57% 주말 근무, 29% 하루 10시간 이상 근무 등
세상이 너무 빨리 바뀌어...회사가 ‘배움터’ 역할도 해야
가장 구하기 힘든 전문기술 6 + AI가 대체할 것으로 보이는 직군 10
[보안뉴스 국제부] 보안 전문 업체 파사이트 시큐리티(Farsight Security)에서 보안 전문가들의 근무 현황을 조사했다. 그 결과 57%가 주말에도 근무를 한다고 답했다. 또한 29%는 하루 평균 근무 시간이 10시간 정도라고 답하기도 했다. 이 같이 강도 높은 근무 시간 때문에 개인적인 대소사를 놓친 경험이 최소 1회 이상이라고 답한 이는 51%였다.
[이미지 = iclickart]
파사이트는 360명의 IT 보안 전문가들을 대상으로 설문을 실시했는데 위와 같은 상황임에도 불구하고 97%가 자신이 하는 일에 대해 ‘보람을 느낀다’고 답했다고 한다. 파사이트의 CEO인 폴 빅시(Paul Vixie)는 “기업과 사회 기반 시설을 지켜내는 것이 현재 IT 업계의 가장 큰 화두인데, 그것이 보안 전문가의 근무 현황에 반영되고 있는 것으로 보인다”며 “보이지 않는 곳에서 애쓰는 이들이 많다는 걸 새삼 알게 되었다”고 말했다.
한편 보안 전문가들의 근무 강도가 높아지는 건 예견된 수순이기도 했다. 사이버 공격의 빈도수와 수준이 높아지고 있지만 이에 대응할 수 있는 전문가가 전 세계적으로 크게 부족한 상황이기 때문이다. 게다가 이 인력 부족 현상은 좀처럼 해결될 기미가 보이지 않기에, 앞으로도 보안 전문가의 근무 상황은 쉽게 개선되지 않을 것으로 보인다. 이에 다양한 국가들에서 보안 인재 육성을 위해 노력을 기울이고 있지만 국가 혼자서는 역부족이다.
싱가포르의 통신사인 싱텔(Singtel)은 최근 사이버 보안 인재를 육성하기 위한 플랫폼을 새롭게 만들었다. 싱텔 사이버 보안 경험(Singtel Cyber Security Experience) 혹은 줄여서 CSX라고 불리는데, 학생들과 보안 업계에 막 들어온 새내기들을 위한 ‘인터랙티브’한 교육 콘텐츠를 제공한다고 한다. 싱텔 본사는 물론 싱텔의 미국 서비스 담당기업인 트러스트웨이브(Trustwave)에서 근무하는 사이버 보안 전문가들과의 멘토-멘티 매칭 프로그램도 제공하며 다양한 직업들에 대한 소개를 받을 수도 있어 장래를 계획하기에 알맞게 되어 있다고 싱텔은 설명했다.
미국에서는 국방부가 민간 단체들의 사이버 보안 컨퍼런스들에 주요 인사들을 파견해 직접 현장에서 인재들을 만나고 ‘스카웃’을 하는 등의 노력을 하고 있다. 또한 여성 인력 확보에 대한 움직임도 점점 커지고 있으며, 전역한 군인이나 10대 ‘스크립트 키디’를 교육시켜 채용하는 방안도 마련되고 있다. 러시아의 사이버전 전문 기관은 일찌감치 지하의 사이버 범죄자들과 손을 잡아온 것으로 알려져 있기도 하다.
한편, 보안 및 IT 분야에서 인증서 및 자격증을 운영하고 있는 CompTIA는 600명의 IT 분야 임직원들을 대상으로 기능성 격차(skill gap)에 대한 설문을 실시했다. 그런데 응답자의 46%가 이 격차가 점점 커지고 있다고 답했다. 여기서 격차란 ‘기업이 보유하고 있는 기능’과 ‘기업이 필요로 하는 기능’ 사이의 차이를 말한다. 이 격차 때문에 생산성이 떨어지고, 회사 이윤도 낮아지며, 경쟁사에게 뒤쳐진다.
더 아쉬운 건 이 문제를 해결하기 위한 기업 차원의 전략을 가지고 있다고 답한 응답자가 1/3도 되지 않았다는 것이다. CompTIA의 수석 시장 연구 조사 디렉터인 에이미 코라도(Amy Corrado)는 “격차라고만 느끼지 정확히 어느 지점을 메워야 하는지는 잘 모른다”며 “그걸 파악하는 것이 급선무”라고 지적한다.
하지만 세상이 너무 빠르게 변하는 것이 근무 환경이 열악해지고 인재가 줄어드는 가장 큰 이유라고 CompTIA의 보고서는 짚어낸다. “기업들이 실험해보고 도입해야 할 기술들이 벌써 얼마나 쌓여 있는지 한 번 보세요. 사물인터넷, 인공지능, 클라우드, 로보틱스, 블록체인 등 하나하나가 어렵고 기술적인 건데, 이걸 깊이 있게 들여다볼 새도 없이 뭐가 자꾸만 새로 나옵니다. 기술이 등장하는 데에도 긴 시간이 필요하겠지만, 그걸 공부하는 데에도 만만치 않은 시간이 걸리는데, 그 속도를 우리가 못 쫓아가고 있는 겁니다.”
