(ISO/PAS 5112 실무 3강) 사이버보안 문화와 인식

🚗 3강: 사이버보안 문화와 인식

안녕하세요!

오늘은 조직의 문화와 인식에 대해서 얘기를 해보겠습니다.

쉽게 말해, "보안은 우리 조직의 DNA로 박혀 있나요?"라는 질문이죠. 😉

---

 

📖 ISO/SAE 21434 Objectives 연결

ISO/SAE 21434 항목은 이렇게 요구합니다:

• 사이버보안 문화를 수립하고 유지해야 함
• 역량(Competence) 관리와 인식(Awareness) 관리 체계를 가져야 함
• 지속적 개선(Continuous Improvement) 활동이 포함되어야 함

즉, 단순히 보안 교육 한 번 하고 끝내는 게 아니라,
교육 → 경험 축적 → 개선 → 재반영의 선순환 구조를 갖추라는 의미예요.

---

🔍 감사인(Auditor)의 체크 포인트

심사원이 확인하는 부분은 다음과 같습니다.

1. 역량과 인식
   • 직원들이 보안 책임을 수행할 지식과 경험을 갖췄는가?
   • 정기적인 교육/훈련 프로그램이 있는가?
   • 보안 이슈에 대해 누구나 문제의식을 가질 수 있는 분위기가 조성되어 있는가?
2. 체계화된 프로세스
   • 역량 관리 프로세스: 교육 이력, 자격 관리
   • 인식 관리 프로세스: 정기 캠페인, 피싱 메일 훈련, 사내 보안 뉴스레터
   • 지속적 개선 프로세스: 과거 보안 경험을 다음 프로젝트에 반영

---

🔄 지속적 개선의 예시

ISO/SAE 21434에서는 지속적 개선(Continuous Improvement)을 구체적으로 제시합니다.

• a) 이전 보안 경험에서 학습 (사고 사례, 모니터링 결과 반영)
• b) 유사 제품에서 얻은 정보 반영
• c) 개선점을 다음 보안 활동에 적용
• d) Lessons Learned를 적절한 담당자에게 공유
• e) 규칙과 프로세스의 적절성을 정기적으로 점검

👉 결국 "보안은 살아있는 프로세스"라는 걸 보여주는 게 포인트입니다.

---

📝 증적(Evidence) 예시

• 역량 관리, 인식 관리, 지속적 개선의 증거
  • 보안 교육 자료 및 수료 기록
  • 사내 보안 캠페인, 인식조사 결과
  • Lessons Learned 보고서
  • 프로세스 개선 내역

---

🏭 OEM / Tier1 / Tier2 관점의 대응 방안

✅ OEM (완성차 업체)

• 전사 차원의 보안 문화 프로그램 운영 (예: 보안 주간, 캠페인)
• 공급망까지 포함한 교육 프로그램 확산
• Lessons Learned를 전사에 배포하고 프로세스 개선 활동을 정례화

👉 OEM은 "문화 전파자" 역할을 수행해야 합니다.

---

✅ Tier1 (시스템/모듈 공급사)

• OEM 요구사항에 맞춘 정기 교육 체계 운영
• 프로젝트마다 보안 경험을 정리해 사내 Lessons Learned DB 축적
• 보안 인식 캠페인 (예: 개발자 대상 피싱 훈련, 코드 리뷰 보안 점검)

👉 Tier1은 "문화의 현장 적용자" 역할을 합니다.

---

✅ Tier2 (부품/칩/소프트웨어 공급사)

• 리소스가 제한된 만큼 핵심 인력 중심 교육 진행
• Secure Coding, 취약점 관리 등 기술 중심 훈련에 집중
• OEM/Tier1에서 제공하는 Lessons Learned 자료를 적극 반영

👉 Tier2는 "문화의 기술적 수호자" 역할에 집중하면 됩니다.

---

💡 실무 꿀팁

• 보안 교육은 딱딱할 필요 없습니다. 퀴즈, 게임, 피싱 메일 실습을 넣으면 효과 만점! 🎯
• Lessons Learned는 “사고 보고서”가 아니라, “개선 아이디어 공유” 형식으로 풀어내야 조직에 잘 스며듭니다.
• OEM → Tier1 → Tier2로 갈수록 교육은 일반적 → 실무적 → 기술적으로 구체화됩니다.

---

🚀 오늘의 정리

Q1.3은 조직이 사이버보안을 단순히 문서나 프로세스가 아니라,
사람들의 문화와 인식 속에 심어두었는가를 확인하는 질문입니다.

• 교육 & 훈련 → 경험 공유 → 지속적 개선 → 다시 교육
• OEM은 문화 전파자, Tier1은 현장 적용자, Tier2는 기술적 수호자

이 선순환이 굴러가야 비로소 보안이 회사의 DNA가 될 수 있습니다.

---

👉 다음 회차에서는 “프로젝트에 따른 사이버보안 관리체계”를 다뤄볼게요.
이제 본격적으로 프로젝트 기반 사이버보안에 대한 이야기가 펼쳐집니다. 😎