정보보호 전문가, 공무원의 길 열리는가?

연초 카드사 개인정보 유출 이후에 연인터지는 사건사고로 인하여 관련 업계와 담당자, 그리고 관련 기관은 대책마련에 촉각을 기울이고 있다. 그중에 가장 눈에 띄는 대목이 정보보호 관련하여 공무원이 될 수 있는 길이 열린다는 것이다.

관련 기사 내용을 보면 

정보보호 전담 공무원 키운다…안행부, 하반기 경력 채용

[ 강경민 기자 ] 정부가 개인 신용정보 유출 등 사이버 보안 문제에 대응하기 위해 정보보호 전담 공무원을 양성한다.

 

안전행정부는 12일 이 같은 내용을 담은 공무원임용령 개정안을 입법예고하고 의견 수렴과 부처 협의, 국무회의를 거쳐 6월부터 시행한다고 11일 발표했다. 개정안에 따르면 안행부는 3·20과 6·25 사이버테러 등 날로 지능화되는 국가 사이버 안보 위협과 카드사의 개인 신용정보 유출 등 사이버 보안 문제에 대응, 전문인력을 충원·육성하기 위해 전산직렬(전산분야) 내 정보보호 직류(분야)를 신설한다. 현재 전산개발, 전산기기, 정보관리 등 3개 직류로만 분류돼 있는 전산직렬에 ‘정보보호’ 분야를 신설키로 한 것이다.

 

안행부는 정보보호직류 채용·선발에 필요한 시험과목을 선정한 뒤 올해 하반기부터 경력경쟁채용을 진행할 예정이다. 구체적인 선발 인원은 아직 확정되지 않았다. 최재용 안행부 인사정책과장은 “부처별 수요 조사를 통해 인원을 선발할 예정”이라며 “기존 전산직렬의 결원 인원을 보충해 충원할 예정이어서 전체 공무원 인원에는 변화가 없을 것”이라고 말했다.

 

강경민 기자 kkm1026@hankyung.com

출처: http://news.naver.com/main/read.nhn?mode=LSD&mid=sec&oid=015&aid=0003047879&sid1=001

긍정적인 측면

공무원이라는 직업은 공무(公務)를 하는 사람을 말하는 것이다. 즉 정보보호 업무를 공적인 업무로 인정하는 부분이다. 물론 그전에도 군무원이나 관련 분야에서 간간히 정보보호 관련 공무원을 채용한 바가 있었다. 하지만 이렇게 전산직렬에서 정보보호 직류로 개설해서 진행하는 것은 보안에 대한 책임과 역할의 중요성을 인지한 것이라 판단이 된다. 

따라서, 지금까지 전산직렬은 전반적인 전산에 관련된 업무나 개발이나 혹은 정보보호 업무까지 전부처리하였지만 정보보호직류를 개설함으로써 이제는 기존 전산직렬에서 담당하는 담당자의 업무 감소와 또한 해당 직류에 인원이 보충됨으로써 장기적인 안목에서 전문인력의 투입될 길을 마련한 것이라 하겠다. 

과거 보안사건사고시 정부 종합대책을 보면 2014년 시험부터는 전산직렬에 '정보보호'과목을 개설하는 대책은 이미 발표된바가 있으며 , 2016년도에는 정보보안 기술사 제도를 시행하겠다고 발표한 바가 있다. 대책이 나오면 그 다음부터는 반드시 시행이 뒤따라야 한다.

필자는 블로그에 다양한 보안에 대한 여러가지 고민을 기록한 바가 있다. 어떨경우에는 말도 안되는 소리지만 이제는 그것이 대안으로 떠 오르는 시기가 도래한 것이다. 꼼꼼히 한번 읽어 보길 바란다. 

[칼럼-118] 정부 뒷짐짓는 정보보호 관련 행정

[칼럼-90] 7.7 DDoS 사태가 남겨 준 교훈(3) - 보안인식 제고를 위한 제언

[정책제언] 이젠 일반인도 보안인센티브 주면 어떨까?

