모든 직원이 연 1회 동일한 영상을 시청하도록 요구하는 단순 모델보다 더 성숙한 모델입니다.

따라서 투자자에게 Fortinet은 전통적인 네트워크 보안뿐만 아니라 기술 제어, 사용자 행동, 분석 및 지속적인 보안 교육의 융합에 대한 노출을 의미합니다.

사이버보안은 바람직한 난이도가 필요할 수 있다

연구에서 가장 강력한 시사점은 처벌이 보상보다 낫다는 것이 아니라는 점입니다. 이 연구는 탐색적이며 표본이 비교적 작고, 연구진은 짝이 없는 평가, 질문 난이도의 차이 가능성, 후반 모듈에서의 인지 피로 등 제한점을 인정하고 있습니다.

보다 지속 가능한 아이디어는 효과적인 사이버보안 교육에 일정 수준의 바람직한 난이도가 필요할 수 있다는 것입니다. 코스를 쉽게 통과하는 직원은 압박 상황에서 더 나은 결정을 내릴 만큼 충분히 배우지 못했음에도 자신감을 가질 수 있습니다.

공격자가 점점 더 빠르고 설득력 있게 변함에 따라 기업은 직원이 실제로 무엇을 배우고 어떻게 행동하는지를 기준으로 사이버보안 교육을 측정해야 하며, 단순히 경험을 즐겼는지 여부만으로는 충분하지 않습니다. 따라서 차세대 인간 위험 플랫폼은 참여도보다 더 의미 있는 요소, 즉 판단을 향상시키는 정확한 순간에 적절한 마찰을 생성하는 능력을 두고 경쟁하게 될 것입니다.

참고문헌:

¹ Carle, N., Ophoff, J., & Shepherd, L. (2026). 게임화된 사이버 보안 교육에서 인센티브 설계: 손실 회피와 고정 보상의 역할. Computers & Security. https://doi.org/10.1016/j.cose.2026.105187