5년 이상 사회 경험 있어야 취득 가능...아니면 어소시에이트까지만
현재 가장 많은 고용주가 찾는 자격증...개념 정리에도 큰 도움

[보안뉴스 문가용 기자] 보안 전문가가 되고자 하는 사람들로부터 자주 듣는 질문 가운데 CISSP 시험에 대한 것이 있다. CISSP 시험을 볼 필요가 있느냐, CISSP 자격증을 가졌을 때의 장점은 무엇이냐, 와 같은 것이다. 필자는 CISSP 과정을 지난 3년간 지도해온 사람으로서, 이런 질문에 대한 답변을 꽤나 많이 가지고 있다. 하지만 묻는 사람과 상황이 전부 다르기 때문에 CISSP가 최고라는 답을 일괄적으로 할 수 없다. 그래서 늘 이렇게 말을 한다. “그건 상황에 따라 다르지...” 그 상황이란 무엇일까? 그 이야기를 조금 풀어보려고 한다.


[이미지 = iclickart]

사이버 보안 분야에서 첫 직장을 찾으려는 사람들이 궁금해하는 건 CISSP가 고용주의 마음을 변화시킬 수 있을 정도로 강력한 힘을 가지고 있느냐, 이다. IT나 정보보호 분야에서 일정 기간 근무해본 경험이 있는 사람들이라면, 고용 여부를 결정짓는 문제에서라기보다 직무를 변환하는 데에 있어서 반드시 필요한 계기나 최소한의 자격이라고 여긴다. 때로는 경제 침체기를 대비해 따 두면 좋은 자격증으로 보는 사람도 있고, 직장 내에서 보안 전문가로서 활동해야 할 필요가 갑자기 생긴 사람이 CISSP를 노리기도 한다.

일단 이제 막 첫 직장을 잡으려는 사람들에게는 이 말을 먼저 해준다. CISSP 자격증을 따려면 현장에서의 경험이 최소 5년 필요하다고 말이다. 그게 아니라면 관련 학과 대학 졸업증과 4년의 현장 경험으로 대체할 수 있다. 이런 엄격한 기본기를 요구하고 있기 때문에 CISSP 자격증이 신뢰를 받고 있기도 하다. 이런 자격 요건을 갖추지 못하더라도 시험은 치룰 수 있다. 다만 CISSP 어소시에이트(CISSP Associates)의 자격만을 갖게 된다. 또 하나 강조하는 건, 자격증(정식 CISSP와 어소시에이트 모두)의 업그레이드 문제다. 보안은 역동적으로 변하는 분야이기 때문에 자격증 소유자들은 계속해서 학습해서 자격증을 최신화시켜야 할 의무를 가지고 있다. 그게 아니라면 CISSP는 취소된다.

많은 사람들에게 CISSP를 설명하다보면, 이 자격증의 긴 역사에 놀라는 사람을 적잖게 보게 된다. 이 자격증을 주관하는 단체인 (ISC)2는 1994년에 창립되었으며, 현재 전 세계 CISSP 보유자는 12만 9천여명 정도 된다고 한다. 사실상 보안 업계에서는 전 세계 표준 자격증처럼 받아들여지고 있으며, ANSI, ISO/IEC, 미국 국방부, NSA 등 대형 조직들의 인정을 받고 있다. 인정을 받고 있다는 건, 이런 조직들에 취업하고 싶다면 일부 직무의 경우 CISSP가 필수라는 뜻이다. 미국 외 다른 나라에도 이런 경우가 많다.

작년 8월 사이버 보안 전문가 부족 문제와 취업 문제를 해결하기 위해 NIST는 NICE라는 사이버 보안 인력 프레임워크를 발표한 바 있다. 사이버 보안 교육을 위한 국가 이니셔티브(National Initiative for Cybersecurity Education)의 준말로, 사이버 보안 분야에서의 전문성과 역할에 따른 책임과 지식, 기술 등이 무엇인지를 표준화한 것이었다. 그 중에는 권장되는 인증서 및 자격증에 대한 것도 나와 있다. 보안 분야 내 A라는 전문가가 되기 위해서 어떤 자격증이 권장되며, 자격을 갖췄을 경우 어떤 기술과 책임을 갖게 되는지가 이 프레임워크 안에 정리되어 있는 것인데, 당연히 CISSP도 자주 언급된다. 표준이라는 것은 현황을 간략히 정리한 것이므로, 앞으로 더 많은 조직들이 보안 전문가를 뽑을 때 이 프레임워크를 참고할 것으로 보인다.

그렇게 된다면 교육 분야에서는 어떤 변화가 있을까? 기업과 기관들이 이 프레임워크에 따라 사람을 찾기 시작하면, 교육 분야의 커리큘럼과 각종 코스들도 이 프레임워크에 맞출 수밖에 없게 된다. 심지어 보다 진보적인 교육 기관들에서는 이 프레임워크를 사용해 코스 개발을 마쳤다고도 한다. 그렇다는 건 20년이 넘는 역사를 가진, 오래된 자격증인 CISSP가 여전히 공부할 만하다는 결론을 내리는 게 어렵지 않다는 뜻이 된다.

사이버시크(CyberSeek)라는 웹사이트
위에서 말한 NICE 프레임워크를 응용한 것 중 사이버시크 프로젝트라는 것이 있다. 웹사이트로, 현재 미국 내 사이버 보안 인력과 관련된 여러 가지 통계 자료가 한 눈에 보기 좋게 나온다. 가장 재미있는 기능 중 하나는 사이버 보안 인력의 수요와 공급 현황을 지도로 나타내는 것으로, NICE 프레임워크를 기준으로 자격증별 공석 수와 취업률 정보가 나오기도 한다. CISSP를 입력해보면 그에 대한 수요와 공급 현황을 볼 수 있다는 것이다. 미국 내의 이야기이긴 하지만 CISSP를 고민하고 있다면 사이버시크를 한 번쯤 방문해보라고 권하고 싶다. 사이버시크를 기준으로 현재 CISSP는 보안 인력을 필요로 하는 고용주들이 가장 많이 원하는 자격증이다.

개인적인 이야기를 덧붙이자면, 나는 15년 동안 IT 분야에서 활동하다가 사이버 보안에 집중하고자 마음을 먹었다. 그게 2010년의 일이었다. 잘 할 수 있을 거 같았는데, 실제 보안 전문가로서 활동하려고 하다보니 갑자기 용어들이 헷갈리기 시작했다. 명확한 줄 알았던 개념도 흐리멍텅하게 알고 있는 것들이 많았다. 그렇다고 다시 IT로 돌아가기에는 너무 늦은 상황이었다. 그 때마다 유행하는 기술이나 개념, 광고 문구 가득 섞인 설명문은 전혀 도움이 되지 않았다. 그래서 가장 객관적인 자료를 찾다가 CISSP 자격증을 발견하고 공부했다. 그러면서 어지러웠던(아니, 어설펐던) 지식들이 하나로 뭉치기 시작했다. 이런 경험 때문에 보안 전문가로 이직을 하려는 베테랑들에게 한 번쯤 CISSP에 도전해보라고 권한다.

글 : 스티븐 폴 로메로(Steven Paul Romero), SANS Institute

3줄 요약
1. CISSP, 20년 넘은 오래된 자격증이지만 여전히 유효함.
2. NIST의 직업/역할군 프레임워크 참조하면 미래 보안 교육의 청사진 그릴 수 있음.
3. IT 경력자라면 개념 정리 차원에서도 CISSP가 유용.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>