그렇기에 현재 가장 현실적인 대응 방안은 ‘현장에서 회사가 직원들에 대한 교육 기회를 제공하는 것’이라고 코라도는 설명한다. “업무의 최적화를 위한 기존 회사 구조에다가 지위 고하를 막론하고 누구나 새로운 걸 학습할 수 있도록 하는 개념도 추가해서 새로운 조직을 짜야 할 때인 듯 합니다. 회사가 일하고 능력을 발휘하는 곳만이 아니라 새로 배우는 곳이라는 인식도 자라나야 하겠고요.”
-------------------------------------------------------
한편, 미국 정보시스템감사통제협회(ISACA)의 올해 초 설문조사에 따르면, 기업 4곳 중 1곳 이상이 사이버 보안 인력을 채우는 데 적어도 반 년 이상이 걸린다고 응답했다. 또한, 응답자의 40%는 사이버 보안 인력을 채용할 때 들어오는 지원서가 평균 5개 이하라고 밝혔다.
만일 하던 대로 한다면 상황은 더 나빠지기만 할 것이다. 세계적인 정보보안 교육단체 (ISC)2가 올해 발행한 세계 정보보안 인력 연구에 따르면, 2022년까지 사이버 보안 인력은 세계적으로 180만 명 부족할 것으로 보인다.
문제는 단순치 않다. 주어진 상황에서 보안 문제를 해결할 만한 특화된 기술을 가진 인력이 부족하다는 사실엔 많은 문제들이 뒤따른다. 이 문제들은 매 순간 변화하고 움직인다. “새로 나타나는 문제를 해결할 만한 양질의 정보보안 전문가가 부족하다는 건 분명해 보입니다.” 사이버 보안 채용 대행업체 LJ 쿠슈너 & 어소시에이트 회장 리 쿠슈너(Lee Kushner)는 말한다. “일반적인 능력이나 평균적인 기술의 부족을 말하는 게 아닙니다. 기업이 문제를 해결할 수 있도록 돕는 능력이 부족하다는 말입니다.”
기업이 문제를 직시하기 시작할 때는 대단히 중요한 보안 결점 딱 하나를 해결하려고 하기 보다는 가장 절실한 보안 능력의 종류들을 정교하게 가려내는 것이 필요하다. 보안 전문업체 카본블랙의 CTO이자 공동 설립자인 마이크 비스쿠소(Mike Viscuso)는 “각 기업은 ‘사이버 보안 인력이 너무 부족하다’는 단순한 선언보다 훨씬 더 세밀한 문제에 직면해 있다”고 말한다. 채용 담당자가 가장 구하기 어렵다고 답한 전문 능력을 다음과 같이 정리했다.
1. 사건 조사 및 보안 분석
기업들은 보안 경고에 익사당하는 중이며 정확히 어떤 사건을 조사해야 할지 가려낼 방안을 찾고 있다. 이에 자동화를 선택하는 기업도 많다. 그러나 자동화를 감독하는 똑똑한 사람들의 중요성까지 자동화가 대체하지는 않는다. 이런 인재들은 인간적인 직관력과 선견지명을 활용해 문제를 근본적으로 해결하기 위한 조사를 행할 수 있다. 리서치 전문업체 ESG가 정보시스템보안협회(ISSA)를 대행해 최근 연구한 바에 따르면, 기업이 채용에 가장 애먹는 자리는 사건 조사와 분석을 담당하는 직위다. 국제적 정보보안 교육단체 CompTIA도 숙련된 보안 분석가가 현재 가장 찾기 어려운 보안 전문가라고 발표한 바 있다.
2. 클라우드 보안에 대한 혜안
기업들이 개발 정보부터 애플리케이션 워크로드까지 클라우드에 옮기기 시작하면서 이런 복잡한 환경에서 보안을 유지할 줄 아는 보안 전문가가 필요하게 됐다. 인텔의 연구에 따르면, 현재 93%의 기업이 어떤 형태로든 클라우드 서비스를 사용하고 있으며 62%는 민감한 정보를 클라우드에 저장하고 있는 것으로 나타났다. 그러나 50%에 달하는 기업이 사이버 보안 능력의 부족으로 클라우드를 효과적으로 사용하는 데 지장이 있다고 응답했다.
3. 업계 노하우
정보보안 전문매체 다크리딩(Dark Reading)의 2017년 보안 실무자 설문조사에 따르면, 보안 인력 채용 담당자 대부분이 보안 인력 시장에 특정 기술이나 능력이 부족하다고 느끼는 것으로 나타났다. 부족함을 가장 크게 느끼는 부분은 특정한 역할이나 기술적인 능력에 국한된 것이 아니라, 보호하고자 하는 사업의 종류에 대해 익숙한 사람이 거의 없다는 부분에서다. 이 설문조사는 채용 담당자의 세 배에 달하는 인력이 부족하며, 각 기업을 적절하게 방어할 수 있는 경험 많은 인력이 사이버 보안 영역에서 정규 교육을 받은 인력보다 더 필요하다고 밝혔다.
4. 실무 경험
정규 교육을 중요시하지 않는 건 사이버 보안 인력 설문조사에서 공통되게 드러나는 흐름이다. ISACA의 최근 설문조사에 따르면, 응답자들의 가장 큰 걱정은 보안에 대해 잘 아는 것을 넘어 실제 세계에서 자신의 지식을 시험해볼 줄 아는 사람을 찾는 것이다. 특정 기술을 실제로, 직접 실행해봤다는 사실은 정규 교육이나 특수 훈련 수료 여부, 자격증 여부를 가볍게, 그리고 큰 폭으로 따돌리는 것으로 나타났다.
