<Summary>

1. 업종 : 제조
2. 임직원 수 : 446명
3. 테스트 배경
 - 사내 직원의 수상한 메일 신고를 계기로 직원들의 스팸메일 수신 시 대처 능력 테스트
4. 테스트 내용
 - 8개의 템플릿을 만들어 테스트 실시
 - 인사채용담당자 대상 자소서 메일, 구매 및 영업담당자 대상 DHL 메일 준비
 - 동시에 사내 보안의식향상 이벤트로 함께 기획하여 테스트 실시
5. 테스트 결과

참여인원	열람	다운로드	감염	감염률	신고	신고율
150	126	32	10	6.7%	30	20%

6. 결론
 - 지속적인 보안교육이 있더라도 실제로 훈련(테스트)을 실시하지 않은 회사에 도움이 될 것
 - 머드픽스는 준비시간이 짧아 간편하게 언제든지 진행할 수 있음
 - 라이선스 기간이 1년이라 주기적으로 훈련하여 사내 스팸메일 대응능력 고취 가능

<Review>

 어느 날 사내 한 직원으로부터 수상한 메일을 받았다고 연락이 왔습니다. 해당메일을 전달받으니 홈페이지 이미지를 저작권 위반하여 사용을 하고 있었다며, 그럴듯한 이름의 압축파일을 같이 보내왔습니다. 압축을 풀어보니 이미지 이름의 .jpg.lnk 파일과 숨겨진 exe파일이 있었고, 그걸 모르는 직원은 이미지를 확인하기 위해 링크파일을 실행시켰습니다. 눈에 보이는 뚜렷한 증상이 없어 긴가민가한 상태였습니다.

관련지식을 가진 직원이나 전산을 담당하는 직원이라면 그럴듯한 내용으로 exe파일을 실행시키도록 하는 메일이 스팸이라는 것을 어느 정도 짐작이 가능합니다. 하지만 위 내용의 직원처럼 타분야의 사람이라면 벌써 탈탈 털렸지 않을까 싶네요.

 보안을 담당하는 담당자라면 직원들에게 스팸메일이 왔을 때 어떻게 받아들일지 한번쯤은 생각을 해봅니다. 좋은 기회가 있어 ‘머드픽스’란 제품으로 직원들에게 훈련을 진행하면서 리뷰를 해보고자 합니다.
 

머드픽스 소개

머드픽스는 이메일을 통해 반복적으로 보안인식을 제고시키는 훈련 서비스입니다. 라이선스는 1년 단위로 있으며, 인원만 차이가 있습니다. 반복적으로 서비스를 해야 한다지만 기간이 1년밖에 없어 선택의 폭이 좁지 않나 생각되네요. 리뷰는 약150명 훈련대상자와 서비스형으로 진행하겠습니다. 
 

머드픽스 메뉴
 

로그인시 처음으로 보이는 화면의 상단부분이며 훈련실시, 결과보기, 대상관리, 설정(사람모양)이 있습니다. 4개의 메뉴와 머드픽스 로고로만 구성되어 있어 디자인이 심플하면서도 뭔가 허전함이 느껴지지 않나 싶습니다.

메뉴 – 훈련실시

‘훈련실시’ 화면입니다. 훈련을 각 Step별로 나누어 처음사용자에게 차근차근 따라갈 수 있게 하였습니다. 그리고 Step별로 필요한 체크사항이 하단에 보여, 사용자에게 설정이 빠진 부분이 없는지  확인가능토록 합니다. 
 


Step2 ’일반설정’ 화면이며, 훈련명 및 훈련기간을 정할수 있습니다. 하단에 시작일자 및 종료일자를 입력하도록 되어 있는데, 훈련을 시작하자마자 메일이 대상자에 전송이 됩니다. 사용자에게 특정일자에 훈련이 가능하도록 시간을 예약할 수 있습니다. 훈련기간 하단에 시작시간이 있다면 더욱 효과적인 훈련 및 관리가 되지 않을까 싶습니다.

