비전공자도 보안 일을 할 수 있을까요: 지금 하는 일에서 보안으로 옮겨가는 세 가지 길

비전공이라 안 된다는 말, 어디까지 맞을까요

보안 쪽으로 옮기고 싶은데 전공이 아니라서 망설여지신다는 분들이 많아요. 검색해 보면 '자격증부터 따라', '관제로 들어가라' 같은 목록형 답만 잔뜩 나오고, 정작 내가 지금 하는 일에서 어떻게 이어 가면 되는지는 아무도 말해 주지 않아요. 이 글은 출발점을 세 갈래로 나눠서, 각자 지금 서 있는 자리에서 보안으로 건너가는 가장 짧은 길을 정리해 드리려고 해요.

보안은 전공 학과에서만 나오는 직업이 아니에요. 현장에서 흔히 보이는 패턴은 오히려 반대에 가까워요. 서버를 운영하다가 계정과 로그를 챙기게 된 사람, 개발을 하다가 취약점 조치를 도맡게 된 사람, 총무나 기획 일을 하다가 개인정보 처리 현황을 정리하게 된 사람이 어느 순간 보안 담당이 되어 있는 경우가 정말 많아요. 보안이라는 일이 별도의 섬이 아니라 모든 IT 업무와 회사 운영에 붙어 있는 관점이기 때문이에요.

그래서 '비전공이라 안 된다'는 말은 절반만 맞아요. 처음부터 침해 분석이나 취약점 연구처럼 깊은 기술 영역으로 곧장 들어가는 길은 확실히 좁아요. 근데 말이죠, 보안 직무의 상당수는 그 영역이 아니라 관리·운영·문서·교육 쪽에 있고, 거기서는 전공보다 '지금까지 무슨 일을 해 왔는가'가 훨씬 크게 작용해요. 이 차이를 알면 망설임이 방향으로 바뀌어요.

먼저 바로잡을 오해 두 가지: 해킹 기술과 자격증

첫 번째 오해는 '보안을 하려면 해킹부터 배워야 한다'예요. 공격 기술을 깊이 다루는 직무는 진단이나 연구처럼 일부이고, 나머지 대부분의 보안 업무는 계정과 권한을 정리하고, 로그가 제대로 남는지 확인하고, 백업이 복구되는지 시험하고, 규칙을 문서로 만들고, 사람들에게 설명하는 일이에요. 방어하는 쪽의 구조를 이해하는 것이 먼저이고, 공격의 원리는 그 구조를 설명하기 위한 배경으로만 알아도 대부분의 업무가 굴러가요.

두 번째 오해는 '자격증이 먼저다'예요. 자격증은 공통 언어를 익혔다는 신호로서 분명히 값이 있지만, 옮겨 가려는 분에게 순서를 잘못 잡게 만드는 함정이 되기도 해요. 지금 맡은 일과 아무 접점 없이 시험 공부만 하면, 합격한 뒤에도 '그래서 어떤 보안 일을 해 봤나요'라는 질문에 답할 재료가 없거든요. 반대로 지금 업무 안에서 보안 접점을 하나라도 만들어 두면, 같은 자격 공부도 내 일에 이름표를 붙이는 과정이 되어서 훨씬 오래 남아요. 자격증의 자리와 한계는 이 사이트의 자격증 글에서 따로 정리해 두었으니, 여기서는 순서만 기억하시면 돼요. 접점이 먼저, 자격은 그다음이에요.

출발점별로 길이 다르다: 개발자·IT 운영·비IT

같은 '보안으로 옮기기'라도 지금 어디에 서 있느냐에 따라 자연스럽게 이어지는 직무가 달라요. 솔직히 말하면 이 분기를 먼저 보지 않아서 먼 길을 도는 분들이 많아요. 세 출발점으로 나눠 보면 이렇게 정리돼요.

• 개발자 → 개발보안·취약점 조치 쪽이 가장 가까워요. 코드를 읽고 고칠 수 있다는 능력은 취약점이 왜 생기고 어떻게 막히는지를 가장 빨리 이해하게 해 줘요. 지금 프로젝트에서 보안 점검 결과의 조치를 도맡거나, 입력 검증과 인증 처리 부분을 자원해서 맡는 것이 첫 접점이에요.
• IT 운영·네트워크 담당 → 관제·시스템 보안·인프라 보안으로 이어져요. 계정, 권한, 로그, 패치, 방화벽 정책은 이미 손에 익은 일이고, 거기에 '왜 이렇게 설정하는가'라는 보안 관점만 얹으면 돼요. 공용 관리자 계정 정리나 로그 보관 현황 점검을 자원하는 것이 자연스러운 시작이에요.
• 비IT 직무(총무·기획·법무·품질 등) → 보안 관리·컨설팅·개인정보 보호 담당으로 이어져요. 정책과 지침을 문서로 만들고, 위험을 목록으로 정리하고, 교육을 설계하고, 인증 준비를 챙기는 일은 기술보다 문서화·조율·설득의 일이에요. 우리 회사가 어떤 개인정보를 어디에 보관하는지 현황을 정리하는 일이 첫 접점이 될 수 있어요.