5. 대인관계 능력
데브섹옵스(DevSecOps)가 기업의 협업을 장려하게 되면서, 직위의 높고 낮음과 무관하게 모든 보안 인력이 IT를 포함한 타 부서의 사람들과 잘 어울릴 수 있도록 요구되고 있다. 다크리딩의 설문조사에 따르면, IT 전문가 절반 이상이 보안 실무자에게 가장 필요한 능력은 소통할 줄 아는 소프트 스킬(soft skill)을 갖춘 기술자라고 응답했다.
6. 사업적 감각
원칙적으로 보안 전문가들은 기업의 위험을 최대한 감소시키기 위해 내부 컨설턴트로 근무하며, 애플리케이션 경제에서 기업이 경쟁력을 갖도록 디지털 트랜스포메이션을 수행하는 일을 한다. CompTIA의 최신 보고서에 따르면, 디지털 트랜스포메이션에 가장 큰 영향을 끼치는 IT 기술 부족은 사업적인 목표에 맞게 기술을 조정하는 능력이다. 보안 전문가가 컨설턴트 역할을 하게 된다면, 그 기업만의 고유한 사업 문제와 사업 원칙 등을 모두 이해할 필요가 있다.
-------------------------------------------------------
이렇듯 IT의 각종 분야에서 ‘사람 구하기’가 어렵기 때문에 나타나는 현상은 자동화 및 인공지능 기술의 실험적인 도입과 발전이다. 그러면서 사람을 돕거나, 사람이 다 할 수 없는 일을 인공지능이 대신할 수 있다는 걸 넘어 사람을 대체할 수 있다는 가능성도 제기되고 있다. 다음은 정보 및 IT 매체인 인포메이션위크가 꼽은 ‘인공지능이 대체할 수 있는 열 가지 직군’이다.
1. 헬프데스크
페이스북, 마이크로소프트, IBM, 아마존 등은 고객들의 문의에 대응해주는 챗봇을 이미 갖추고 있다. 챗봇은 고객들과 직접 대화를 진행한다. 간단한 문제는 직접 해결해주며, 사람인줄로만 알았다는 고객들의 반응도 간간히 나온다. 이에 많은 기업들이 간단한 고객 응대를 해주는 기능을 보유한 챗봇 서비스 도입을 연구 중에 있다. 챗봇이 컴플레인이나 문의 사항을 해결해준다는 것에 대해 사람들의 거부감도 덜하다. 한 설문 조사에서 ‘사람이 답해줬으면 좋겠다’고 답한 이는 57%였는데, 40% 정도는 ‘도움만 제대로 받을 수 있다면 누가 답하든 상관없다’고 답한 것이다. 현재 챗봇들은 머신 러닝을 기반으로 제작되어 있어, 시간이 갈수록 더 나은 대응을 할 것으로 예상된다.
2. 시스템 관리자
시스템 관리자 혹은 시스어드민(sysadmin)은 조직 내 서버 및 주요 컴퓨터들을 설치하고 환경설정하고, 모니터링 및 관리, 유지보수를 담당한다. 그런데 최근 데브옵스가 유행처럼 번지기 시작하면서 자동화 기술이 빠르게 도입되고 있는데, 특히나 시스템 관리 분야가 자동화를 활발하게 받아들이고 있다. 환경설정이나 모니터링, 관리, 소프트웨어 업데이트 등은 반복적이고 기계적인 일들을 상당히 포함하고 있기 때문이다. 여기에도 머신 러닝과 같은 기술들이 적용되기 시작하면서 잘못된 경보도 점점 줄어들고 있다. 시스템 관리자는 완전히 대체되기보다 인공지능 기술과 결합하여 크게 변모할 것으로 보인다.
3. 네트워크 관리자
시스템 관리자와 비슷한데, 그 대상이 서버나 컴퓨터가 아니라 네트워크 전체다. 이들은 기업의 네트워크가 항상 온라인 상태를 유지하게끔 해주며, 이 네트워크로부터 고객 서비스가 멈추지 않고 발생하고, 사내 워크 플로우 및 데이터 흐름이 항상 유지되도록 한다. 시스템 관리자와 마찬가지로 각종 네트워크 장비의 업데이트나 환경설정을 책임지고 있으며 이는 단순 반복적인 작업을 포함하고 있다.
전문가들은 디지털 변혁을 진정으로 꽤하려면 네트워크 기능에 인공지능이 반드시 도입되어야 한다고 말한다. 개발, 혁신, 워크 프로세스의 흐름에 네트워크가 맞추려면 자동화가 담당해야 할 부분이 상당히 많을 것으로 보인다.
4. 스토리지 관리자
스토리지 관리자는 HDD나 SDD, 테입 등 각종 스토리지 관련 하드웨어와 소프트웨어를 매일 관리하고 모니터링하는 역할을 하고 있다. 데이터 백업이 스케줄대로 이뤄지고 있으며, 백업되는 데이터의 무결성도 확인해야 한다. 하드웨어 기능에도 이상이 없도록 하고, 저장 공간이 부족하지는 않나, 섹터에 불량이 발생하지는 않나도 미리미리 파악해야 한다. 기업이나 부서의 성장에 따라 민감하고 현명하게 대처를 해야 할 책임을 가지고 있다.
