몇 달마다 평가 보안 부서는 새로운 질문을 꺼내는 것 같습니다. 생성형 AI에 어떻게 대응해야 할까요? 스마트 글래스? 딥페이크? 다음 신흥 위협은? 모두 중요한 질문들입니다. 그게 가장 중요한 것들이라고는 확신하지 못해요.

최근 시험 출판사 협회(ATP)의 다양한 시험 방식 간 보안에 관한 웨비나가 그 견해를 강화했습니다. 논의에서 가장 가치 있었던 부분은 기술 자체가 아니었습니다. 한 걸음 물러서서 다음 기술이 등장했을 때 여전히 중요할 질문들에 집중하고 있는지 고민할 기회였습니다.

인증 프로그램, 면허 시험, 입학 시험 등 어떤 과정을 진행하든 패턴은 같습니다: 다음 달이나 내년에 또 다른 '변형'의 AI가 등장할 것이고, 새로운 장치, 새로운 기법, 악의적 행위자들이 평가 시스템을 악용하는 새로운 방법도 등장할 것입니다. 만약 우리의 보안 전략이 오늘날의 기술을 중심으로 구축된다면, 우리는 항상 뒤처지기 위해 노력하게 될 것입니다. 미래에 대비한 평가 보안은 더 나은 질문을 하는 것에서 시작됩니다.

기술은 변하고, 보안 원칙은 여전히 유지되고 있습니다. 우리는 평가 역사 전반에 걸쳐 이런 현상을 보아왔습니다. 숨겨진 장치는 더 작아지고, 프록시 테스트는 더 정교해지며, AI는 부정행위에 대한 장벽을 낮추면서 완전히 새로운 공격 경로를 만들어냅니다.

새로운 전술마다 다음 대응책을 찾아야 하는 압박이 생깁니다. 그것이 또 다른 정책, 다른 도구, 혹은 최신 기법에 대응하기 위한 통제 등입니다. 그건 우리가 절대 이길 수 없는 경주야.

효과적인 보안은 모든 새로운 위협을 예측하는 것이 아닙니다. 사칭, 콘텐츠 절도, 무단 지원 등 근본적인 공격 경로를 이해하고, 위협 환경이 변화함에 따라 효과적인 보안 아키텍처를 구축하는 것이 중요합니다. AI와 같은 기술은 점점 더 중요한 역할을 하게 되어 위험을 조기에 식별하고, AI 기반 부정행위를 방지하며, 평가 보안을 강화하는 데 도움을 줍니다. 이러한 사고방식의 변화가 보안을 탄력적으로 만듭니다; 다음에 무슨 일이 있든.

평가 보안은 종종 청렴성과 후보자 경험 간의 절충으로 제시됩니다. 꼭 그럴 필요는 없다고 생각해요.

좋은 보안은 비대칭적입니다: 정직한 지원자에게는 거의 보이지 않고, 악의적인 행위자에게는 비용이 많이 듭니다. 목표는 모두에게 더 많은 마찰을 만드는 것이 아닙니다. 이는 평가 무결성을 훼손하려는 사람들에게는 정확히 의미 있는 마찰을 일으키는 동시에 정당한 시험 응시자들에게 공정하고 접근 가능하며 긍정적인 경험을 유지하는 것입니다.

이 균형을 잘 맞추면, 보안은 접근의 장벽이 되지 않으면서도 신뢰를 강화합니다.

단일 보안 통제가 모든 질문에 답할 수는 없습니다. 그리고 그럴 것으로 기대해서는 안 됩니다.

각 컨트롤은 서로 다른 관점을 제공합니다:

• 신원 확인 은 올바른 사람이 평가를 받고 있다는 신뢰를 확립합니다.
• 환경 통제는 평가가 이루어지는 조건에 대한 신뢰를 제공합니다.
• 행동 모니터링은 비정상적인 활동을 즉시 식별하는 데 도움을 줍니다.
• 연결된 지능은 개별 세션에서는 알 수 없는 패턴을 드러냅니다. 

각각은 개별적으로 귀중한 통찰을 제공합니다. 이 둘이 함께 맥락을 제공하는데, 훨씬 더 강력합니다. 더 중요한 것은, 평가 수명 주기의 다양한 단계에서 기여한다는 점입니다. 평가가 시작되기 전부터 사기를 억제하고 방지하는 것부터 실시간 탐지, 시험 후 조사, 지속적인 개선까지 포함됩니다.

이것은 현대 위협이 거의 단일 전술에 의존하지 않기 때문에 중요합니다. 이들은 사람, 기술, 타이밍, 기회를 결합하여 단일 통제가 완전히 해결할 수 없는 방식으로 결합합니다. 따라서 효과적인 평가 보안은 단일 통제에만 의존해서는 안 된다는 것이 당연합니다. 자신감은 단 한 조각에 의존하지 않고 전체 그림을 보는 데서 옵니다.

모든 평가는 데이터를 생성합니다. 중요한 질문은 우리가 그 데이터를 지능으로 전환하고 있느냐는 것입니다.

개별 신호만으로는 전체 이야기를 말해주는 경우가 드뭅니다. 신원 확인은 아무런 문제가 없을 수도 있지만; 테스트 세션은 별다른 사건 없이 보일 수 있지만; 단일 결과는 단독으로 보면 이상하지 않을 수 있습니다. 하지만 그 신호들이 후보자, 세션, 기기, 장소, 시간에 걸쳐 연결되면 다른 그림이 드러나기 시작합니다. 패턴이 드러나고, 관계가 명확해지며, 위험을 더 일찍 식별하고 더 큰 확신을 가지고 조사할 수 있게 됩니다.

그래서 저는 연결 지능이 현대 테스트 보안에서 가장 중요한 원칙 중 하나가 되고 있다고 믿습니다. 더 많은 데이터를 수집해서가 아니라, 더 큰 이해를 만들기 위해 연결하기 때문입니다. 또한 AI와 같은 기술이 보안 프로그램에서 중요한 역할을 합니다. 우리가 대응하는 위협이 아니라, 위험을 조기에 식별하고 증거를 더 빠르게 연결하는 방어 능력으로 인식합니다.

가장 강력한 보안 프로그램은 개별 사건에만 대응하지 않습니다. 이들은 지속적으로 증거를 연결하고, 모든 평가에서 배우며, 다음 위협을 예방할 수 있는 능력을 강화합니다.

미래에 대비한 평가 보안은 모든 새로운 부정행위를 예측하는 능력으로 정의되지 않습니다. 변화를 위해 설계된 보안 아키텍처를 구축할 수 있는 능력에서 비롯됩니다.

이를 위해서는 개별 기술에 국한되지 않고 지속적인 원칙에 집중해야 합니다. 이는 정직한 후보자가 아니라 악의적인 행위자들을 위해 마찰을 만들어야 합니다. 이는 보안을 독립적인 통제 체계의 집합이 아니라 통합된 아키텍처로 생각하도록 요구합니다. 또한 위협이 진화함에 따라 지속적으로 적응할 수 있도록 데이터를 연결된 인텔리전스로 전환해야 합니다.

기술은 계속 변화할 것이며, 아무도 모든 새로운 위협이나 AI의 형태를 예측할 수 없습니다. 우리가 할 수 있는 일은 더 나은 질문을 계속 던지고, 앞으로 닥칠 어떤 일에도 대비된 보안 아키텍처를 구축하는 것입니다. 그것이 우리가 해야 할 가장 중요한 대화입니다.