 

Step3 ‘대상자 지정’ 화면이며 누구에게 메일을 보낼지 정할 수 있습니다. 지정한 태그로 손쉽게 여러명에게 메일을 보낼수 있는 기능이 있습니다. 그리고 대상자 전원에게 메일을 보내었을 땐 스팸의 내용이 사무실 내 전파되어 훈련의 효과가 떨어질 수 있기에 대상자중 일부인원에게 메일을 보낼수 있는 기능이 있습니다. 각 부서로 태그를 지정했을 때 메일발송 비율의 기능이 빛을 볼것입니다. 
 


Step 4 ‘훈련 양식’ 화면이며, 훈련대상자에 어떤 내용의 메일을 보낼지 정할 수 있습니다. 훈련양식 선택이 단순한 드랍박스 형식이라 커스텀 양식이 많을시 양식을 찾을 떄 불편함이 있으며, 추후 검색기능이 있다면 더욱 좋을 것 같습니다.

 ‘실행’버튼 눌렀을 때, 훈련일자가 오늘이라면 메일이 훈련대상자에게 발송이 될 것이며, 훈련의 결과가 실시간으로 ‘결과보기’메뉴에서 확인이 가능합니다. 실시간으로 데이터가 업데이트 되다보니, 화면이 자주 Refress되어 버벅임이 있을수 있습니다.
 

메뉴 – 설정

‘설정’메뉴입니다. 심플하게 구성되어 있으며, 훈련 대상자의 인원이 많을 시 서비스공유로 간편히 관리 인원을 추가하여 머드픽스 서비스 이용이 가능합니다.
훈련템플릿이 가장 중요하다고 생각이 되는데, 실제로 훈련시 보내지는 내용을 작성할 수 있습니다. 기본적으로 많이 쓰일 것 같은 양식이 20개정도 있어 사용자가 맨땅에서 시작하는 수고를 덜어주었습니다.  다만. 양식을 편집하는 에디터가 좋은 것 같지는 않습니다.. 제가 의도한 내용 및 구성으로 나오지 않고 실제로 메일을 보내어보면 띄어쓰기가 사라진다던가 폰트가 크기 바뀐다던가 등 불편함이 있습니다. 











 

훈련 템플릿 에디터 입니다. 이름, 이메일, 연락처등 훈련대상자 정보를 템플릿 에디터 내 변수처럼 활용이 가능합니다. 메일주소가 지메일이고 단체에게 보내는 듯 하는 메일제목으론 받는 사람의 입장에선 어느정도 파악이 가능합니다. 하지만 회사이름이 들어가는 메일주소와 자신의 이름이 들어가는 제목이라면 메일내용으론 알 수가 없을 것입니다. 



훈련 템플릿 에디터 하단 스팸메일의 핵심인 대상자를 감염시키는 exe첨부파일 옵션입니다. 메일을 보내면 exe파일만 보내어지는게 많이 아쉽습니다. 내용에 따라 이미지 링크파일이나 기타 속일만한 파일이 첨부되었다면 사용자로 하여금 혼동을 줬을 것 같습니다. 아니면 exe파일외 사용자가 별도로 링크파일이나 이미지파일을 추가하는 기능이 있다면 훈련이 더욱 효과적일 듯 합니다.

exe파일 첨부하는 유형엔 원본/압축파일 2가지가 있습니다. exe파일을 원본으로 바로 보낼시엔 실행을 하더라도 ie에서 아래처럼 사용자에게 경고를 해주며 삭제 버튼이 먼저 나옵니다. 

 
압축파일로 보낼 시, 윈도우 기본 압축프로그램은 exe확장자가 보이지 않아 훈련대상자로 하여금 파일을 실행시키도록 하지만, 반디집이나 다른 압축 프로그램 사용시 확장자가 보이며 실행을 시키더라도 exe파일이니 경고하라는 문구가 나옵니다. 




 
실제로 메일을 받았을 시 보이는 화면입니다. DHL사칭 스팸메일형태로 구성을 했는데, 다운로드 유형이 링크첨부시 테두리에 첨부파일형태로 나옵니다. 메일주소가 [email protected]이며 내용 또한 그럴 듯 해보이지만 뭔가 강조를 하는듯한 exe파일 링크가 어색하게 느껴지긴 합니다.
 

메뉴 – 결과보기

3개의 화면으로 구성되어 있습니다. 실시간으로 업데이트 되며 훈련 클릭시, 훈련 대상자와 훈련와 관련 통계가 잘 나와있습니다. 