그런데 스토리지 전문가들은 최근부터 자신들의 하는 일들 중 상당 수가 자동화로 처리될 수 있다는 걸 발견했다. 데이터 저장 공간이 갈수록 커지고, 데이터의 양 자체가 엄청나게 늘어나면서 인공지능의 도움이 반드시 필요하게 되기도 했다. 특히 환경설정 확인, 데이터 고결성 확인, 스토리지 및 백업 프로세스의 최적화, 데이터 관리, 하드웨어 고장의 예측 등에서는 인간보다 더 나은 성과를 보이고도 있다.
5. QA 및 실험관련 직무
어느 기업이나 애플리케이션을 개발한 후에는 내부 혹은 외부적인 실험을 거쳐 실제 환경에서의 사용성을 확인한 후 시장에 내놓기 마련이다. 이를 품질 관리나 품질 확인 등으로 부르기도 하는데, 이 실험 과정 역시 대부분 자동화 기술로 대체가 가능하다. 인포시스(Infosys)와 같은 기업은 이미 자동 QA 솔루션을 도입해 이 과정을 크게 단축시키고 있다. 이 직군의 경우 인공지능의 완전한 대체가 아니라 인간과의 조합으로 크게 발전할 것이 예상된다.
6. 프로젝트 관리자
프로젝트를 관리한다는 게 얼마나 복잡한 일인지 경험해본 사람은 프로젝트 관리자를 인공지능이 대체할 수 있다는 것에 의아할 것이다. 물론 프로젝트 관리를 완전히 기계가 다 할 수는 없을 것으로 보인다. 프로젝트 관리라는 임무 아래 사람들이 하는 일은 다 다르지만 1) 데이터를 모으고, 2) 누가 어떤 일을 얼마큼 진행했는지 확인하고 3) 어느 부분에서 문제가 발생하고 있는지 확인하고, 4) 개선시키고, 5) 어느 정도 시간이 걸릴지 예상하고 이를 정해진 마감 시간과 맞추는 것이 기본 골자가 된다. 이런 일들을 머신 러닝 툴들로 하면 인간 프로젝트 관리자가 보다 더 창의적이고 판단력이 필요한 일에 집중할 수 있게 될 것으로 보인다. 실제로 이런 부분에서 프로젝트 관리자들을 도와줄 수 있는 솔루션들은 이미 시장에 존재한다.
7. 데이터 분석가
빅 데이터는 이미 미국의 여러 기업들 사이에서 실험되고 있으며 실제로 활용되고 있는 중이다. 데이터 과학자의 수요가 갈수록 높아지고 있으며, 그래서 현재 데이터 과학자의 몸값이 가파르게 상승 중이라는 것이 이를 증명한다. 그러나 인간 데이터 과학자를 교육을 통해 길러내는 데에는 긴 시간이 걸리기 때문에 여기에 인공지능이 도입되고 있으며, 꽤나 괜찮은 성적을 거두고 있기도 하다. 데이터 분석 인공지능이 아직 사람에 미치지는 못하지만, 사람과 결합했을 때 퍼포먼스가 크게 올라간 실험 결과는 여럿 존재한다.
8. 데이터베이스 관리자
데이터베이스 관리자는 데이터베이스와 관련된 구축, 환경설정, 최적화, 모니터링, 관리, 유지보수를 담당하는 사람으로, 이 역시 기계의 도움을 충분히 받을 만한 분야다. 특히 모니터링과 환경설정, 고장 예상, 이상 현상에 대한 보고 등은 인공지능이 굉장히 정확하게 해내고 있다. 그러나 아직 시장에 이 분야의 솔루션은 등장하지 않고 있다.
9. 보안 관리자
보안 관리자 및 담당자의 가장 큰 고민은 ‘새로운 공격’에 대처하는 것이다. 이미 알려진 위협들은 대처할 수 있지만 제로데이 취약점에 대한 공격 등 지난 사례가 없는 공격의 경우 보안 솔루션들은 대부분 무용지물이 된다. 이에 인공지능 기능을 통해 예측하는 방법이 도입되고 있다. 알려진 공격법 등에 대해서도 인공지능 및 자동화의 역할은 상당할 것으로 보이는데, 시스템이나 앱 등이 워낙 방대해지고 있어 사람이 수작업을 통해 업데이트하고 관리하는 것이 쉽지 않기 때문이다.
10. 소프트웨어 개발자
데이터 과학자들도 그렇지만 소프트웨어 개발자에 대한 수요도 매우 높아지고 있다. 4차 산업혁명이라고 하는 것의 본질이 소프트웨어 혁명이기 때문이다. 모든 것이 소프트웨어의 힘으로 가동되고 있으며 기존 하드웨어 제조사가 차지하던 시장을 소프트웨어 개발사가 조금씩 차지해가고 있는 실정이다. 그래서 누구나 코딩을 하지 않더라도 애플리케이션을 만들 수 있도록 하는 툴들도 나오고 있고, 인공지능이 코딩을 하도록 훈련시키는 실험도 진행되고 있다. 인공지능이 코딩을 할 줄 알게 되었을 때는 소프트웨어 개발이라는 직군에 큰 변화가 올 것으로 예상된다.
