과거에 보안 사고가 재발하지 않도록 어떤 대책을 세우셨나요?

보안 사고 후 재발 방지 대책으로 교육을 추가하는 방식을 선택했는데, 유사한 패턴의 사고가 다시 발생한 경험이 있습니다. 사고 원인 분석에서 '인식 부족'이 원인으로 지목됐고, 교육으로 해결하는 방식을 선택했습니다. 하지만 사고가 다시 발생했을 때 실제 원인은 인식이 아니라 프로세스 구조에 있었다는 것이 드러났습니다. 담당자가 보안 절차를 알면서도 빠른 처리를 위해 생략하게 만드는 구조가 남아 있었습니다. 이 경험에서 재발 방지 대책이 교육에 그치면 원인이 프로세스 구조에 있을 때 효과가 없다는 기준이 생겼습니다. 이후 사고 분석 시 원인을 사람 요인과 구조 요인으로 분리해 각각 대책을 설계하는 방식을 씁니다.

이 경험이 이후 재발 방지 대책 수립 시 프로세스 구조 원인을 사람 원인과 분리해 분석하는 기준이 됩니다. 보안 사고 재발 방지는 교육으로 해결하는 것이 아니라 절차를 생략하게 만드는 구조적 원인을 제거하는 데서 완성된다는 원칙을 지킵니다.