13. 보안 교육, 어떻게 해야 덜 욕먹고 더 전달될까

보안 교육은
해야 한다는 건 다들 알고 있지만,
막상 진행하고 나면
“또 형식적인 교육 하나 했네”라는 반응이 나오는 경우가 많습니다.

저도 교육을 준비하면서
여러 번 시행착오를 겪었습니다.

실무에서 느낀
보안·개인정보 교육을 할 때 신경 쓰게 되는 포인트들을
한번 정리해 보려고 합니다.

1. “하지 마세요”보다 “이렇게 하면 됩니다”를 먼저 보여주기

교육을 준비할 때
금지사항 위주로만 정리하면 내용은 빨리 채울 수 있습니다.

• 이건 하면 안 됩니다
• 저건 위반입니다

라는 이야기만 계속 들으면
듣는 사람 입장에서는 금방 피로해집니다.

그래서 교육을 할 때는 가능하면

• 위험한 방식과
• 그걸 피할 수 있는 현실적인 대안

을 같이 보여주려고 합니다.

예를 들면

• 개인 메일에 업무자료를 보내면 왜 위험한지 설명하면서,
• 조직에서 허용하는 협업 도구나 안전한 공유 방법까지 같이 소개하는 식입니다.

2. 규정 조항을 그대로 읽지 않기

법 조항이나 규정 문장을
그대로 화면에 띄워 놓고 읽으면
진행하는 사람도 지치고, 듣는 사람도 금방 집중력을 잃습니다.

그래서 보통은

• 조항 그대로의 문장을 보여주는 시간은 최소화하고
• 그 조항이 왜 생겼는지,
  어떤 사고를 막기 위한 것인지,
  우리 회사에서는 어디에 해당하는지

이야기로 풀어서 설명하려고 합니다.

규정은 결국
현실에서 있었던 문제를 막기 위해 나온 것이기 때문에,
그 배경을 같이 얘기하면
조금 더 잘 받아들여지는 것 같았습니다.

3. 실제 업무 상황에 붙여서 설명하기

교육에서 가장 반응이 좋은 부분은
대부분 실제로 있을 법한 상황을 예로 든 부분이었습니다.

• 집에서 일하다가 업무 파일을 어떻게 다루는지
• 외부 협력사에게 자료를 요청받았을 때 어떤 절차를 밟아야 하는지
• 고객 문의를 처리할 때 메신저 캡처나 스크린샷을 어떻게 다뤄야 하는지

이런 사례를 중심으로 설명하면
듣는 분들이 자기 일과 직접 연결해서 생각하게 됩니다.

가능하면 실제로 겪었던 일들을
개인과 회사가 특정되지 않는 선에서 재구성해서
소개하는 편이 도움이 됐습니다.

4. “이건 지키기 힘들다”는 피드백을 귀찮아하지 않기

교육 후에 종종 나오는 반응 중 하나가

“말씀하신 내용이 맞긴 한데,
지금 구조에서는 지키기 어렵습니다.”

라는 이야기입니다.

이 말을 방어적으로만 듣지 않고,
실제로 어떤 부분에서 어려운지
한 번 더 들어보려고 하면
업무 프로세스 개선 아이디어가 나오는 경우도 많았습니다.

• 규정과 현실 사이 간극이 어디에 있는지
• 시스템이나 도구로 줄일 수 있는 번거로움은 없는지

이런 부분이 보이기 시작하면
교육이 단순히 전달에서 끝나지 않고
작은 개선의 출발점이 되기도 합니다.

5. 완벽한 교육보다, 한 가지라도 행동이 바뀌게 하기

보안 교육을 준비하다 보면
하고 싶은 말이 계속 늘어납니다.

하지만 시간이 한정된 이상
모든 걸 다 넣을 수는 없습니다.

그래서 요즘에는

“이번 교육을 듣고
한 가지 행동만이라도 바뀐다면 무엇이었으면 좋을까”

이 질문을 먼저 정리해 두고 교육을 준비하려고 합니다.

• 비밀번호와 2단계 인증
• 피싱 링크를 확인하는 습관
• 업무용·개인용 저장 공간 구분
• 스크린샷·캡처 다루는 방식

이 중 한 가지만이라도
조금 더 나은 방향으로 바뀐다면
그 교육은 의미가 있었다고 믿는 편입니다.