[국제부 문가용 기자(globoan@boannews.com)]
[국제부 오다인 기자(boan2@boannews.com)]
세상이 너무 빨리 바뀌어...회사가 ‘배움터’ 역할도 해야
가장 구하기 힘든 전문기술 6 + AI가 대체할 것으로 보이는 직군 10
[보안뉴스 국제부] 보안 전문 업체 파사이트 시큐리티(Farsight Security)에서 보안 전문가들의 근무 현황을 조사했다. 그 결과 57%가 주말에도 근무를 한다고 답했다. 또한 29%는 하루 평균 근무 시간이 10시간 정도라고 답하기도 했다. 이 같이 강도 높은 근무 시간 때문에 개인적인 대소사를 놓친 경험이 최소 1회 이상이라고 답한 이는 51%였다.
[이미지 = iclickart]
파사이트는 360명의 IT 보안 전문가들을 대상으로 설문을 실시했는데 위와 같은 상황임에도 불구하고 97%가 자신이 하는 일에 대해 ‘보람을 느낀다’고 답했다고 한다. 파사이트의 CEO인 폴 빅시(Paul Vixie)는 “기업과 사회 기반 시설을 지켜내는 것이 현재 IT 업계의 가장 큰 화두인데, 그것이 보안 전문가의 근무 현황에 반영되고 있는 것으로 보인다”며 “보이지 않는 곳에서 애쓰는 이들이 많다는 걸 새삼 알게 되었다”고 말했다.
한편 보안 전문가들의 근무 강도가 높아지는 건 예견된 수순이기도 했다. 사이버 공격의 빈도수와 수준이 높아지고 있지만 이에 대응할 수 있는 전문가가 전 세계적으로 크게 부족한 상황이기 때문이다. 게다가 이 인력 부족 현상은 좀처럼 해결될 기미가 보이지 않기에, 앞으로도 보안 전문가의 근무 상황은 쉽게 개선되지 않을 것으로 보인다. 이에 다양한 국가들에서 보안 인재 육성을 위해 노력을 기울이고 있지만 국가 혼자서는 역부족이다.
싱가포르의 통신사인 싱텔(Singtel)은 최근 사이버 보안 인재를 육성하기 위한 플랫폼을 새롭게 만들었다. 싱텔 사이버 보안 경험(Singtel Cyber Security Experience) 혹은 줄여서 CSX라고 불리는데, 학생들과 보안 업계에 막 들어온 새내기들을 위한 ‘인터랙티브’한 교육 콘텐츠를 제공한다고 한다. 싱텔 본사는 물론 싱텔의 미국 서비스 담당기업인 트러스트웨이브(Trustwave)에서 근무하는 사이버 보안 전문가들과의 멘토-멘티 매칭 프로그램도 제공하며 다양한 직업들에 대한 소개를 받을 수도 있어 장래를 계획하기에 알맞게 되어 있다고 싱텔은 설명했다.
미국에서는 국방부가 민간 단체들의 사이버 보안 컨퍼런스들에 주요 인사들을 파견해 직접 현장에서 인재들을 만나고 ‘스카웃’을 하는 등의 노력을 하고 있다. 또한 여성 인력 확보에 대한 움직임도 점점 커지고 있으며, 전역한 군인이나 10대 ‘스크립트 키디’를 교육시켜 채용하는 방안도 마련되고 있다. 러시아의 사이버전 전문 기관은 일찌감치 지하의 사이버 범죄자들과 손을 잡아온 것으로 알려져 있기도 하다.
한편, 보안 및 IT 분야에서 인증서 및 자격증을 운영하고 있는 CompTIA는 600명의 IT 분야 임직원들을 대상으로 기능성 격차(skill gap)에 대한 설문을 실시했다. 그런데 응답자의 46%가 이 격차가 점점 커지고 있다고 답했다. 여기서 격차란 ‘기업이 보유하고 있는 기능’과 ‘기업이 필요로 하는 기능’ 사이의 차이를 말한다. 이 격차 때문에 생산성이 떨어지고, 회사 이윤도 낮아지며, 경쟁사에게 뒤쳐진다.
더 아쉬운 건 이 문제를 해결하기 위한 기업 차원의 전략을 가지고 있다고 답한 응답자가 1/3도 되지 않았다는 것이다. CompTIA의 수석 시장 연구 조사 디렉터인 에이미 코라도(Amy Corrado)는 “격차라고만 느끼지 정확히 어느 지점을 메워야 하는지는 잘 모른다”며 “그걸 파악하는 것이 급선무”라고 지적한다.
하지만 세상이 너무 빠르게 변하는 것이 근무 환경이 열악해지고 인재가 줄어드는 가장 큰 이유라고 CompTIA의 보고서는 짚어낸다. “기업들이 실험해보고 도입해야 할 기술들이 벌써 얼마나 쌓여 있는지 한 번 보세요. 사물인터넷, 인공지능, 클라우드, 로보틱스, 블록체인 등 하나하나가 어렵고 기술적인 건데, 이걸 깊이 있게 들여다볼 새도 없이 뭐가 자꾸만 새로 나옵니다. 기술이 등장하는 데에도 긴 시간이 필요하겠지만, 그걸 공부하는 데에도 만만치 않은 시간이 걸리는데, 그 속도를 우리가 못 쫓아가고 있는 겁니다.”