오늘부터 할 수 있는 순서: 접점 만들기 → 기록 → 역할 이름 붙이기

세 갈래 중 어디서 출발하든 순서는 같아요. 첫째, 지금 맡은 업무 안에서 보안과 맞닿은 일 하나를 자원해서 맡아요. 계정 정리, 로그 보관 현황 확인, 백업 복구 시험, 개인정보 처리 현황 정리처럼 작고 확인 가능한 일이면 충분해요. 거창한 프로젝트일 필요가 없어요. 둘째, 그 일을 하면서 알게 된 것을 짧은 문서로 남겨요. 무엇을 확인했고, 무엇이 문제였고, 어떻게 바꿨는지를 사실과 추정을 나눠 적는 습관이에요. 이 기록이 나중에 '보안 일을 해 봤다'는 가장 정직한 근거가 돼요.

셋째, 회사 안에 보안 담당자가 있다면 그 사람과 연결되고, 없다면 겸임이라도 역할에 이름을 붙여 달라고 이야기해요. 담당자가 없는 조직일수록 '보안 관련 문의는 이 사람에게'라는 자리가 비어 있는 경우가 많고, 그 자리를 채우는 것이 경력을 옮기는 가장 현실적인 통로예요. 아, 그리고 하나 더. 이 과정과 나란히 네트워크·운영체제·문서화라는 공통 기초는 꾸준히 채워 두셔야 해요. 어느 보안 직무로 가든 결국 이 세 가지 위에서 대화하게 되거든요.

자격증은 이 순서 안에서 목적이 생겼을 때 고르시면 돼요. 서류 통과가 목적인지, 흩어진 지식을 체계로 묶는 것이 목적인지에 따라 고르는 자격이 달라지고, 응시 자격이나 일정 같은 정보는 계속 바뀌니 큐넷(Q-Net)이나 각 자격 운영 기관의 공식 안내에서 현재 기준을 확인하시는 편이 확실해요. 채용 시장의 요구 조건도 마찬가지로 목표로 삼는 자리의 공고에서 직접 확인하는 것이 가장 정확한 방법이에요.

옮겨 온 사람만 가진 강점, 그리고 이렇게 하면 돼요

보안 담당자가 가장 많이 겪는 어려움은 기술이 아니라 설득이에요. 개발팀에 조치를 요청하고, 운영팀에 설정 변경을 부탁하고, 경영진에 우선순위를 설명하는 일이 하루의 절반을 차지해요. 그런데 옮겨 온 사람은 그 상대편의 언어를 이미 알고 있어요. 개발자 출신은 조치 요청이 왜 부담스러운지 알고, 운영 출신은 변경이 장애로 이어질 수 있다는 두려움을 알고, 사무직 출신은 결재와 예산이 어떻게 움직이는지 알아요. 이 이해가 곧 설득력이 되고, 전공 출신이 오히려 부러워하는 지점이 여기예요.

그래서 옮겨 오는 과정에서 원래 직무의 경험을 지우려고 하지 않으셔도 돼요. 오히려 '나는 어느 현업의 언어를 아는 보안 담당자인가'를 앞세우는 편이 훨씬 자연스럽고 값이 커요. 첫 담당자가 겪는 현업의 저항이나 끝없는 요청에 대한 대처는 이 사이트의 첫 보안 업무 글에서 이어서 읽으시면 도움이 돼요.

이제 이렇게 하시면 돼요. 내 출발점이 개발·운영·비IT 중 어디인지 정하고, 지금 업무 안에서 보안과 맞닿은 작은 일 하나를 이번 달 안에 자원하고, 그 과정을 짧은 문서로 남기는 것부터 시작하세요. 자격증과 학습 계획은 그 접점이 생긴 뒤에 목적을 붙여 고르시면 돼요. 이 순서대로 가면 '비전공인데 될까'라는 질문은 어느새 '어떤 보안을 할까'라는 질문으로 바뀌어 있을 거예요. 그 질문이 생기는 순간, 이미 절반은 옮겨 온 거예요.