보안 입문자들이 가장 자주 묻는 질문들에 대한 관찰

보안 분야로 오고 싶다는 사람들에게서 받는 질문은 놀랄 만큼 비슷합니다. '자격증부터 따야 하나요', '개발을 먼저 배워야 하나요', '해킹 공부는 어디서 하나요', 그리고 결국 '뭐부터 해야 하나요'. 질문의 형태는 달라도 뒤에 있는 마음은 하나라고 느낍니다 — 이 분야가 너무 넓어 보이고, 어디가 입구인지 모르겠다는 막막함입니다.

제가 관찰한 바로는, 그 막막함의 원인은 보안을 하나의 직업으로 상상하기 때문입니다. 실제로는 관제, 진단, 컨설팅, 개발보안, 관리·인증처럼 성격이 꽤 다른 여러 직무의 묶음이고, 각 직무가 요구하는 첫 번째 역량도 다릅니다. 어떤 자리는 네트워크 기초가 먼저고, 어떤 자리는 문서를 읽고 쓰는 힘이 먼저이며, 어떤 자리는 코드를 읽는 눈이 먼저입니다. '뭐부터'라는 질문은 '어느 문으로 들어갈지'를 정한 다음에야 답이 생기는 질문이었습니다.

또 하나 자주 보이는 오해는 '해킹을 잘해야 보안을 한다'는 생각입니다. 공격 기법을 이해하는 것은 분명 도움이 되지만, 현장의 보안 업무 대부분은 공격이 아니라 방어와 관리 — 설정을 점검하고, 권한을 정리하고, 사람을 설득하고, 기록을 남기는 일 — 로 채워집니다. 화려한 쪽만 보고 들어왔다가 지루함에 놀라는 경우와, 반대로 지루해 보여서 피했다가 뒤늦게 적성을 발견하는 경우를 둘 다 보았습니다.

그래서 이 사이트의 '보안 커리어·현장' 카테고리는 자격증 목록이나 공부 순서표 대신 직무의 지도를 먼저 그리는 데 힘을 씁니다. 지도가 있으면 '뭐부터'는 스스로 정할 수 있게 되고, 그렇게 정한 순서가 남이 준 순서보다 오래 갑니다. 입문자에게 해 줄 수 있는 가장 정직한 답은 정답이 아니라 지도라고, 지금은 생각합니다.