그렇기에 현재 가장 현실적인 대응 방안은 ‘현장에서 회사가 직원들에 대한 교육 기회를 제공하는 것’이라고 코라도는 설명한다. “업무의 최적화를 위한 기존 회사 구조에다가 지위 고하를 막론하고 누구나 새로운 걸 학습할 수 있도록 하는 개념도 추가해서 새로운 조직을 짜야 할 때인 듯 합니다. 회사가 일하고 능력을 발휘하는 곳만이 아니라 새로 배우는 곳이라는 인식도 자라나야 하겠고요.”
한편, 미국 정보시스템감사통제협회(ISACA)의 올해 초 설문조사에 따르면, 기업 4곳 중 1곳 이상이 사이버 보안 인력을 채우는 데 적어도 반 년 이상이 걸린다고 응답했다. 또한, 응답자의 40%는 사이버 보안 인력을 채용할 때 들어오는 지원서가 평균 5개 이하라고 밝혔다.
만일 하던 대로 한다면 상황은 더 나빠지기만 할 것이다. 세계적인 정보보안 교육단체 (ISC)2가 올해 발행한 세계 정보보안 인력 연구에 따르면, 2022년까지 사이버 보안 인력은 세계적으로 180만 명 부족할 것으로 보인다.
문제는 단순치 않다. 주어진 상황에서 보안 문제를 해결할 만한 특화된 기술을 가진 인력이 부족하다는 사실엔 많은 문제들이 뒤따른다. 이 문제들은 매 순간 변화하고 움직인다. “새로 나타나는 문제를 해결할 만한 양질의 정보보안 전문가가 부족하다는 건 분명해 보입니다.” 사이버 보안 채용 대행업체 LJ 쿠슈너 & 어소시에이트 회장 리 쿠슈너(Lee Kushner)는 말한다. “일반적인 능력이나 평균적인 기술의 부족을 말하는 게 아닙니다. 기업이 문제를 해결할 수 있도록 돕는 능력이 부족하다는 말입니다.”
기업이 문제를 직시하기 시작할 때는 대단히 중요한 보안 결점 딱 하나를 해결하려고 하기 보다는 가장 절실한 보안 능력의 종류들을 정교하게 가려내는 것이 필요하다. 보안 전문업체 카본블랙의 CTO이자 공동 설립자인 마이크 비스쿠소(Mike Viscuso)는 “각 기업은 ‘사이버 보안 인력이 너무 부족하다’는 단순한 선언보다 훨씬 더 세밀한 문제에 직면해 있다”고 말한다. 채용 담당자가 가장 구하기 어렵다고 답한 전문 능력을 다음과 같이 정리했다.
1. 사건 조사 및 보안 분석
기업들은 보안 경고에 익사당하는 중이며 정확히 어떤 사건을 조사해야 할지 가려낼 방안을 찾고 있다. 이에 자동화를 선택하는 기업도 많다. 그러나 자동화를 감독하는 똑똑한 사람들의 중요성까지 자동화가 대체하지는 않는다. 이런 인재들은 인간적인 직관력과 선견지명을 활용해 문제를 근본적으로 해결하기 위한 조사를 행할 수 있다. 리서치 전문업체 ESG가 정보시스템보안협회(ISSA)를 대행해 최근 연구한 바에 따르면, 기업이 채용에 가장 애먹는 자리는 사건 조사와 분석을 담당하는 직위다. 국제적 정보보안 교육단체 CompTIA도 숙련된 보안 분석가가 현재 가장 찾기 어려운 보안 전문가라고 발표한 바 있다.
2. 클라우드 보안에 대한 혜안
기업들이 개발 정보부터 애플리케이션 워크로드까지 클라우드에 옮기기 시작하면서 이런 복잡한 환경에서 보안을 유지할 줄 아는 보안 전문가가 필요하게 됐다. 인텔의 연구에 따르면, 현재 93%의 기업이 어떤 형태로든 클라우드 서비스를 사용하고 있으며 62%는 민감한 정보를 클라우드에 저장하고 있는 것으로 나타났다. 그러나 50%에 달하는 기업이 사이버 보안 능력의 부족으로 클라우드를 효과적으로 사용하는 데 지장이 있다고 응답했다.
3. 업계 노하우
정보보안 전문매체 다크리딩(Dark Reading)의 2017년 보안 실무자 설문조사에 따르면, 보안 인력 채용 담당자 대부분이 보안 인력 시장에 특정 기술이나 능력이 부족하다고 느끼는 것으로 나타났다. 부족함을 가장 크게 느끼는 부분은 특정한 역할이나 기술적인 능력에 국한된 것이 아니라, 보호하고자 하는 사업의 종류에 대해 익숙한 사람이 거의 없다는 부분에서다. 이 설문조사는 채용 담당자의 세 배에 달하는 인력이 부족하며, 각 기업을 적절하게 방어할 수 있는 경험 많은 인력이 사이버 보안 영역에서 정규 교육을 받은 인력보다 더 필요하다고 밝혔다.
4. 실무 경험
정규 교육을 중요시하지 않는 건 사이버 보안 인력 설문조사에서 공통되게 드러나는 흐름이다. ISACA의 최근 설문조사에 따르면, 응답자들의 가장 큰 걱정은 보안에 대해 잘 아는 것을 넘어 실제 세계에서 자신의 지식을 시험해볼 줄 아는 사람을 찾는 것이다. 특정 기술을 실제로, 직접 실행해봤다는 사실은 정규 교육이나 특수 훈련 수료 여부, 자격증 여부를 가볍게, 그리고 큰 폭으로 따돌리는 것으로 나타났다.
