제가 학교 IT 분야에서 일을 처음 시작했을 때만 해도, 사이버 보안은 종종 뒷전으로 밀려나곤 했습니다. 시스템이 구축된 후에야 뒤늦게 덧붙여지거나, 거의 아무도 읽지 않는 정책 문서의 한 줄로만 언급되곤 했죠. 시간이 흘러 오늘날에 이르러서는 (다행히도) 그런 시대는 끝났다는 것이 분명해졌습니다.

랜섬웨어, 피싱, 데이터 유출 사고로 인해 모든 멀티 아카데미 트러스트(MAT)는 기존과는 다른 방식으로 사고해야만 하는 상황에 직면했습니다. 재규어 랜드로버나 마크스 앤 스펜서와 같은 대형 기업들조차 사이버 공격의 피해자가 된다는 사실은, 막대한 자원을 보유한 기업조차도 방심하면 피해를 입을 수 있다는 점을 냉철하게 일깨워 줍니다. 한정된 예산을 가지고 있으면서도 디지털 의존도가 점점 높아지고 있는 학교들의 경우, 그 위험성은 마찬가지로 큽니다.

저희는 영업비밀을 보유하고 있지는 않지만, 학생 정보, 교직원 기록 및 민감한 개인정보를 철저히 보호하고 있습니다. 이러한 정보에 대한 접근 권한을 단 한 순간이라도 상실하게 되면, 교육과 학습이 중단될 수 있습니다.

이는 단순한 이론에 그치는 문제가 아닙니다. '학교 사이버 보안 현황' 학교 사이버 보안 발전의 최전선에 서 있는 기업 중 하나인 ‘시큐어 스쿨스(Secure Schools)’가 발표한 이 보고서에 따르면, 사고 대응 계획을 갖춘 학교는 40% 미만이며, 지정된 사이버 보안 책임자가 있는 학교는 약 15%에 불과한 것으로 나타났습니다. 이 수치는 위험이 광범위하게 퍼져 있지만, 대비 상태는 제각각임을 여실히 보여줍니다.

하지만 교육 현장에서 수년간 일해오면서, 여러 교육 재단 전반에 걸쳐 조용하지만 의미 있는 변화가 일어나고 있음을 목격해 왔으며, 이러한 변화 덕분에 저는 미래에 대해 진정한 낙관론을 품게 되었습니다.

IT 문제에서 리더십 의제로

가장 큰 변화는 기술적인 측면이 아니라 문화적인 측면에서 일어났습니다. 사이버 보안은 마침내 경영진의 주요 논의 주제로 자리 잡았습니다. 이사회는 더 날카로운 질문을 던지고 있으며, 최고재무책임자(CFO)들은 재무 계획에 디지털 리스크를 반영하고 있고, 최고경영자(CEO)들은 사이버 사고가 단순한 운영상의 불편함이 아니라 명실상부한 보안 문제임을 인식하고 있습니다.

사이버 보안을 단순한 기술적 부수 과제가 아닌 거버넌스의 일부로 다룰 때, 조직 전체가 변화하기 시작합니다. 학교들은 회복탄력성을 건강 및 안전과 마찬가지로, 명확한 책임 소재가 있는 공동의 책임으로 인식하기 시작합니다.

분산된 시스템에서 명확한 가시성으로

몇 년 전만 해도 대부분의 교육청들은 자사의 디지털 자산을 전체적으로 파악하지 못하고 있었습니다. 각 학교는 자체 기기, 클라우드 도구, 타사 앱을 사용하곤 했는데, 대개 중앙 차원의 감독이 없거나 전체 기술 스택을 제대로 이해하지 못한 채로 운영되었습니다.

하지만 이러한 상황은 빠르게 변하고 있습니다. 업계 전반에서 트러스트 기관들이 하드웨어와 소프트웨어에 대한 전면적인 디지털 자산 목록을 작성하고, 종속 관계를 파악하며, 중앙 등록부를 구축하는 모습을 볼 수 있습니다. 아스트레아(Astrea)에서 이러한 작업은 획기적인 변화를 가져왔습니다. 우리는 표준화된 기기 명명 규칙을 도입하고, 여전히 지원되는 시스템을 추적하며, 업데이트 및 데이터 보호에 대해 공급업체에 책임을 묻기 시작했습니다.

화려한 일은 아니지만, 기초가 되는 정말 중요한 일입니다. 제가 목격한 모든 사이버 사고는 사소하고 간과되기 쉬운 것에서 시작되었습니다. 가시성을 확보하는 것이 통제력을 확보하기 위한 첫걸음입니다.

인식에서 문화로

예전에는 직원 교육이라고 하면 매년 영상 시청과 퀴즈를 푸는 정도에 그쳤습니다. 하지만 이제는 선구적인 교육 재단들이 피싱 시뮬레이션, 시나리오 기반 교육, 실수에 대한 솔직한 대화를 적극적으로 도입하고 있으며, Secure Schools나 KnowBe4와 같은 기업들은 학교와 교육 재단을 위해 특별히 설계된 제품을 개발하고 있습니다.

AI가 생성한 피싱 이메일의 증가로 인해 기준은 높아졌지만, 동시에 경각심도 더욱 높아졌습니다. 목표는 두려움을 조장하거나 책임을 전가하는 것이 아니라, 긍정적인 문화를 조성하는 데 있습니다. 교사와 사무직 직원들이 아동 보호 문제를 지적할 때와 같은 확신을 가지고 위조 이메일을 식별할 수 있게 될 때, 비로소 진정한 회복탄력성이 뿌리내리게 됩니다.

종이 위의 계획에서 실천으로

결국, 어떤 계획도 현실과 마주하면 무너진다는 사실을 깨달았습니다. 사고 대응 계획을 세우는 것과 이를 실제로 테스트해 보는 것은 전혀 다른 문제입니다.

현재 더 많은 MAT(사고 대응 팀)가 리더십 팀과 함께 탁상 훈련을 실시하며, 시스템이 다운되었을 때 누가 어떤 역할을 수행할지, 의사소통은 어떻게 이루어질지, 복구 시 우선순위는 무엇인지 등을 연습하고 있습니다. 핵심은 바로 대비에 있습니다. 테스트를 거쳐 다듬어진 계획은 공유 드라이브에 저장되어만 있는 계획보다 항상 더 나은 성과를 냅니다.

다음은 무엇일까요?

이 모든 것이 안전을 보장하는 것은 아닙니다. 하지만 대비 태세를 보장해 주며, 그 자체가 진전입니다. 우리는 사이버 위험에 대응하는 단계에서 벗어나 이를 적극적으로 관리하는 단계로 나아갔습니다.

신탁 기관의 경우, 사이버 보안은 더 이상 단순히 기기나 네트워크의 문제만이 아닙니다. 이는 학습의 지속성, 대중의 신뢰, 그리고 건전한 지배구조와 직결된 문제입니다.

최근 한 교장이 제게 이렇게 말했습니다. “예전에는 사이버 보안을 그저 넘겨야 할 과제로 여겼습니다. 하지만 이제는 우리를 계속 나아가게 해주는 원동력으로 보고 있습니다.”

바로 이러한 변화가 이 분야의 디지털 미래에 대한 희망을 갖게 해줍니다.