보안은 역동적이라 늘 배우고 학습해야 하지만, 비용 너무 높아
무료 혹은 낮은 비용의 수준 높은 교육 과정을 찾아보다

[보안뉴스 문가용 기자] 많은 백신이나 솔루션이 무료로 주어지는 게 보통이지만, 사이버 보안은 무료로 되지 않는다. 특히 능숙한 사이버 범죄자들을 상대로 나의 시스템과 장비와 데이터와 네트워크를 잘 보호하기 위한 교육은 거의 반드시 비용을 지불해야 한다. 기초 교육은 그렇다 치더라도, 이미 어느 정도 배운 사람이 더 높은 경지에 도달하기 위해 받는 교육이라면 가격이 결코 낮지 않다.


[이미지 = iclickart]

이 비용은 작은 규모의 조직에서는 감당하기 힘든 액수일 수 있다. 그렇다면 스킬업이 필수인 보안 전문가의 교육 문제를 어떻게 해결해야 할까? 그냥 자기 계발이라는 만능 단어를 써서 개인의 문제로 전환하면 되는 걸까? 그래서 이번 주 본지에서는 무료 혹은 그에 준하는 낮은 가격에 보안 지식과 스킬을 높일 수 있는 방법들을 모아보았다.

사이브러리(Cybrary)
사이브러리는 많은 기능을 갖춘 사이트다. 그 중에서도 교육과 구인구직이라는 측면에서 두각을 나타낸다. 다양한 분야의 수업들이 저장되어 있으면서도, 보안 업계의 커뮤니티와 잘 연결되어 있다는 뜻이다. 학생과 선생, 구직자와 구인자가 연결되어 있고, 그 사이로 네트워크가 형성된다.

사이브러리에서는 무료 회원 혹은 유료 회원으로 활동이 가능하다. 무료 회원이더라도 상당히 많은 강좌들을 들을 수 있고 온라인 인적 네트워크를 충분히 만들 수 있다. 유료로 전환해 ‘인사이더 프로(Insider Pro)’ 계정을 갖게 되면 사이브러리 라이브(Cybrary Live)를 이용할 수 있게 되는데, 여기에는 온라인 자격증 훈련 코스, 제품 훈련, 경력개발 프로그램을 라이브로 제공된다. 인사이더 프로로 업그레이드 하려면 한 달에 99달러를 내야 하는데, 무료 계정을 충분히 사용해본 후 유료 전환을 권한다

유료 계정에 대한 의견을 레딧 커뮤니티를 통해 알아보면, 구직자들에게 있어서는 나쁘지 않은 옵션이라는 게 대세다. 다만 한 달에 99달러를 낸다고 해서 취직이 보장되는 건 아니다(사이브러리는 석 달 안에 취직이 된다는 광고를 내보내곤 한다).

SANS 사이버 에이시즈(SANS Cyber Aces)
SANS 인스티튜트(SANS Institute)는 널리 인정받고 있는 사이버 보안 자격증을 발행 및 관리하는 조직 중 하나다. 따라서 인증서 관련 시험과 훈련 코스를 제공하는 곳이기도 한데, 당연한 말이지만 이는 무료와 거리가 멀다. SANS 측은 자신들의 높은 가격이 사이버 보안 전문가가 되고 싶어 하는 사람들에게 관문이 될 수 있다는 걸 깨닫고는 무료 온라인 강좌 서비스를 새롭게 만들었는데, 이게 바로 SANS 사이버 에이시즈다.

SANS에 의하면 사이버 보안 전문가들은 세 가지 측면에서 시급히 양육되어야 한다고 한다. “국가의 안보를 위해서, 과학, 기술, 공학, 수학(STEM) 교육의 증진과 활성화를 위해서, 질 높은 직업의 확장과 안정된 고용률을 위해서”다. 사이버 에이시즈는 이 세 가지 관점으로 사이버 보안 교육에 접근하는 사람들을 위해 만들어진 서비스이기도 하다.