5. 대인관계 능력
데브섹옵스(DevSecOps)가 기업의 협업을 장려하게 되면서, 직위의 높고 낮음과 무관하게 모든 보안 인력이 IT를 포함한 타 부서의 사람들과 잘 어울릴 수 있도록 요구되고 있다. 다크리딩의 설문조사에 따르면, IT 전문가 절반 이상이 보안 실무자에게 가장 필요한 능력은 소통할 줄 아는 소프트 스킬(soft skill)을 갖춘 기술자라고 응답했다.
6. 사업적 감각
원칙적으로 보안 전문가들은 기업의 위험을 최대한 감소시키기 위해 내부 컨설턴트로 근무하며, 애플리케이션 경제에서 기업이 경쟁력을 갖도록 디지털 트랜스포메이션을 수행하는 일을 한다. CompTIA의 최신 보고서에 따르면, 디지털 트랜스포메이션에 가장 큰 영향을 끼치는 IT 기술 부족은 사업적인 목표에 맞게 기술을 조정하는 능력이다. 보안 전문가가 컨설턴트 역할을 하게 된다면, 그 기업만의 고유한 사업 문제와 사업 원칙 등을 모두 이해할 필요가 있다.
이렇듯 IT의 각종 분야에서 ‘사람 구하기’가 어렵기 때문에 나타나는 현상은 자동화 및 인공지능 기술의 실험적인 도입과 발전이다. 그러면서 사람을 돕거나, 사람이 다 할 수 없는 일을 인공지능이 대신할 수 있다는 걸 넘어 사람을 대체할 수 있다는 가능성도 제기되고 있다. 다음은 정보 및 IT 매체인 인포메이션위크가 꼽은 ‘인공지능이 대체할 수 있는 열 가지 직군’이다.
1. 헬프데스크
페이스북, 마이크로소프트, IBM, 아마존 등은 고객들의 문의에 대응해주는 챗봇을 이미 갖추고 있다. 챗봇은 고객들과 직접 대화를 진행한다. 간단한 문제는 직접 해결해주며, 사람인줄로만 알았다는 고객들의 반응도 간간히 나온다. 이에 많은 기업들이 간단한 고객 응대를 해주는 기능을 보유한 챗봇 서비스 도입을 연구 중에 있다. 챗봇이 컴플레인이나 문의 사항을 해결해준다는 것에 대해 사람들의 거부감도 덜하다. 한 설문 조사에서 ‘사람이 답해줬으면 좋겠다’고 답한 이는 57%였는데, 40% 정도는 ‘도움만 제대로 받을 수 있다면 누가 답하든 상관없다’고 답한 것이다. 현재 챗봇들은 머신 러닝을 기반으로 제작되어 있어, 시간이 갈수록 더 나은 대응을 할 것으로 예상된다.
2. 시스템 관리자
시스템 관리자 혹은 시스어드민(sysadmin)은 조직 내 서버 및 주요 컴퓨터들을 설치하고 환경설정하고, 모니터링 및 관리, 유지보수를 담당한다. 그런데 최근 데브옵스가 유행처럼 번지기 시작하면서 자동화 기술이 빠르게 도입되고 있는데, 특히나 시스템 관리 분야가 자동화를 활발하게 받아들이고 있다. 환경설정이나 모니터링, 관리, 소프트웨어 업데이트 등은 반복적이고 기계적인 일들을 상당히 포함하고 있기 때문이다. 여기에도 머신 러닝과 같은 기술들이 적용되기 시작하면서 잘못된 경보도 점점 줄어들고 있다. 시스템 관리자는 완전히 대체되기보다 인공지능 기술과 결합하여 크게 변모할 것으로 보인다.
3. 네트워크 관리자
시스템 관리자와 비슷한데, 그 대상이 서버나 컴퓨터가 아니라 네트워크 전체다. 이들은 기업의 네트워크가 항상 온라인 상태를 유지하게끔 해주며, 이 네트워크로부터 고객 서비스가 멈추지 않고 발생하고, 사내 워크 플로우 및 데이터 흐름이 항상 유지되도록 한다. 시스템 관리자와 마찬가지로 각종 네트워크 장비의 업데이트나 환경설정을 책임지고 있으며 이는 단순 반복적인 작업을 포함하고 있다.
전문가들은 디지털 변혁을 진정으로 꽤하려면 네트워크 기능에 인공지능이 반드시 도입되어야 한다고 말한다. 개발, 혁신, 워크 프로세스의 흐름에 네트워크가 맞추려면 자동화가 담당해야 할 부분이 상당히 많을 것으로 보인다.
4. 스토리지 관리자
스토리지 관리자는 HDD나 SDD, 테입 등 각종 스토리지 관련 하드웨어와 소프트웨어를 매일 관리하고 모니터링하는 역할을 하고 있다. 데이터 백업이 스케줄대로 이뤄지고 있으며, 백업되는 데이터의 무결성도 확인해야 한다. 하드웨어 기능에도 이상이 없도록 하고, 저장 공간이 부족하지는 않나, 섹터에 불량이 발생하지는 않나도 미리미리 파악해야 한다. 기업이나 부서의 성장에 따라 민감하고 현명하게 대처를 해야 할 책임을 가지고 있다.
