보안 직무 지도: 같은 '보안'인데 하는 일이 다른 이유

'보안 일을 한다'가 가리키는 것들

보안 쪽으로 진로를 잡아 보려는데 자료를 볼수록 더 헷갈리시죠. 어떤 글은 패킷을 뜯어보는 이야기를 하고 어떤 글은 문서와 회의 이야기를 하니, '그래서 나는 뭘 준비해야 하지'에서 딱 막혀요. 이 글에서는 보안이라는 한 단어 안에 들어 있는 직무들을 지도처럼 펼쳐 드릴게요.

셋 다 보안이 맞지만, 셋은 서로 다른 직업이에요. 의료 분야를 두고 '병원 일을 한다'고 말하면 외과의와 간호사와 행정 직원이 한꺼번에 묶이는 것과 비슷한 상황이에요. 그러니 처음에 느끼는 혼란은 정보가 부족해서가 아니라, 서로 다른 직업의 이야기가 한 단어 안에 섞여 있어서 생기는 거예요.

이러다 보니 진로 상담에서 가장 자주 나오는 '보안 하려면 뭘 공부해야 하나요'라는 질문은, 답하기 전에 한 단계 되물어야 하는 질문이에요. 어떤 자리에서 어떤 하루를 보내고 싶은지가 정해지지 않으면 공부의 방향도 정해지지 않거든요. 아래 구분은 조직마다 명칭과 경계가 다를 수 있지만, 큰 지도를 그리는 데는 충분히 쓸 만해요.

관제와 진단: 지키는 자리와 두드려 보는 자리

보안관제는 조직의 시스템에서 올라오는 경보와 로그를 실시간으로 지켜보는 일이에요. 무언가 이상한 신호가 잡히면 그것이 실제 위협인지 오탐인지 판단하고, 실제라면 정해진 절차에 따라 대응을 시작해요. 교대 근무가 있는 경우가 많고, 하루의 리듬이 '들어오는 이벤트'에 따라 정해진다는 점이 특징이에요. 필요한 기초는 네트워크와 운영체제에 대한 감각, 그리고 로그를 읽고 사실과 추측을 구분해 기록하는 습관이에요.

모의해킹·취약점 진단은 반대편에 서요. 방어 상태를 확인하기 위해, 허가된 범위 안에서 시스템의 약한 지점을 찾아보고 결과를 보고서로 정리하는 일이에요. 여기서 중요한 건 기술만이 아니라 범위와 권한입니다. 진단은 반드시 사전 승인된 대상과 기간 안에서만 이루어지며, 그 경계를 벗어나면 업무가 아니라 위법 행위가 됩니다. 이 일의 결과물은 '뚫었다'는 사실이 아니라 '왜 이렇게 되었고 어떻게 고칠 수 있는가'를 담은 문서예요. 그래서 진단 직무는 기술력만큼이나 설명 능력을 평가받아요.

컨설팅과 관리: 조직의 규칙을 다루는 쪽

보안 컨설팅은 조직의 현재 상태를 진단하고, 기준에 맞는 체계를 어떻게 갖출지 설계해 주는 일이에요. 인증 심사 대응, 정책 문서 체계 수립, 위험 평가 수행 같은 과제가 여기에 속해요. 여러 조직을 짧은 주기로 옮겨 다니며 일하는 경우가 많아서, 다양한 산업의 사정을 빠르게 파악하는 능력이 그대로 자산이 돼요.

기업 내부의 정보보호 담당자, 이른바 관리 직무는 컨설팅이 설계한 체계를 실제로 굴리는 자리예요. 정책을 유지하고, 임직원 교육을 돌리고, 접근 권한을 점검하고, 사고가 났을 때 창구가 돼요. 기술 작업의 비중은 상대적으로 낮은 대신 조율과 설득의 비중이 높아요. 그냥 딱 잘라 말해서, 이 직무가 어렵다고 이야기되는 이유는 대개 기술이 아니라 사람 때문이에요. 하지 말라는 말을 계속 하면서도 업무가 굴러가게 만들어야 하는 자리거든요. 대신 사람을 움직여 본 경험은 어느 조직에서나 값이 크게 쳐져요.