하지만 사이버 보안을 처음 시작하는 사람들을 위한 것이라기보다는, IT 분야 전문가들을 위한 서비스다. IT에 대한 기본 지식이 어느 정도 필요하다는 뜻이다. 또한 어느 정도 수준을 높여가며 코스를 따라가다보면 SANS가 제공하는 유료 자격증과 유료 강좌들과도 연결이 된다. 그래서 “결국 자격증 사업을 활성화시키기 위한 서비스”라는 비판도 있다. 하지만 그게 사실이라고 해도 사이버 에이시즈의 강좌 질이나 완성도가 낮은 건 절대 아니라는 게 업계의 평가다. IT 분야에 있다가 보안에 관심을 가져보려는 사람이 사용해보기에는 손색이 없다.

ICS-CERT
미국의 국토안보부는 미국 내 기업들과 조직들에 충분히 훈련된 보안 전문가들을 배치시키는 데에 노력을 기울이고 있다. 이 목표를 달성하기 위해 이들은 교육에 투자를 하고 있고, 특히 보안 분야의 온라인 강좌를 개설하는 데에 자원을 집중시키고 있는 상황이다. 그래서 시작된 것이 ‘사이버 보안 경력 및 연구를 위한 전 국가적 이니셔티브(National Initiative for Cybersecurity Careers and Studies)’다. 줄여서 NICCS라고 한다.

NICCS에는 무려 3천 개가 넘는 온라인 강좌들이 마련되어 있다. 정부와 국가 보안의 광범위한 개념을 설명한 것에서부터, 특정한 경우에 있어서의 보안 운영의 세부 사항까지 다뤄진다. 구글에서 NICCS를 검색하면 쉽게 접할 수 있다.

한편 산업 통제라는 측면에서 사이버 보안에 관심이 있다면 방문해야 할 포털이 하나 더 있다. 바로 ICS-CERT-VLP로, 산업 통제 보안과 관련된 훈련 기회를 제공해주는 가상 학습 포털이다. 특히 사회 주요 기반 시설에 초점이 맞춰져 있다. 총 11개의 모듈로 구성되어 있는데, 모두 무료이며 수료증도 주어진다. 물론 각 모듈마다 주어지는 과제를 완료하고 시험을 통과해야만 한다.

에드엑스(ED-X)
온라인 교육 플랫폼인 에드엑스는 사이버 보안만이 아니라 여러 가지 분야의 강좌를 제공한다. 그런데도 이 목록에 에드엑스가 올라온 건 사이버 보안 분야 강좌가 최고 수준이기 때문이다. 에드엑스가 자체 제작한 콘텐츠도 있지만 세계적으로 손꼽히는 기관들에서 만들어진 강좌들이기 때문에 질은 물론이요 주제도 실용적이다. 위협 탐지에 대한 전반적인 내용에서부터 세부적인 니즈를 위한 블록체인 기술 적용까지 다뤄진다. 대학교 수준의 강좌들도 있다.

에드엑스의 강좌들은 크게 두 가지로 나뉜다. 하나는 MOOC이라고 하는데, ‘대규모 온라인 무료 강좌’의 준말로, 에드엑스에서 정한 강좌 시작일과 종료일이 존재하며 강사, 과제, 시험 등 전형적인 ‘학급 수업’의 모든 요소들을 가지고 있다. 또 다른 건 맞춤형 수업으로 수업 신청자가 자신의 학습 속도와 스케줄에 맞춰 수업 코스를 설정하는 유형이다. 무료 혹은 높지 않은 가격으로 수업이 진행되며, 일부 코스를 마치면 자격증이나 수료증이 주어지기도 한다.

