The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

현대 직장에서 사무실과 가정 사이의 경계는 허물어졌습니다. 대부분의 지식 노동자들에게 문제는 이제 원격 근무를 할 것인가의 여부가 아니라, 얼마나 자주 할 것인가의 문제입니다. 이러한 변화는 디지털 정보를 도난과 손상으로부터 보호하는 데 전념하는 분야인 사이버 보안의 새로운 지형을 만들어냈습니다. 수십 년 동안 보안 시스템은 특정 가정을 전제로 설계되었습니다. 즉, 직원들이 통제된 사무실 환경에서 근무하며, IT 직원의 감시 아래 회사의 컴퓨터와 네트워크를 사용한다는 가정입니다. 그러나 업무가 거실과 홈 오피스로 이동함에 따라, 조직이 제공하는 도구와 교육은 더 이상 많은 이들에게 존재하지 않는 책상에 맞춰져 있어 과거에 머물러 있는 경우가 많습니다. 이는 사람들이 느끼는 안전함과 실제로 보호받고 있는 상태 사이의 간극을 만듭니다. 이를 이해하기 위해 연구자들은 사람들이 위험을 어떻게 인지하는지, 즉 사이버 공격이 일어날 가능성에 대한 그들의 직관적인 느낌과 그 느낌이 어떻게 행동으로 이어지는지를 살펴봅니다. 만약 어떤 사람이 불안함을 느낀다면, 논리적으로 더 많은 예방 조치를 취해야 합니다. 하지만 인간의 행동은 그렇게 단순하지 않습니다. 때로는 명확한 해결 방법 없이 취약함만을 느낄 때, 보호보다는 오히려 무기력이나 회피로 이어지기도 합니다.

퀸즐랜드 대학교의 제임스 칼리오피(James Carlopio)가 수행한 새로운 연구는 하이브리드 근무 시대의 이러한 단절을 조사합니다. 이 연구는 은행, 병원, 정부 기관, 비영리 단체 등 19개 다양한 호주 조직의 대규모 직원 집단을 대상으로 합니다. 연구는 588명의 근로자를 대상으로 설문 조사를 실시하여 그들의 일상적인 습관, 안전에 대한 느낌, 그리고 보안 규칙과 어떻게 상호작용하는지를 파악했습니다. 핵심 질문은 간단했습니다. 사람들은 사무실보다 집에서 더 안전하다고 느끼는가, 그리고 그 느낌이 행동을 변화시키는가? 연구 결과는 놀라운 역설을 보여줍니다. 대다수의 직원이 집에서 일할 때 사무실에서보다 훨씬 덜 안전하다고 느끼지만, 이러한 고조된 위험감은 그들이 보안 규칙을 더 철저히 준가하도록 만들지 않습니다. 사실, 데이터는 정반대의 상황을 시사합니다. 집에서 가장 큰 위험을 느끼는 사람들이 오히려 회사의 보안 정책을 기억할 가능성이 더 낮았으며, 여러 웹사이트에서 비밀번호를 재사용할 가능성도 약간 더 높았습니다.

연구는 현대 인력의 현실을 파악하는 것으로 시작되었습니다. 연구는 하이브리드 근무가 더 이상 위기에 대한 일시적인 해결책이 아니라 정착된 삶의 방식임을 발견했습니다. 재택근 근무 시간이 얼마나 되는지 보고한 사람들 중 거의 모두가 어느 정도는 재택근무를 하고 있었습니다. 평균적으로 이 직원들은 표준 5일 근무 중 약 3일을 집에서 근무합니다. 이는 소수의 원격 근무자가 아니라 대다수의 이야기입니다. 그럼에도 불구하고, 구축된 지원 시스템은 여전히 모든 사람이 사무실에 있다는 것을 가정하는 듯 보입니다. 안전도를 1점에서 10점 척도로 평가했을 때, 직원들은 홈 환경에 평균 7.94점을 주었으나, 사무실은 이보다 높은 8.64점을 받았습니다. 응답자의 절반 이상은 집에서 근무할 때 사이버 공격이 발생할 가능성이 더 높다고 명시적으로 밝혔습니다. 이러한 공포는 현실적인 상황에 근거한 것입니다. 홈 네트워크는 종종 덜 안전하며, 개인 기기는 항상 회사에 의해 관리되는 것이 아니기 때문입니다.

그러나 이에 대한 조직의 대응은 목표를 빗나가는 것으로 보입니다. 연구에 따르면 직원들이 관리자와 나누는 보안 관련 대화의 빈도는 10점 만점에 4점 미만으로 상당히 낮았습니다. 교육의 효과성은 보통 수준으로 평가되었으나, 이 교육이 사무실 근무자와 재택 근무자 간에 차이가 있다는 증거는 없었습니다. 결정적인 발견은 집에서 불안함을 느끼는 것이 사람들을 더 주의 깊게 만들지 못했다는 점입니다. 대신, 데이터는 부정적인 상관관계를 보여주었습니다. 집에서 더 안전하지 않다고 느낄수록 회사의 보안 정책 세부 사항을 기억할 가능성이 더 낮았습니다. 이 패턴은 사람들이 위협을 느끼더라도 이를 다룰 구체적이고 실질적인 도구나 지침이 없을 때, 상황에 맞서 대응하는 대신 오히려 물러나거나 문제를 단순히 무시하게 된다는 것을 시사합니다. 이는 인지된 위험은 높지만 대처 능력은 낮게 느껴질 때 발생하는 반응입니다.

