IT 기술과 프로그래밍, 소프트웨어 개발 등을 전공하지 않아도 보안 전문가 가능
사이버 보안은 사람을 총체적으로 이해해야만 하는 분야...IT 기술 분야라고 보는 건 낡은 생각

[보안뉴스 문가용 기자] 현 시점 전 세계를 통틀어 모자라는 보안 전문 인력은 400만 명 정도라고 한다. 하지만 대학 졸업생들 중 현장에 투입될 만한 사람은 여기에 한참 못 미친다고 한다. 이런 현상이 반복되면 지금의 400만은 금방 800만, 1000만으로 늘어날 것이다. 그래서 ‘사이버 보안’ 혹은 ‘정보 보안’이라는 학과 외에 다른 전공자들도 보안 업계로 초대하는 분위기가 형성되고 있다.


[이미지 = iclickart]

세계적인 보안 교육 전문 기관인 (ISC)2의 COO, 웨슬리 심슨(Wesley Simpson)은 “실제로 사이보 보안 전문가들의 58%가 전혀 다른 분야 출신”이라고 말한다. “지금은 인재 채용의 그물을 넓게 던져야 할 때입니다. 보안이라는 분야 자체도 보다 다양한 사람들을 필요로 하고요.” 그러면서 심슨은 “인문과 예술 분야가 도움이 된다”고 제안한다. “사이버 보안 쪽에서 늘 나오는 문제가 무엇인가요? 경영진의 투자나 인력 등 제대로 된 투자와 지원을 받지 못한다는 것이죠. 그건 보안에 대한 이야기를 제대로 전달하지 못한다는 뜻입니다. IT 등 기술만 공부한 사람들이 흔히 보이는 약점이기도 하죠.”

심슨은 “이야기를 설득력 있게 구성하고 효과적으로 전달하는 건 인문과 예술 계통에 있는 사람들의 장기”라고 짚는다. “지금 보안 업계에 필요한 건 이런 이야기꾼들이에요. 이야기를 통해 사람의 이목을 집중시키고, 필요한 투자를 유치해야 합니다.”

보안 업체 디지털 셰도우즈(Digital Shadows)의 전략 및 분석 책임자인 해리슨 반 라이퍼(Harrison Van Riper)는 “다른 분야의 전공자들이 가진 또 다른 장점은 보안 업계에 찌들지 않은 새로운 시각과 의견을 제시할 수 있다는 것”이라고 말한다. “이런 신선한 시각과 사고방식은 비전문가나 비전공자의 공감을 이끌어내는 데 필수적입니다. 악성 행위자들을 추적하든지, 사건 대응을 진행하든지, 여러 가지 시각과 해석을 종합할 수 있다는 것도 큰 도움이 됩니다.”

본지는 이번 주 주말판을 통해 정보 보안 외 잠재적 보안인들이 모여 있을 만한 전공 분야가 무엇인지 알아보았다. 현업에 있는 보안 전문가들이 다양한 의견을 나눠주셨다.

1. 수학
보안 업체 셰어드 어세스먼츠(Shared Assessments)의 CEO인 캐서린 앨런(Catherine Allen)은 보안 업계에 진출하는 데 있어 수학 전공이 도움이 된다고 말한다. “현재 보안에서 필요로 하는 건 ‘종합적인 문제 해결’ 능력, 보안 비전공자들과도 소통할 수 있는 능력, 위험에 대해 사람들에게 알릴 능력, 대처법을 사람들에게 가르쳐줄 수 있는 능력이기 때문입니다.”

보안 업체 시퀀스 시큐리티(Cequence Security)의 상주 해커인 제이슨 켄트(Jason Kent) 역시 수학 전공자들을 높이 산다고 말한다. “수학 전공자들은 비판적 사고 능력이 뛰어납니다. 거기다가 한 사물이나 현상에 대해 여러 가지 시각을 아우를 수도 있고요. 그렇기 때문에 보안 업계로 들어왔을 때 큰 장점을 가질 수 있습니다. 이런 사람들은 물건이나 서비스의 작동 원리에 대해 파악한 후, 그것 그대로 사용하려는 경향을 보이기도 합니다. 그게 보편적인 방법이 아니더라도 말입니다.”

