기술 요약: MORPHEUS – 사이버 보안에서의 인간 요인 모델링, 측정 및 완화를 위한 다차원적 프레임워크

1. 문제 정의

기술적인 사이버 보안 통제 기술의 상당한 발전에도 불구하고, 인간 요인은 여전히 가장 많이 악용되는 취약점으로 남아 있으며, 실증적 증거에 따르면 침해 사고의 거의 88%가 인간의 실수에서 비롯됩니다. 인간 요인을 다루는 기존 연구와 프레임워크는 다음과 같은 세 가지 주요 한계점을 가지고 있습니다:

• 파편화(Fragmentation): 기존 모델들은 취약성을 역동적이고 상호 연결된 시스템이 아닌, 고립되고 정적인 특성으로 취급하는 경우가 많습니다.
• 좁은 범위(Narrow Scope): 많은 프레임워크가 너무 특정적이거나(예: 비밀번호 관리 또는 내부자 위협에만 집중), 너무 광범위하여(예: NIST와 같은 고수준의 조직적 체크리스트), 인간 행동의 유동적이고 상황 특이적인 성격을 포착하지 못합니다.
• 표준화된 측정의 부재(Lack of Standardized Measurement): 다양한 사이버 위협 전반에 걸쳐 인간 요인을 측정하고 통합하기 위한 표준화된 방법론이 부족하여, 실행 가능하고 표적화된 개입을 개발하는 데 어려움이 있습니다.

저자들은 인간의 약점을 포괄적으로 분류하고, 이들의 복잡한 상호작용을 매핑하며, 경험적 평가를 위한 검증된 도구를 제공함으로써 회복 탄력성이 있는 인간 중심적 방어를 구축하기 위해 통합된 패러다임이 필요하다고 주장합니다.

2. 방법론

MORPHEUS 프레임워크를 개발하기 위해 저자들은 엄격한 2단계 다중 방법론적 접근 방식을 채택했습니다.

1단계: 체계적 범위 검토 (Systematic Scoping Review)

• 목적: 주요 사이버 위협에 영향을 미치는 인간 요인의 기초적인 분류 체계를 식별합니다.
• 범위: 산업 보고서(Verizon DBIR, Clusit, ENISA)를 바탕으로 6가지 주요 위협을 선정했습니다: 피싱(Phishing), 스미싱(SMishing), 스피어 피싱(Spear-phishing), 악성코드 다운로드(Malware downloads), 비밀번호 관리(Password management), 시스템 설정 오류(System misconfigurations).
• 과정: "human factors", "psychological traits" 또는 "human aspects"를 특정 위협 벡터와 결합한 특정 검색어를 사용하여 Google Scholar에서 검색을 수행했습니다.
• 선택: 초기 후보군 6,000개 중 엄격한 포함 기준(동료 검토 완료, 전문(full paper), Q3 이상의 저널 또는 C+ 컨퍼런스, 영어)을 적용하고 중복을 피하기 위해 이전의 체계적 검토 결과와 교차 참조한 결과, 88개의 고유한 동료 검토 논문을 최종 선정했습니다.
• 결과: 이 단계에서는 50가지의 구별된 인간 요인을 식별했습니다.

2단계: AI 지원 체계적 스크리닝 (AI-Assisted Systematic Screening)

• 목적: 50가지 요인 간의 쌍별(pairwise) 상호작용을 매핑하고, 수동 검토만으로는 수행하기에 조합이 너무 많은 검증된 측정 도구를 식별합니다.
• 과정: 저자들은 의미론적 검색을 위해 대규모 언어 모델(Perplexity.ai 및 OpenAI Deep Research)을 활용하였으며, 이후 엄격한 인간 참여형(Human-in-the-Loop, HITL) 검증 프로토콜을 적용했습니다.
  • 검색(Retrieval): 직접적인 인용구와 방법론적 맥락을 추출하기 위해 프롬프트를 반복적으로 정교화했습니다.
  • 검증(Validation): 두 명의 연구자에 의한 이중 맹검 독립 검토를 통해 환각(hallucination) 발생률(9.2%), 서지 품질 및 의미론적 관련성을 필터링했습니다.
  • 증강(Augmentation): 알고리즘 편향을 완화하기 위해 AI가 검색한 코퍼스에 대해 역방향 및 순방향 스노볼링(snowballing) 기법을 적용했습니다.
• 결과: 이 단계에서는 요인 간의 302가지 고유한 경험적 상호작용과 99가지의 검증된 심리 측정 측정 도구를 도출했습니다.

