최근 모빌리티 및 정밀 가공 산업은 자율주행, 로보틱스 등 신기술의 확장과 함께 ‘공급망 보안’이 기업의 중요한 조건으로 대두되고 있습니다. 수많은 협력사가 긴밀하게 엮인 글로벌 비즈니스 환경에서는 직원 단 한 명 또는 협력사 한 곳이 이메일 피싱을 당했을 때 그 피해가 전체 공급망을 흔드는 치명적인 결과로 이어질 수 있기 때문입니다.이에 더해 최근 업종을 가리지 않고 AI를 악용한 고도화된 공격이 빈번하게 발생하고 있으며, 이에 따른 위협의 강도와 피해 규모 또한 날로 심각해지는 추세입니다.
이러한 가운데, 본사와 현장 그리고 협력사까지 모두 아우르는 오프라인 집체 보안 교육을 고수하며 독보적인 보안 문화를 구축해 나가는 기업이 있습니다. 파수 AI의 마인드셋(Mind-SAT) 전문가 서비스를 통해 악성메일 모의훈련과 보안 교육을 함께 실행하며 임직원들의 실질적인 행동 변화를 이끌어낸 오토그룹의 정보보안 담당자를 만나 얘기를 들어봤습니다. 오토그룹은 어떻게 협력사와 함꼐하는 강력한 보안 문화를 구축하고 있을까요?
| 세계적으로 미래 모빌리티와 정밀 가공 분야를 선도하는 오토그룹
안녕하세요, 오토그룹 DX 팀의 김용주 선임입니다. 오토그룹은 자동차 변속기와 전동화 부품 분야에서 축적된 정밀 가공 역량을 바탕으로 현대자동차·기아 등 글로벌 완성차 업체에 핵심 부품을 공급하는 모빌리티 선도 기업입니다. 최근에는 전기차용 고정밀 감속기 모듈을 비롯해 항공우주 및 로보틱스 관련 신기술 개발에도 주력하고 있습니다. 또한, 저희 오토그룹은 미국, 체코, 중국, 멕시코 등 전 세계 주요 거점에서 전 공정 자동화와 유연한 생산 체계를 갖추며 글로벌 공급 역량을 지속적으로 강화하고 있습니다.
오토그룹은 서울, 예산, 경주, 베트남 등 국내외로 거점이 폭넓게 나뉘어 있습니다. 업무 특성상 외부 접점이 많고 이에 따라 이메일을 핵심 소통 채널로 활용하다 보니, 거래처를 교묘하게 사칭한 피싱 메일을 업무 흐름 속에서 자연스럽게 열어볼 위험이 컸습니다. 이런 환경에서 보안 담당자의 가장 큰 고민은 거점마다 IT 환경과 임직원들의 보안 인식 수준이 다르다는 점이었습니다. 따라서 위치나 직무에 관계없이 모든 구성원에게 동일한 눈높이의 보안 기준을 제시하고, 훈련 결과를 중앙에서 통합 관리할 수 있는 체계적인 시스템이 절실했습니다.
| ‘사람 중심’ 훈련과 교육을 도입한 이유
최근 자동차 부품 산업은 원청과 협력사 간 보안 요건이 강화되고 공급망 보안이 갈수록 중요해 지고 있는 상황입니다. 이에 협력사도 임직원 보안 인식 수준을 체계적으로 관리하고 증빙해야 하죠. 처음에는 원청사와 주고받는 도면이나 사양서 등 핵심 정보를 보호하기 위해 DRM 솔루션 도입을 검토했습니다. 그 과정에서 DRM을 포함한 데이터 보안 전문 기업인 파수 AI와 미팅을 진행하게 되었고, 미팅 중에 파수 AI의 악성메일 모의훈련 서비스인 마인드셋 또한 접하게 됐는데요. 아무리 강력한 보안 시스템을 구축해도 침해 사고의 상당수가 이메일을 통한 사람의 실수에서 시작되는 만큼, 기술적 통제(문서 보안)와 인적 통제(임직원 교육)를 함께 갖추는 것이 필수적이라고 판단했습니다.
이에 고객사인 현대오토에버와 KISA에서 제공하는 무상 악성메일 모의훈련을 충실히 소화하는 동시에, 더 다양한 시나리오를 통한 반복 숙련을 위해 마인드셋을 추가로 도입했습니다. 오토그룹은 여기서 그치지 않고 보안을 기업 경쟁력을 좌우하는 핵심 전략으로 인식하고 적극적인 투자를 이어가고 있습니다. 최근에는 방화벽 MSS 관제 서비스까지 도입해 탐지부터 대응까지 아우르는 체계를 고도화하기도 했습니다. 동종 업계의 랜섬웨어 피해 사례들을 반면교사 삼아, 솔루션-관제-훈련이라는 삼박자를 단단하게 맞물려가고 있습니다.
| “온라인 대신 현장으로” 협력사까지 품은 오프라인 집체교육의 힘
마인드셋을 통해 훈련을 진행하며 반드시 함께 진행하려 했던 것이 바로 ‘현장 중심의 오프라인 집체교육’입니다. 단순히 영상을 틀어놓고 집중 없이 끝나는 온라인 교육의 한계를 극복하기 위해, 분기별로 현장을 찾아가는 대면 교육을 진행하기로 결정했습니다. 파수 AI의 보안 전문가가 직접 예산, 서울, 경주를 모두 방문해 실습과 질의응답을 중심으로 밀도 있게 교육을 진행하다 보니 실무진의 현실적인 질문이 쏟아지고, 교육 직후 도출된 개선 과제를 현장에 즉각 반영할 수 있었습니다.