훈련진행현황이 각 대상자마다 훈련 단계별로(대상 – 안전 – 열람 – 감염) 확인이 가능합니다., 감염이 되었을 때 해당PC에 저장된 파일들을 목록으로 볼 수 있어 추후 감염대상자에게 교육 및 주의를 줄 때 효과적일 듯 합니다. 

메뉴 – 대상관리

결과보기와 동일하게 3개 화면으로 구성되어 있어, 한 눈에 등록된 데이터를 파악을 할 수 있습니다. 2번 화면에서 사람모양의 색에 따라 등록된 인원이 훈련을 했을시 어떠한 상태인지 간단히 보여주어 스팸메일에 취약인원 또한 쉽게 파악 가능합니다. 훈련 대상자를 클릭했을 때 3번화면에서 훈련이력이 남아있어 지속적으로 훈련을 하여 점점 나아지는지 파악이 가능합니다. 또한, 인원등록시 엑셀 일괄 업/다운로드 기능이 있기에 훈련대상자 인원이 많더라도 손쉽게 관리가 가능합니다. 
 

훈련준비

 동일한 내용으로 전 인원에게 훈련을 진행할 시 초기에 접한 인원들에게 실제로 훈련이 되고, 자리를 비워 메일을 늦게 접한 인원은 아무래도 주변 동료에게 관련 내용을 들어 훈련효과가 적을거라 생각되었습니다. 이런 이야기거리는 의외로 빨리 전파가 되는걸 다들 아실거라 생각합니다.

그래서, 저희는 총 8개의 내용이 다르 템플릿을 만들어 적게는 3명, 많게는 40명으로 훈련을 진행하였습니다. 인사채용담당자에겐 자소서내용관련 메일을, 구매 및 영업등 담당자에겐 DHL관련 메일을 준비하였고 훈련을 진행했습니다.

 이왕 하는 스팸메일 훈련의 효과를 증대시키기 위해 사내 보안의식향상 이벤트와 함께 진행을 하는 것을 기획했습니다. 직원이 받은 스팸메일 첨부파일 다운받지 않고, 저희쪽에게 수상한 메일이 왔으니 확인부탁한다는 내용으로 신고를 한다면 상당한 금액의 선물을 지급하는 것이라는 내용입니다. 
 

사내 그룹웨어 게시판에 위 사진처럼 이벤트 내용과 기간을 두루뭉술하게 올렸고, 실제로 훈련을 실시한 시간은 글을 게시하고 나서 직원들이 보안이벤트에 가물가물할때인 1주일 뒤에 훈련을 시작했습니다.
 

훈련결과

150명에게 훈련을 실시한 결과, 열람 : 126명 / 다운 : 32명 / 감염 : 10명입니다. 그리고 대략 30 ~ 40명정도로 전화, 메일, 메신저등으로 저희쪽에 신고를 하였습니다. 집계는 되지 않았지만 자주 스팸메일을 받으시는분들은 메일을 열람하고 스팸으로 등록을 하셨을거라 생각됩니다. 

 1주일동안 경과를 지켜본후, 훈련결과 내용을 사내 그룹웨어 게시판에 게시하였습니다. 훈련 전 후 내용을 게시판에 공지하여 메일을 쓰고 있는 직원들에게 스팸메일 대응능력 향상시킬수 있었습니다. 보안이벤트 상품이 상당한 금액의 기프티콘이라 훈련의 효과가 컸을 거라 생각되며, 실제로 훈련후 조금이라도 수상한 메일을 받으면 저희쪽에 연락이 오고 있습니다^^.

결론

 지속적으로 교육을 하지만, 실제로 훈련을 하지 않았거나 기술유출방지를 중요시하는 회사라면 한번 이상은 머드픽스 제품을 이용하여 스팸메일을 훈련하는게 좋을 것 같습니다. 바쁜 업무 가운데 머드픽스는 준비시간이 짧아 언제든지 진행이 가능하며 결과 또한 상세히 나와 별도의 추가 작업을 할 필요가 없습니다. 그리고, 라이선스 지속기간이 1년이라 직원들이 잊을때쯤 훈련을 진행하여 스팸메일 대응능력을 단련시킬수 있을 듯 합니다. 


- 리뷰는 머드픽스의 지원으로 진행되었습니다 -

Mudfix(머드픽스) 제품 보기