MOOC
대규모 온라인 무료 강좌라는 뜻의 MOOC은 원래 일부 대학 기관들이 개발한 것으로, “대학 수업료가 너무 높아지고 있다”는 사회적 우려를 불식시키기 위해 시작됐다. 그러므로 MOOC에서 제공되는 강좌들은 대부분 대학 교수나 그에 준하는 전문가들이 진행하며, 심지어 실제 대학 수업과 똑같은 내용이 등록되기도 한다.

MOOC은 한 개의 사이트에서 제공된다기보다, 여러 온라인 교육 시스템들을 통해 전달된다. 일목요연하게 보고 싶다면 사이버디그리즈(CyberDegrees)라는 사이트를 방문해 강좌 목록을 참조하면 된다. 대형 교육 기관이나 사기업, 공공 기관, 비영리 단체, 영리 단체 등 다양한 곳에서 나름의 콘텐츠를 제공하지만 큰 틀에서 MOOC이 정한 원칙을 따른다. 과정을 수료하고, 그에 대한 인증 서류를 받으려면 돈을 지불해야 한다.

오픈시큐리티트레이닝(OpenSecurityTraining)
내부 팀원들을 교육시키고 싶다면, 그것도 DIY 프로젝트처럼 접근하고 싶다면, 그래서 특정 강사의 강좌 자체보다는 교재와 각종 수업 재료를 가지고 자신이 직접 교육 프로그램을 꾸리고 싶다면 오픈시큐리티트레이닝을 권장한다. 오픈시큐리티트레이닝은 “컴퓨터 보안 교육 재료를 공유함으로써 누구나 최소 하루짜리 교육 프로그램을 스스로 기획하고 진행할 수 있게 하는 서비스”이기 때문이다.

여기서 제공되는 교육 자료는 초급, 중급, 고급으로 나눠져 있으며, 암호화부터 멀웨어 리버스 엔지니어링까지 광범위한 주제가 다뤄진다. 오픈시큐리티트레이닝에서 제공되는 콘텐츠들은 전부 크리에이티브 커먼즈(Creative Commons) 라이선스를 통해 제공된다. 크리에이티브 커먼즈는 저작권자 허락 없이도 저작물을 이용하자는 운동이다. 즉 오픈시큐리티트레이닝에서 제공되는 것들은 무료로 제공된다는 것이다.

또 하나 기억할 만한 점은 오픈시큐리티트레이닝의 교육 철학은 사람 대 사람, 즉 전통적인 ‘대면 교육’에 기초하고 있다는 것이다. 교사와 학생이 소수 단위로 직접 만나고, 가르치고, 연습하게 하는 교육 환경에 적합하다는 뜻이다.

비사이즈(BSides)
사이버 보안은 굉장히 역동적인 분야라 ‘온라인 학습’과 잘 맞지 않다는 분석도 존재한다. 그렇게 주장하는 사람들은 “사이버 보안을 진정으로 익히려면 산업 내 동료들과(심지어 경쟁자들도) 꾸준히 소통하고, 현장에서 뛰고 있는 선후배들로부터 정보를 계속해서 입수해야 한다고 말한다. 즉 인간 대 인간의 교류가 필요하다는 건데, 그러려면 여행 경비와 숙박비가 들어간다. 비사이즈는 이런 비용 없이 인적 교류를 가능케 해주는 서비스로, 세계 여러 곳에서 열리는 사이버 행사에 직접 참여하는 것과 비슷한 경험을 제공해준다.

원래는 유명 행사의 기조 연설이나 각종 강좌들을 녹화해서 제공해주거나, 블랙햇과 같은 행사에 자리가 없어 나오지 못한 아까운 강연을 제공하는 서비스였는데, 지금은 비사이즈가 직접 주관하는 행사가 세계 곳곳에서 열린다. 위 설명처럼 ‘인적 교류가 보안 교육의 핵심’이라는 주장과 맞닿아 있는 조직이므로, 보안 업계 내 전문가들의 교류에 많은 초점을 맞추고 있다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>