또한 연구는 집에 머무는 시간이 이러한 감정을 변화시키는지도 살펴보았습니다. 집에 머무는 시간이 많아질수록 더 불안해질 것이라고 추측할 수 있습니다. 연구는 그 반대의 결과를 발견했습니다. 사무실과 집 사이의 인지된 안전도 격차가 가장 컸던 그룹은 오히려 가끔씩 재택근무를 하는 직원들이었습니다. 매일 집에서 근무하는 사람들은 왔다 갔다 하는 사람들보다 안전에 대한 격차를 더 작게 느꼈습니다. 이는 집에서 정기적으로 근무하는 사람들이 자신의 환경에 적응하여, 기술적인 위험은 동일할지라도 스스로를 더 안전하게 느끼게 하는 습관과 루틴을 구축했음을 시사합니다. 가장 불안해하는 사람들은 불규칙하게 장소를 옮겨 다니는 사람들로, 아마도 그들의 홈 설정과 받는 지원이 그들의 구체적인 필요에 맞춰 조정되지 않았기 때문일 것입니다.

연구의 핵심 부분은 관리자가 이 문제를 해결할 수 있는지 검토하는 것이었습니다. 연구진은 보안에 대한 관리자의 빈번한 소통이 불안감을 느끼는 사람들을 진정시키고 규칙을 더 잘 따르도록 도울 수 있는지 테스트했습니다. 결과는 관리자의 소통이 도움이 되긴 했지만, 많은 이들이 기대하는 방식과는 달랐습니다. 보안에 대해 이야기하는 것은 사람들이 얼마나 위험을 느끼는지와 관계없이 정책을 더 잘 기억하게 만들었습니다. 그러나 이 소통이 불안감을 느끼는 부정적인 효과를 막아주는 특별한 방패 역할을 하지는 못했습니다. 즉, 관리자가 보안에 대해 말하는 것은 도움이 되지만, 집에서 느끼는 취약함으로 인한 혼란을 상쇄하지는 못합니다. 다시 말해, 두 요소는 독립적으로 작동합니다. 즉, 관리자가 보안에 대해 이야기하게 하는 것과 홈 환경에 대한 구체적인 지원이 모두 필요합니다. 하나가 다른 하나를 단순히 대체할 수는 없습니다.

연구에는 직원들에게 조직이 자신을 더 잘 보호하기 위해 무엇을 할 수 있는지 묻는 인터뷰도 포함되었습니다. 재택근무에 대해 직접 언급하도록 유도하지 않았음에도 불구하고, 상당수의 근로자들이 자발적으로 이를 언급했습니다. 그들은 홈 와이파이에 대한 더 나은 가이드, 더 신뢰할 수 있는 VPN 연결, 그리고 일반적인 사무실 시나리오가 아닌 자신의 홈 환경에 맞춘 교육이 필요하다고 언급했습니다. 심지어 어떤 이들은 모든 사이트에 고유한 비밀번호를 사용하면서도 이를 모두 기억할 필요가 없게 도와주는 도구인 비밀번호 관리자를 요청하기도 했습니다. 이러한 자발적인 의견들은 통계적 발견을 확인해주었습니다. 직원들은 현재의 보안 조치가 자신들이 더 이상 풀타임으로 머물지 않는 사무실을 위해 설계되었다고 느끼고 있습니다. 그들은 자신의 실제 삶에 맞는 시스템, 즉 기업의 책상에 앉아 있다고 가정하는 시스템이 아닌 것을 요구하고 있습니다.

이러한 연구 결과의 함의는 하이브리드 세상에서 조직이 보안에 어떻게 접근해야 하는지에 대해 명확히 보여줍니다. 전통적인 방식인 직원들에게 "주의하라"고 말하거나 사무실 시나리오를 바탕으로 연례 교육을 실시하는 것은 더 이상 충분하지 않습니다. 연구는 보안 프로그램이 처음부터 사람과 그들이 실제로 일하는 장소에 맞춰 재설계되어야 한다고 제안합니다. 이는 집이 고유한 위험을 가진 별개의 환경임을 인정하는 것을 의미하며, 가끔 원격 근무를 하는 사람들도 풀타임 원격 근무자만큼이나 구체적인 지원이 필요하다는 것을 의미합니다. 또한 관리자는 사무실 기반의 규칙을 반복하는 것이 아니라, 재택근무의 과제들에 특화된 대화를 나누어야 함을 의미합니다. 목표는 단일하고 이상적인 근로자를 가정하는 시스템에서 벗어나, 현대 인력의 다양한 현실을 지원하는 시스템으로 나아가는 것입니다.

궁극적으로 이 연구는 사이버 보안가 단순히 방화벽과 소프트웨어 업데이트의 기술적 문제가 아니라, 설계와 소통의 인간적 문제라는 점을 강조합니다. 직원들이 노출되어 있다고 느끼면서도 자신의 현실에 맞지 않는 도구만을 받게 된다면, 그들은 더 경계심을 갖는 것이 아니라 오히려 몰입도가 떨어지게 됩니다. 앞으로 나아갈 길은 업무 방식이 영구적으로 변했다는 점을 인식하고, 그들을 보호하기 위해 설계된 시스템 또한 그에 맞춰 변화해야 한다는 점을 깨닫는 데 있습니다. 보안 지원을 직원의 실제 경험과 일치시킴으로써, 조직은 느끼는 안전함과 실제 안전함 사이의 간극을 메우고, 근로자가 기업 사무실에 있든 거실에 있든 보호가 그와 함께 이동할 수 있도록 해야 합니다.