그런데 스토리지 전문가들은 최근부터 자신들의 하는 일들 중 상당 수가 자동화로 처리될 수 있다는 걸 발견했다. 데이터 저장 공간이 갈수록 커지고, 데이터의 양 자체가 엄청나게 늘어나면서 인공지능의 도움이 반드시 필요하게 되기도 했다. 특히 환경설정 확인, 데이터 고결성 확인, 스토리지 및 백업 프로세스의 최적화, 데이터 관리, 하드웨어 고장의 예측 등에서는 인간보다 더 나은 성과를 보이고도 있다.
5. QA 및 실험관련 직무
어느 기업이나 애플리케이션을 개발한 후에는 내부 혹은 외부적인 실험을 거쳐 실제 환경에서의 사용성을 확인한 후 시장에 내놓기 마련이다. 이를 품질 관리나 품질 확인 등으로 부르기도 하는데, 이 실험 과정 역시 대부분 자동화 기술로 대체가 가능하다. 인포시스(Infosys)와 같은 기업은 이미 자동 QA 솔루션을 도입해 이 과정을 크게 단축시키고 있다. 이 직군의 경우 인공지능의 완전한 대체가 아니라 인간과의 조합으로 크게 발전할 것이 예상된다.
6. 프로젝트 관리자
프로젝트를 관리한다는 게 얼마나 복잡한 일인지 경험해본 사람은 프로젝트 관리자를 인공지능이 대체할 수 있다는 것에 의아할 것이다. 물론 프로젝트 관리를 완전히 기계가 다 할 수는 없을 것으로 보인다. 프로젝트 관리라는 임무 아래 사람들이 하는 일은 다 다르지만 1) 데이터를 모으고, 2) 누가 어떤 일을 얼마큼 진행했는지 확인하고 3) 어느 부분에서 문제가 발생하고 있는지 확인하고, 4) 개선시키고, 5) 어느 정도 시간이 걸릴지 예상하고 이를 정해진 마감 시간과 맞추는 것이 기본 골자가 된다. 이런 일들을 머신 러닝 툴들로 하면 인간 프로젝트 관리자가 보다 더 창의적이고 판단력이 필요한 일에 집중할 수 있게 될 것으로 보인다. 실제로 이런 부분에서 프로젝트 관리자들을 도와줄 수 있는 솔루션들은 이미 시장에 존재한다.
7. 데이터 분석가
빅 데이터는 이미 미국의 여러 기업들 사이에서 실험되고 있으며 실제로 활용되고 있는 중이다. 데이터 과학자의 수요가 갈수록 높아지고 있으며, 그래서 현재 데이터 과학자의 몸값이 가파르게 상승 중이라는 것이 이를 증명한다. 그러나 인간 데이터 과학자를 교육을 통해 길러내는 데에는 긴 시간이 걸리기 때문에 여기에 인공지능이 도입되고 있으며, 꽤나 괜찮은 성적을 거두고 있기도 하다. 데이터 분석 인공지능이 아직 사람에 미치지는 못하지만, 사람과 결합했을 때 퍼포먼스가 크게 올라간 실험 결과는 여럿 존재한다.
8. 데이터베이스 관리자
데이터베이스 관리자는 데이터베이스와 관련된 구축, 환경설정, 최적화, 모니터링, 관리, 유지보수를 담당하는 사람으로, 이 역시 기계의 도움을 충분히 받을 만한 분야다. 특히 모니터링과 환경설정, 고장 예상, 이상 현상에 대한 보고 등은 인공지능이 굉장히 정확하게 해내고 있다. 그러나 아직 시장에 이 분야의 솔루션은 등장하지 않고 있다.
9. 보안 관리자
보안 관리자 및 담당자의 가장 큰 고민은 ‘새로운 공격’에 대처하는 것이다. 이미 알려진 위협들은 대처할 수 있지만 제로데이 취약점에 대한 공격 등 지난 사례가 없는 공격의 경우 보안 솔루션들은 대부분 무용지물이 된다. 이에 인공지능 기능을 통해 예측하는 방법이 도입되고 있다. 알려진 공격법 등에 대해서도 인공지능 및 자동화의 역할은 상당할 것으로 보이는데, 시스템이나 앱 등이 워낙 방대해지고 있어 사람이 수작업을 통해 업데이트하고 관리하는 것이 쉽지 않기 때문이다.
10. 소프트웨어 개발자
데이터 과학자들도 그렇지만 소프트웨어 개발자에 대한 수요도 매우 높아지고 있다. 4차 산업혁명이라고 하는 것의 본질이 소프트웨어 혁명이기 때문이다. 모든 것이 소프트웨어의 힘으로 가동되고 있으며 기존 하드웨어 제조사가 차지하던 시장을 소프트웨어 개발사가 조금씩 차지해가고 있는 실정이다. 그래서 누구나 코딩을 하지 않더라도 애플리케이션을 만들 수 있도록 하는 툴들도 나오고 있고, 인공지능이 코딩을 하도록 훈련시키는 실험도 진행되고 있다. 인공지능이 코딩을 할 줄 알게 되었을 때는 소프트웨어 개발이라는 직군에 큰 변화가 올 것으로 예상된다.
[국제부 문가용 기자(globoan@boannews.com)]
[국제부 오다인 기자(boan2@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
.jpg)
 TH.jpg)
 th.jpg)
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.JPG){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
.jpg){kind=small}
