보안 입문자들이 가장 자주 묻는 질문들에 대한 관찰

보안 분야로 오고 싶다는 사람들에게서 받는 질문은 놀랄 만큼 비슷합니다. '자격증부터 따야 하나요', '개발을 먼저 배워야 하나요', '해킹 공부는 어디서 하나요', 그리고 결국 '뭐부터 해야 하나요'. 질문의 형태는 달라도 뒤에 있는 마음은 하나라고 느낍니다 — 이 분야가 너무 넓어 보이고, 어디가 입구인지 모르겠다는 막막함입니다. 저도 입문 시절 같은 질문을 품고 있었기에, 이 질문들을 받을 때마다 그때의 제가 겹쳐 보입니다.

일을 해 오며 확인한 바로는, 그 막막함의 원인은 보안을 하나의 직업으로 상상하기 때문입니다. 실제로는 관제, 진단, 컨설팅, 개발보안, 관리·인증처럼 성격이 꽤 다른 여러 직무의 묶음이고, 각 직무가 요구하는 첫 번째 역량도 다릅니다. 어떤 자리는 네트워크 기초가 먼저고, 어떤 자리는 문서를 읽고 쓰는 힘이 먼저이며, 어떤 자리는 코드를 읽는 눈이 먼저입니다. '뭐부터'라는 질문은 '어느 문으로 들어갈지'를 정한 다음에야 답이 생기는 질문이었습니다.

자격증에 대해서도 한마디 보태자면, 저는 여러 자격증을 직접 준비하고 취득해 본 입장에서 자격증의 효용을 부정하지 않습니다. 다만 순서가 중요했습니다. 자격증 공부가 의미 있었던 것은 향할 직무를 정한 뒤 그 직무의 언어를 체계적으로 익히는 수단으로 썼을 때였고, 목적지 없이 목록부터 채울 때는 남는 것이 적었습니다. 또 하나 자주 보이는 오해는 '해킹을 잘해야 보안을 한다'는 생각입니다. 현장의 보안 업무 대부분은 공격이 아니라 방어와 관리 — 설정을 점검하고, 권한을 정리하고, 사람을 설득하고, 기록을 남기는 일 — 로 채워집니다. 화려한 쪽만 보고 들어왔다가 지루함에 놀라는 경우와, 반대로 지루해 보여서 피했다가 뒤늦게 적성을 발견하는 경우를 둘 다 보았습니다.

그래서 이 사이트의 '보안 커리어·현장' 카테고리는 자격증 목록이나 공부 순서표 대신 직무의 지도를 먼저 그리는 데 힘을 씁니다. 지도가 있으면 '뭐부터'는 스스로 정할 수 있게 되고, 그렇게 정한 순서가 남이 준 순서보다 오래 갑니다. 제가 돌아온 길을 되짚어 봐도 그랬습니다. 입문자에게 해 줄 수 있는 가장 정직한 답은 정답이 아니라 지도라고, 지금은 생각합니다.