개발보안: 만드는 단계에서 막는 일

개발보안(시큐어 코딩, 애플리케이션 보안)은 소프트웨어가 만들어지는 과정 안으로 보안을 밀어 넣는 일이에요. 코드에서 위험한 패턴을 걸러내고, 설계 단계에서 위협을 검토하고, 배포 과정에 점검 도구를 붙여요. 이미 만들어진 것을 나중에 검사하는 방식보다 훨씬 싸게 문제를 잡을 수 있다는 게 이 직무의 존재 이유예요.

이 자리는 개발 경험이 있는 분이 넘어오는 경로가 자연스러워요. 개발자와 같은 언어로 대화할 수 있어야 하거든요. 보안 요구사항을 '규정이니 지키세요'로 전달하면 개발 조직에서 잘 받아들여지지 않고, '이 코드가 왜 위험하고 어떻게 고치면 되는지'를 코드 수준에서 보여 줄 수 있을 때 실제로 반영돼요. 기술 이해와 대화 능력이 함께 요구되는 대표적인 직무예요.

침해사고 대응과 분석: 사고 이후를 맡는 자리

앞의 네 갈래에 더해, 사고가 이미 일어난 뒤를 전담하는 직무가 있어요. 침해사고 대응·분석은 시스템에 남은 흔적을 따라 무슨 일이 언제 어떻게 벌어졌는지 재구성하고, 피해 범위를 확정하고, 같은 일이 반복되지 않도록 보완할 지점을 짚어 내는 일이에요. 관제가 '지금 들어오는 신호'를 다룬다면 이 직무는 '이미 남은 기록'을 다룬다는 점에서 성격이 달라요. 하루의 리듬도 달라서, 평소에는 분석 역량과 절차를 다듬다가 사고가 접수되면 한동안 그 사건에 집중적으로 몰입하는 식으로 일이 몰려오는 경우가 많아요.

이 직무의 결과물 역시 문서예요. 분석 결과는 경영진의 의사결정과 재발 방지 대책의 근거가 되고, 경우에 따라 법적 절차에서 참고 자료가 되기도 해요. 그래서 어디까지가 확인된 사실이고 어디부터가 추정인지를 구분해 적는 훈련이 다른 어느 직무보다 중요하게 여겨져요. 진입 경로로는 관제에서 이상 신호를 판별해 본 경험이 자연스러운 발판이 되고요. 한 가지 덧붙이면, 개인이나 소규모 조직이 침해가 의심되는 상황을 만났을 때는 혼자 판단하려 하기보다 KISA 118 상담 같은 공식 창구를 먼저 확인하는 것이 안전합니다.

직무 사이는 벽이 아니라 통로다

이 구분을 처음 보면 하나를 고르면 끝이라고 느끼기 쉽지만, 실제 경력은 그렇게 흘러가지 않는 경우가 많아요. 관제에서 사고 대응 경험을 쌓고 침해사고 분석으로 옮기거나, 진단 경험을 살려 개발보안이나 컨설팅으로 넘어가거나, 컨설팅에서 본 여러 조직의 사례를 들고 기업 내부 관리 직무로 자리를 옮기는 흐름은 드물지 않아요.

이동을 가능하게 하는 건 특정 도구를 다뤄 본 경험이 아니라 공통 기초예요. 네트워크가 어떻게 오가는지, 운영체제가 계정과 권한을 어떻게 다루는지, 로그가 무엇을 남기는지, 그리고 자신이 한 일과 판단 근거를 남이 읽을 수 있게 적을 수 있는지. 이 넷은 어느 직무에서도 값이 떨어지지 않아요.

이제 이렇게 하시면 돼요. 직무 이름부터 고르기보다 '내가 원하는 하루의 모습'을 한 줄로 적어 보시고, 그 리듬에 가까운 직무 두어 개만 남기시면 돼요. 그다음 공통 기초를 쌓으면서 닿을 수 있는 자리에서 시작하면, 방향은 일하면서 얼마든지 조정할 수 있어요. 처음 고른 자리가 평생을 정하지 않는다는 점이 이 분야에서 가장 마음 편한 부분이에요. 지도를 손에 쥐신 지금부터는 훨씬 덜 헤매실 거예요. 어느 갈래로 들어가든 여기서 정리한 다섯 자리는 서로 이어져 있어서, 한 자리에서 쌓은 경험이 다른 자리에서도 그대로 쓰여요. 지도는 여기까지 펼쳐 드렸으니, 이제 여러분 차례예요.