특히 오프라인 교육에서 중요했던 점은 연 4회 교육 중 반기마다 20~30곳의 2차 협력사를 초청해 합동 보안 교육을 진행한 것입니다. 원청이 오토그룹에 보안 역량을 지원하듯, 오토그룹 역시 협력사와 상생하며 공급망 전체의 보안 체력을 끌어올려야 한다는 생각을 가지고 있습니다. 실제 사례 위주의 실습과 현장에 바로 적용 가능한 체크리스트를 제공한 덕분에, 의무 참석이 아님에도 협력사들의 반응과 참여도가 매우 높습니다.
이처럼 높은 호응을 얻을 수 있었던 이유 중 하나는 다양한 교육 콘텐츠에 있습니다. 매번 동일한 내용이 아니라 AI 기본법 교육 등 다양한 커리큘럼의 교육을 수차례 진행해 오면서 지난 5월 교육에서 진행한 ‘참여형 보안 게임’은 참여자들의 몰입도를 극대화한 프로그램이었습니다. 단순한 이론 교육이 아니라 실습과 퀴즈, 토론을 게임에 결합해서 진행돼 참여자들의 몰입도가 높았고, 파수 AI에서 오토그룹의 내부 상황을 이해해 퀴즈도 맞춤 제작을 해준 덕분에 현장 적용성이 크고 효과적이었던 것 같습니다. 이 프로그램 이후에 참여자들에게 “나도 언제든 공격당할 수 있다”라는 인식과 위기의식이 확산되어, 실제 업무에서의 주의력과 신고율이 눈에 띄게 향상되었습니다.
| 단순 클릭률 감소를 넘어선 ‘의심-확인-신고’의 선순환
마인드셋 전문가 서비스를 통해 오프라인 보안 교육을 진행하면서 구성원들의 인식이 많이 변화한 만큼, 악성메일 모의훈련을 거듭할수록 구성원들의 행동에도 긍정적인 변화가 나타났습니다. 신고 접수 전용 메일을 신설해 교육 때마다 사내 신고의 중요성을 강조하다 보니 훈련 때는 물론 실제 상황에서도 의심 메일을 수신한 경우 즉시 신고하는 습관이 정착됐습니다. 최근에는 특히 보안 담당자에게 신고 접수 연락 빈도가 크게 늘었을 정도로 프로세스가 활성화됐는데요. 이제 단순히 의심 메일의 링크를 누르는 클릭률이 감소한 것에 그치지 않고, 스스로 의심하고, 확인하고, 신고하는 선순환이 체계화되고 있습니다. 특히 이 과정에서 구성원들이 직접 메일 제목이나 발신자 주소, 메일 본문의 링크 주소를 자연스레 점검하는 습관을 갖게 된 것이 가장 큰 변화인 것 같습니다.
더불어 여러 번의 악성메일 모의훈련을 진행하며 신규 입사자에게서 클릭률이 상대적으로 높게 나타나는 경향을 확인할 수 있었는데요. 이에 이에 신규·전입자를 별도 대상으로 재교육을 시행하기도 했습니다. 또한 사업장별 환경과 업무 특성에 맞춘 메시지와 예시가 효과적이라는 점을 확인해, 이후 훈련은 사업장 맞춤형 시나리오로 정교화해서 진행할 수 있도록 할 예정입니다.
| 오토그룹이 그리는 보안 문화
앞서 말했듯, 저희 오토그룹은 보안을 기업 경쟁력을 좌우하는 핵심 전략으로 인식하고 있습니다. 따라서 저희의 궁극적인 목표는 업무 효율과 보안 통제가 균형을 이뤄, 모든 임직원이 ‘불편을 감수해야 하는 목적’을 온전히 이해하고 자발적으로 원칙을 준수하는 문화를 완성하는 것입니다. 이를 위해서 앞으로도 기술(솔루션·관제)·정책(표준·점검)·교육(반복·실습)의 내재화를 지속할 계획입니다. 그리고 다가오는 4분기 훈련에서는 급증하는 AI 툴 활용에 대비해 현업에서 꼭 알아야 할 데이터 반출입 가이드와 민감정보 처리 기준, 그리고 최신 공격 사례 기반의 실습을 더욱 심도 있게 다룰 예정입니다.
저희와 같이 다양한 협력사와 협업하면서 공급망 보안이 더욱 중요한 모빌리티 또는 제조 기업이라면 실제 사고를 가정한 시물레이션과 모의훈련을 통해 보안을 ‘체감’하게 만드는 것이 가장 효과적이라고 생각합니다. 현실적인 시나리오와 반복 훈련을 진행하고 이와 함께 여러 차례의 교육을 진행한다면 구성원의 주의력과 대응 속도가 빠르게 향상될 것입니다. 이 모든 과정을 직접 진행하는데 한계가 있으시다면 훈련과 교육 모두를 책임지는 파수 AI의 마인드셋 전문가 서비스를 도입해 보시기를 추천해 드립니다.