그러면서 둘은 “기술은 가르치고 배우는 게 가능하지만, 이런 사고 능력과 경향은 현장에서 가르치기가 힘들다”고 말한다. “수학을 통해 이런 능력이 미리부터 배양된 사람은 보안 업계에서도 꽤나 유리한 고지를 점할 수 있습니다.”

2. 경영/사업
보안 업체 인텔리젠카(Inteligenca)의 CEO인 카르멘 마시(Carmen Marsh)는 “현장에서 경험한 바로는 경영 전공자들이 꽤나 훌륭한 모습을 보여줄 때가 많았다”고 말한다. “특히 여러 현상을 사업적 관점에서 분석할 때나, 프로젝트를 관리하는 측면에 있어서 놀라운 사람들이 많았습니다. 계획성 있게 움직이고, 전략적으로 사고하는 것에 익숙하기에 가능한 일입니다.”

마시는 “어떤 분야에서 어떤 직업을 갖는다고 하더라도 분석적이고 전략적인 사고방식과 접근법은 반드시 필요한 것”이라고 강조한다. “사이버 보안 분야에서도 이러한 특성이 필요한 건 마찬가지입니다. 기술적으로 심도 있게 분석하고 파고들 수 있는 사람들만이 이 분야를 구성하는 건 아닙니다. 보다 큰 틀에서 조직을 바라보고, 그 틀 안에서 보안을 생각할 수 있는 시각도 반드시 필요합니다.”

반 라이퍼의 경우 사이버 보안과 순수 경영학이 서로 겹치는 부분이 있다고 팁을 제공한다. “예를 들어 회계학 전공자와 같은 경우 현장 경험과 추가 학습 등을 통해 비교적 쉽게 IT 감사 팀에서 활동할 수 있습니다. 비즈니스 위험 분석 역시 보안에 적용 가능한 분야입니다. 사실 정보 보안 업계가 사업 분석의 중요성을 깨달은 건 얼마 되지 않았거든요. 이런 인재들은 현재 ‘꼭 필요한’ 사람들이라고도 볼 수 있습니다.”

3. 심리학
피츠버그대학에서 사이버 법, 정책, 보안을 연구하고 있는 커스텐 토트(Kiersten E. Todt)에 의하면 “앞으로 심리학은 사이버 보안 전공자들의 필수 과목이 될 가능성이 높다”고 한다. “사이버 보안 사건이나 해킹 공격 모두 사람에 대한 깊은 이해를 바탕으로 해야 수사와 분석이 의미를 갖습니다. 실제로 현재 보안 전문가라고 하는 사람들 중에 심리학 공부를 시작한 사람들도 적지 않습니다. 뛰어난 IT 기술을 사용하긴 하지만 공격자들도 결국 사람이라는 것이죠.”

심지어 데이터 분석과 활용에도 심리학 지식이 도움이 된다. “사이버 보안 전문가로서 통계 자료를 열람하거나 생성하고, 분석을 이행할 때 사회 과학적 지식이 큰 역할을 할 때가 많습니다. 사이버 공간에도 사회 현상과 국제 관계 등이 그대로 반영되거든요. 그런 현상이 나타나는 데에는 사람의 심리가 작용하기도 하고요. 그런 배경 지식이 없다면 분석 행위의 효율을 높이기가 어려워집니다.”

켄트 역시 “현대 사이버 보안에서 사람에 대한 이해는 가장 중요한 요소 중 하나”라고 강조한다. “범죄자들의 심리학을 공부하는 것도 일부 보안 전문가들 사이에서 각광받고 있고요. 사이버 공격자들이 최근 소셜 엔지니어링 공격에 몰두하기 시작하면서 심리학은 더더욱 중요한 분야가 되어가고 있습니다.”

4. 사회학
심리학이 시스템에 대한 개개인의 접근법과 경향을 이해하는 데 도움을 준다면, 사회학은 집단이 시스템에 어떻게 다가가고 다루는지를 이해하는 데 도움을 준다. 앨런은 “국제 사업, 마케팅, 조직 행동을 공부했던 것 덕분에 사람들이 어떤 동기로, 어떤 방식으로 행동하려 하는지 보다 깊이 이해할 수 있었다”고 말한다. “이 분야에 머물면서 그런 전공을 했다는 게 감사했던 적이 수없이 많습니다.”

