정보보호 우수인력 양성에 가장 필요한 것은?

현업에 필요한 인력과 대학 교육과정의 불일치

인재 양성 위한 구체적 커리큘럼 구성 및 진입장벽 허물어야

[보안뉴스 민세아] 보안 위협에서 시스템만을 공격하는 시대는 끝났다. 이제는 사람이 주 타깃이 되고 있다. 특히 인가된 사용자에 의한 정보유출이 심각해지면서 보안인식 수준을 높여야 한다는 얘기도 끊임없이 나오고 있는 것 중에 하나다.

▲정보보안 인력 양성을 위해 가장 필요한 것은 체계적인 교육과정과 진입장벽 허물기

미국 NIST에서 사이버 보안인력 양성을 위해 개발한 ‘국가 사이버보안 교육 추진 프로그램(NICE)’ 전략은 정보보안과 관련한 7개의 직무군을 제시하고 있다. 여기에 국내 4년제 28개 대학의 1천 111개의 교과목을 대상으로 NICE에서 제시한 교육과정을 매핑한 결과 보안제품 개발자 교육이 가장 많은 부분을 차지했다고 성균관대학교 안성진 교수는 밝혔다.

실질적으로 현장에서는 보안관제, 유지보수, 컨설팅 등의 인력 요구가 증가하고 있는데 대학에서 이와 관련된 교육이 미비하다는 것이다. 안 교수는 막상 실무에서 보안시스템 개발 인력이 얼마나 많이 필요한지 의문이 든다고 말했다.

또한 안 교수는 “일반인들이 보안의식을 가져야 한다고 하지만 막상 일반인들이 자기 분야에서 보안에 대한 지식을 습득하기 힘들다는 문제점과 단순한 학점위주가 아닌 실제로 능력이 우수한 사람들이 전문적으로 성장할 수 있는 과정이 필요하다”고 강조했다.

이와 관련 이글루 시큐리티 이용균 부사장은 “의사나 변호사를 양성한다는 얘기는 들어본 적이 없다”며, “다른 사람들이 정보보호전문가를 존경하고 정보보호 관련 업무를 하고 싶어 한다면 굳이 인력양성 얘기를 끄집어낼 필요가 없을 것”이라는 의견을 내비쳤다.

이 부사장은 “정부기관에서 인력을 보강하겠다고 했을 때 보안업체에서 인력을 충원하는 것도 기업 입장에서는 곤란한 부분 중 하나”라고 말했다. 보안업체에서 전문인력은 그 기업의 자산이기 때문이다. 또한 이 부사장은 인력을 양성하기 위한 세부적인 정책방향의 필요성을 주장했다.

충남대학교 류재철 교수는 고용계약형 석사과정이라든지 학교 동아리 지원사업 등 인력 양성을 위한 사업들의 지원기간이 너무 짧고, 4년제 대학 학생들뿐만 아니라 전문대학 학생들까지 포함하는 통합된 지원사업이 필요하다고 전했다.

화이트해커 측의 입장을 대변하는 그래이해쉬 이승진 대표는 “전 세계적으로 공격 기술만 있는 나라는 있어도 분석기술만 있는 나라는 없다”며, “공격을 잘 하는 사람이 방어를 잘할 수밖에 없기에 오펜시브 리서치(Offensive Research, 공격기법 연구)에 대해서도 지속적으로 투자되어야 한다”고 강조했다.

타이거팀 황석훈 대표는 “수많은 정보보호 전문가 양성과정 커리큘럼을 보면 다 공격기법만 가르치는데 현업에서 필요한 것은 방어기법”이라며, “더불어 현업에서 고객과 커뮤니케이션 문제로 충돌하는 경우도 많기에 커뮤니케이션 능력도 빼놓을 수 없다”며 공격기법 연구 못지 않게 방어기법의 중요성에 대해 강조했다.

우리나라는 정보보호 기술 인력을 초/중/고/특급으로 등급을 나누고 있는데, 제일 낮은 초급은 4년제 대학을 졸업하고 정보처리기사 자격증을 취득해야 얻을 수 있다. 황 대표는 “문제는 정말로 뛰어난 인력들이 4년제 대학이라는 자격에 발이 묶여 안타깝다”며, “KISA에서 인터뷰나 검증을 통해 정말 훌륭한 인재를 위한 빗장을 풀었으면 좋겠다”고 당부했다.

이에 대해 스틸리언 박찬암 대표는 “정보보안 교육 커리큘럼이 정형화 되지 않아 정보보호 전문가를 꿈꾸는 인력들이 어떻게 공부해야 할지 혼란스러워하는 것을 많이 봐왔다”며, “사이버 보안은 국가 안보와 직결되는 부분인데 10년, 20년 뒤를 내다볼 때 잘 짜여진 커리큘럼이나 교육 체계가 필요하다고 덧붙였다.

한편, 지난 3일 개최된 ‘정보보호정책 대토론회’에서는 정부부처를 포함한 산·학·연의 정보보안 전문가 30여명이 모여 △국내 보안 투자활성화 및 보안산업 육성 △국가 중요시설 보안수준 제고 △정보보호 우수전문인력 양성에 대해 심도있게 논의 됐다.

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)