3. MORPHEUS 프레임워크

MORPHEUS는 동심원 구조로 시각화된 총체적이고 다차원적인 프레임워크로 구성됩니다. 이는 두 가지 기초적인 심리학 모델인 인지-정서-행동(Cognition–Affect–Behavior, CAB) 모델과 **귀인 이론(Attribution Theory)**을 통합합니다.

3.1 인과 경로 구조 (The Causal Pathway Architecture)

프레임워크는 50가지 인간 요인을 세 가지 계층으로 구성된 계층적 인과 시스템으로 조직합니다:

1. 계층 1: 조절 요인 (Modulators - 원격 선행 요인): 사용자의 기본 상태를 설정합니다.
   • 내적 조절 요인: 성격 특성(예: 신경증, 성실성) 및 인구통계학적 특성(연령, 성별, 교육 수준).
   • 외적 조절 요인: 사회적 및 조직적 맥락(예: 규범, 자원 부족, 보안 태세).
2. 계층 2: 직접 요인 (Direct Factors - 근접 처리 엔진): CAB 모델과 일치하며, 의사 결정 순간의 사용자의 일시적인 상태를 포착합니다.
   • 인지적(Cognitive): 지각, 주의력, 정교화(예: 편향, 인지적 피로, 보안 자기 효능감).
   • 정서적(Affective): 정서적 상태(예: 공포, 스트레스, 불안).
   • 행동적(Behavioral): 성향 및 습관(예: 충동성, 안주, 재발).
3. 계층 3: 결과 (Outcome): 조절 요인과 직접 요인의 상호작용에 의해 촉발되는 특정 사이버 위협에 대한 최종적인 취약성입니다. 이 과정은 종종 적대적 트리거(Adversarial Triggers)(예: 시간 압박, 기만적인 UI)에 의해 유발됩니다.

3.2 주요 차이점

• 인간 요인 vs. 적대적 트리거: 프레임워크는 내부적인 인간 변수와 외부적인 악의적 자극(예: 설득 원칙, 공격자가 사용하는 정서적 동인)을 명확히 구분합니다.
• 동기(Motivation): 인지적 신념, 정서적 상태, 사회적 조절 요인의 역동적인 상호작용으로부터 발생하는 창발적 속성으로 개념화됩니다.

4. 주요 결과 및 발견 사항

4.1 구조의 정량적 검증

저자들은 상향식(top-down) 이론 구조를 검증하기 위해 302개의 매핑된 상호작관의 방향성 흐름을 분석했습니다:

• **82.8% (250개 상호작용)**는 "구조 준수(Architecture-Compliant)"로, 조절 요인에서 직접 요인으로(32.1%), CAB 핵심 내에서의 순환(28.5%), 또는 조절 요인 내에서의 발생(22.2%)으로 흐르는 계층적 구조를 보였습니다.
• **17.2% (52개 상호작용)**는 "재귀적 피드백(Recursive Feedback)"(예: 행동적 습관이 조직적 규범을 변화시킴)을 나타내며, 이는 시스템의 역동적인 성격을 확인시켜 줍니다.