심슨은 “보안 전문가 혹은 담당자가 자신이 속한 조직에 대해서도 더 잘 이해해야 할 필요가 있다”며, “사회학 관련 분야를 전공했을 때 이런 부분에서 장기를 발휘할 수 있다”고 말한다. “여태까지 보안은 보안이 중요하다는 말만 계속 주입시켜왔습니다. 듣는 사람이나 조직의 상황은 상관없이 보안이 중요하다는 가치관만을 계속 주장한 겁니다. 그래서 우리가 배운 건 뭔가요? 보안 업계가 이야기를 만들어내고 사람들과 소통하는 데 큰 약점을 가지고 있다는 것이죠. 소통의 중요성은 아무리 강조해도 지나치지 않습니다. 적어도 지금의 사이버 보안은 말이죠.”

심슨은 “사회학 전공자들을 보안에 적극 초대해야 할 때”라고 강조한다. “설득력이 있어야 합니다. ‘보안이 중요하다’고 외치던 것과 전략을 달리 해야 합니다. 현재 보안에 대한 이미지는 좋지 않아요. 근무 시간 길고, 업무 강도도 높으며, 보람도 높지 않다고들 생각하죠. 이를 바꿔야 합니다. ‘보안은 중요하다’는 메시지는 잘 전파됐어요. 이제는 ‘보안도 일하기 좋아요’의 차례입니다.”

5. 철학
사이버 보안 업계에서 일을 하려는데, 철학 전공도 괜찮다는 건 다소 엉뚱하게 들릴 수 있다. 토트는 “최근 뛰어난 해킹 스킬을 가진 사람들에게 강조되는 것이 윤리라는 것을 기억해야 한다”고 설명한다. “윤리적인 사고나 행동은 철학에 기초합니다. 해킹 스킬을 가진 자가 범죄 산업에 참여하기 시작하면 큰 돈을 만질 수 있습니다. 보안 전문가가 이렇게 타락하는 걸 스스로 막으려면 윤리적 사고가 필요하고, 이는 철학적 배경이 있을 때 가능합니다. 솔직히 저는 모든 코딩 교육 과정에 철학 수업을 가미해야 한다고 생각합니다.”

보안 업체 타이코틱(Thycotic)의 수석 보안 과학자인 조셉 카슨(Joseph Carson)은 “사이버 보안 분야에서 점점 사람에 대한 높은 이해도가 요구되고 있다”며 “사람이 어떤 식으로 생각하고, 그 생각의 뿌리가 어디에 있는지 탐구하는 건 반드시 필요한 일”이라고 강조한다. “사이버 보안이 기술적인 문제를 해결하는 것이라고 보는 건 낡은 생각이죠. 인간에 대해 이해해야 하는 종합적 인문학에 가깝습니다.”

6. 음악
음악 전공자가 사이버 보안 전문가로 탈바꿈할 수 있을까? 의외로 소프트웨어 개발과 음악은 밀접하게 연결되어 있는 분야다. 따라서 음악과 보안 역시 그리 먼 분야가 아니다. 셰어드 어세스먼트의 CISO인 톰 가루바(Tom Garrubba)는 “음악 전공자라면 보안에서도 성공할 가능성이 높다”고 주장한다.

“악보를 잘 읽거나, 귀가 뛰어나거나, 음악 분야에서 훈련함으로써 얻어낸 걸 사이버 보안에 적용할 수 있기 때문입니다. 악보를 잘 읽거나 만드는 사람들이라면, 정해진 규칙과 리듬, 전체적 분위기를 잘 파악하고 그것에 따를 줄 압니다. 귀가 좋은 사람들은 갑작스런 상황에서 즉흥적인 해결책을 내놓는 데에 뛰어난 면모를 보일 수 있고, 고도의 집중력을 보입니다. 재즈와 블루스 장르에서 즉흥 합주를 잘하는 음악가들 보세요. 서로를 집중해 관찰하고, 그것을 바로 자신의 음악으로 해석해내는 건 보안에서 반드시 필요한 능력입니다.”

가루바가 그렇게 말할 수 있는 건, 그 자신이 음악 전공자이기 때문이다. “음악을 공부하며 훈련한 것이 실제로 큰 도움이 되고 있어요. 집중력과 빠른 해결책 마련 능력이라는 측면에서 좋은 훈련을 받은 것 같습니다. 게다가 음악을 공연하면서 청중들의 반응에 귀 기울이고, 그에 맞는 메시지를 찾아내는 순간순간의 경험들이 보안 현장에서도 자신감을 심어줍니다.”
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>