“AI 맹신 말고 조별과제 조장 맡아라”... 아주대 달군 보안 선배들의 ‘진짜’ 조언

‘SDU COSS x OWASP 사이버 직무 멘토링’
곽진 아주대 교수, 네이버·크리밋·화이트햇스쿨 등 실무자 5인 패널 토크

[보안뉴스 조재호 기자] 13일 저녁 6시 30분, 모두가 하교를 서두르는 늦은 시간임에도 아주대학교 성호관 135호는 현업 진출을 꿈꾸는 예비 보안인들로 발 디딜 틈 없이 붐볐다. 일방적 발표 중심의 기술 세미나가 아닌, 실무자와 학생들이 밑바닥부터 묻고 답하는 ‘아주대학교 SDU COSS x OWASP 서울 챕터 사이버 직무 멘토링’ 행사 현장이다.

아주대학교 SDU COSS x OWASP 서울 챕터 사이버 직무 멘토링 주요 참석자들이 기념 촬영을 하고 있다. [출처: 보안뉴스]

곽진 아주대학교 사이버보안학과 교수는 “오늘은 지루한 이론이 아니라 현업자들과 직접 부딪히며 소통하는 자리”라며 분위기를 이끌었다. 단상엔 공지훈 라포랩스 컴플라이언스 엔지니어, 권혁주 화이트햇 멘토, 김동현 크리밋 대표, 박정환 네이버 보안 엔지니어, 홍성진 센드버드 제품보안 엔지니어 등 IT 기업 보안 실무진 5인이 자리해 학생들의 날카로운 질문에 화답했다.

AI 시대 버그바운티, “만능 열쇠인가, 방어자의 짐인가”
가장 큰 화두는 AI였다. “인공지능 시대에 해킹 방어 대회(CTF)나 버그바운티 경험이 여전히 유효한가”라는 질문에 현업의 생생한 고충과 조언이 쏟아졌다.

권혁주 화이트햇스쿨 멘토는 “AI가 발달하며 CTF의 의미가 퇴색한다는 시각도 있지만, 문제를 직접 풀어가며 얻어내는 출제자의 의도와 기술적 지식은 결코 대체될 수 없다”며 “AI에 분석을 대신 시키는 것이 아니라, 자신의 분석 성능을 극대화하는 보조 도구로 튜닝하는 방법을 익혀야 한다”고 강조했다.

방어자 입장에서 느끼는 적나라한 피로감도 제기됐다. 박정환 보안 엔지니어는 “최근 AI를 이용해 그럴싸하게 작성된 버그바운티 취약점 리포트가 3배 가까이 폭증했지만, 실제로 유효한 수치는 30% 수준으로 곤두박질쳤다”고 토로했다. 코드를 직접 이해하고 재연(PoC)해 보지도 않은 채 무작정 AI가 찾아낸 오류를 맹신해 제보하는 행태가 오히려 보안 담당자 업무 부하를 가중시키고 있다는 지적이다.

해양 사이버보안 재발견과 컴플라이언스 엔지니어링
이날 현장에서는 포털이나 금융권 외에도 선박 회사 등 흔히 ‘마이너’하다고 여겨지는 분야에 대한 진로 고민도 이어졌다. 곽진 교수는 “선박이나 항만 보안은 절대 마이너한 분야가 아니다”며 “몇백억원짜리 크레인을 움직이는 등 그 경제적 규모와 파급력이 일반 IT 부서의 100배 이상이 될 수 있다”고 조언했다.

김동현 크리밋 대표 역시 “과거 선박 모의해킹 프로젝트를 수행해 본 결과, 항만 분야는 글로벌 표준과 컴플라이언스가 이미 훌륭하게 정립돼 있어 기본기를 갖췄다면 무궁무진한 기회가 열려 있는 거대한 시장”이라고 말했다.

정책 수립을 넘어 이를 시스템으로 자동화하는 ‘컴플라이언스 엔지니어링’의 중요성도 조명됐다. 공지훈 라포랩스 엔지니어는 “법전과 서류에만 존재하는 비현실적 정책은 현업 개발자들과 마찰만 일으킨다”며 “법과 규제를 명확히 이해한 바탕 위에서, 신규 입사자 보안 교육이나 권한 검증 절차를 어떻게 사내 시스템으로 자동화할지 치열하게 고민하는 인내의 시간이 필요하다”고 말했다. 융합형 인재가 필요한 이유다.

“조기 졸업 후회... 조별과제 조장 맡아라” 뼈 때리는 조언 쏟아져
행사 후반부, “학부생으로 돌아간다면 무엇을 하고 싶은가”라는 곽진 교수의 돌발 질문에 딱딱한 보안 지식을 넘어 선배들의 진심 어린 인생 조언이 이어졌다.

홍성진 센드버드 제품보안 엔지니어는 “계절학기를 풀로 들으며 학교 도서관과 연구실에만 갇혀 있던 것이 너무 후회된다”며 “글로벌 IT 환경에서 제품 보안을 다루려면 다양한 문화를 접해야 하는데, 학교가 제공하는 해외 연수나 교환학생 같은 무료 인프라를 적극적으로 누리고 연애도 많이 하라”고 조언했다.

김동현 대표는 “정해진 답을 찾아 혼자 공부하다보면 타인과 협력하는 부분에서 소홀해질 수 있다”며 “전공 수업에서 피하지 말고 조별과제 조장도 맡아보고, 친구들과 부딪히며 정답이 없는 문제를 해결해 나가는 협업 능력을 길러야 실무에서도 살아남을 수 있다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)