4.2 12가지 핵심 상호작용 메커니즘

복잡한 상호작용 네트워크는 취약성 경로를 설명하는 12가지 반복되는 메커니즘으로 요약되었습니다:

• 그룹 A (구조적 연쇄 작용 - Architectural Cascades): 원격 조절 요인이 근접 상태를 유도하는 메커니즘입니다. 예시는 다음과 같습니다:
  • 인지 자원의 원격 조절: 성격 특성(예: 신경증)이 인지 자원을 고갈시켜 피로를 유발함.
  • 바람직한 특성의 "양날의 검": 성실성과 같은 특성이 인지적 터널링(cognitive tunneling)을 유발하여 사회 공학적 공격에 대한 취약성을 높임.
  • 자원 제약 연쇄 작용: 조직적 자원의 부족이 스트레스를 유발하고 자기 효능감을 감소시킴.
• 그룹 B (내부 피드백 루프 - Internal Feedback Loops): CAB 핵심 내에서의 자기 강화적 순환입니다. 예시는 다음과 같습니다:
  • 인지-정서 병목 현상(Cognitive-Affective Bottleneck): 스트레스가 실행 기능을 고갈시키고, 이는 다시 정서 조절 능력을 저하시킴.
  • 습관적 자동 항법 루프(Habitual Autopilot Loop): 반복적인 행위가 인지적 성찰을 억제하여 자동적이고 편향된 반응을 초래함.

4.3 측정 인벤토리

프레임워크는 데이터 차원에 따라 분류된 99가지의 검증된 도구 카탈로그를 제공합니다:

• 1인칭(First-person): 자기 보고 척도(예: Big Five Inventory, 지각된 스트레스 척도).
• 2인칭(Second-person): 행동 관찰 및 시뮬레이션(예: 피싱 시뮬레이션, 인지 성찰 테스트).
• 3인칭(Third-person): 생체 인식 및 생리적 지표(예: EEG, 안구 추적, GSR).

5. 운영적 적용

본 논문은 **분석적 워크스루(Analytical Walkthroughs)**와 운영 시나리오를 통해 프레임워크의 유용성을 입증합니다:

• 위험 진단: 임상적 환경에서, 프레 framework는 반복되는 스피어 피싱을 단순한 "사용자 무지"가 아니라, 높은 스트레스와 수치심(조절 요인/직접 요인)이 경계심을 저하시킨 시스템적 실패로 진단하는 데 도움을 주었습니다. 이에 따라 개입 방향이 교육에서 UI 변경 및 비난 없는 보고 채널 구축으로 전환되었습니다.
• 표적 개입: 대학 직원들을 대상으로, 프레임워크는 높은 충동성과 낮은 성찰성을 특징으로 하는 고위험 클러스터를 식별했습니다. 일반적인 교육 대신, 조직은 이 그룹의 자동적인 휴리스틱 처리를 방해하기 위해 "인지적 마찰(cognitive friction)"(미세한 지연 시간)을 도입했습니다.

6. 의의 및 주장

저자들은 MORPHEUS를 다음과 같은 이유로 기존 문헌보다 진일보한 중요한 성과로 위치시킵니다:

1. 총체적 합성 제공: 파편화되고 위협 특화적인 모델을 넘어, 인지, 정서, 행동 및 사회적 차원을 통합하는 보편적인 구조적 골격을 제공합니다.
2. 인과적 역동성 확립: 302가지의 경험적 상호작용을 매핑함으로써, 정적인 분류 체계에서 환경적 제약이 내부 심리 상태를 어떻게 저하시키는지 모델링하는 역동적인 시스템으로 패러다임을 전환합니다.
3. 이론과 실제의 가교 역할: 99가지의 검증된 측정 도구를 포함함으로써, 개념적 프레임워크와 실행 가능한 증거 기반 개입 사이의 결정적인 간극을 메웁니다.
4. 운영적 유용성: 프레임워크는 실무자들이 일반적인 "인식 제고" 캠토에서 벗어나, 인간 기반 리스크의 근본 원인을 해결하는 표적화되고 시스템적인 개입으로 나아갈 수 있게 합니다.

인정된 한계점:
저자들은 본 프레임워크가 집계된 연구들에 기반한 이론적 합성물이며, 아직 실제 기업 환경에서의 종단적 생태적 검증을 거치지 않았음을 언급합니다. 또한 상호작용 데이터의 이질성(결정론적 법칙이 아닌 확률적 연관성)과 심리 측정 프로파일링에 관한 윤리적 고려 사항을 강조합니다. 향후 과제로 외부의 적대적 트리거를 포함하도록 프레임워크를 확장하고, 식별된 피드백 루프를 경험적으로 검증하는 것을 제안합니다.