SIS(국가공인 정보보호전문가)자격증, 국가기술 자격증 가시화해야

그럼 과연 이러한 개선 노력후에 기존에 부족한 부분이 많이 개선이 되었는가에 대한 것은 다시 한번 물음을 던져 봐야 한다. 혹자는 당신이 주장한 바 대로 되었는데 과연 지금도 똑같이 보안사건사고가 생기지 않는가? 그럼 또 다른 대책 한다고해도 똑같지 않는가? 이렇게 부정적으로만 생각하는 사람들이 있다. 아마도 그렇게 생각할수도 있지만 그런 사람들은 자신 개인의 발전이나 조직의 발전에서 상당히 부정적인면만 봐서 스스로 성장하지 못할 가능성이 높다. 

단적인 예로 한가지만 들자. 정보보호관리체계(ISMS)를 인증 받으면 100% 보안이 보장이 되는가? 보안 컨설팅을 받으면 100% 보안이 보장이 되는가? 그렇다라면 왜 그렇게 생각하고 그렇지 않다고 생각하면 왜 그렇지 않다고 생각하는가?  우린 무엇이든 처음에 어떠한 행동을 하기 위해 그 행위를 왜 하는지에 대한 물음을 가져야 한다. ISMS는 그동안 주먹구구식으로 되어 있던 정보보호의 관리를 체계적으로 관리하여 조금 더 보안 위험성을 감소시키는데 목적이 있는 것이지 보안을 100% 보장하는 것이 아니다라는 것이다. ISMS구축 하기전보다 확실히 체계적인 관리가 된다는 이야기는 인증심사를 나가보면 담당자들의 한결같은 이야기이다. 물론 그렇게 하기 위해서는 많은 증적사항과 힘든 부분은 있지만 말이다. 그러니 제발 ISMS 그거 인증 받아봐야 소용있겠나? 인증 받았는데 모두 털리는데 무엇때문에 힘들게 받아야 하는가? 라는 이야기는 바람직 하지 않다.

이제는 전문화된 지식을 보유하고 있는 정보보호 분야에 공무원의 길이 열린만큼 그에 따른 파급효과도 나타날 것이라 예상이 된다. 그러나 소수의 인원이고 잠시 보여주기식의 제도나 정책이 되어서는 안될 것이다.

부정적인 측면

관련 분야 인력들이 너무 공무원 시험에만 매달리지 않을까 우려스럽다.

자신이 정보보호분야에 해박한 지식을 가지고 있다고 치자. 과연 그 인력을 품에 않을 수 있는 기업은 얼마나 되는가? 중소기업에 보안담당자가 전담으로 있다는 소리는 들어보기 쉽지 않는 부분이다. 결국 자신의 전문적인 지식을 통하여 먹고사는 문제를 해결 할 수 있는 방법은 대기업과 공무원의 길이 안정적이라고 생각하고 있다. 그러나 그마저도 쉽지 않다. 그럼 대부분 어떻게 커리어가 흘러가는지 가상으로 한번 엮어 보자.

어려서부터 컴퓨터에 관심이 많았던 A씨는 고등학교때부터 실력이 출중하고 대학교 진학을 정보보호학이나 컴퓨터 공학쪽으로 지원을 하였다. 정보보호학을 전공을 하려니 대부분 학교가 지방에 거주하고 있고 수도권에는 없어 어쩔수 없이 컴퓨터관련 전공으로 입학을 하였다.

 컴퓨터에 소질이 있던 A씨는 각종 정보보호관련 대회나 동아리등에서 많은 활동을 하였다. 대학을 마치고 취직을 고민하던 A씨는 보다 전문적인 기업에서 일을 하고 싶은 마음에 정보보호관련 전문업체에 취직을 하게 되었다. 회사에 취직한 신입사원 A씨는 그떄부터 각종 프로젝트에 투입이되고 , 시간과의 싸움이고 소위 말하는 '갑'과 '을'의 위치에서 하루하루 지쳐만 갔다.

 주말에도 근무하는 날이 많았으며, 어느순간 반복적인 프로젝트를 하다보니 산출물이 새롭다기 보다는 점점 보편화 되어가고 있고, 담당자는 품질에 이의를 제기하기도 한다. 하지만 담당자의 전문지식은 의심스러우리만큼 초보적인 수준이다. 정말 이대로 살다가는 삶의 질이 떨어져 지속적으로 고민을 하게 된다.

이런 찰라에 아는지인으로부터 대기업 IT담당자 자리를 하나 제안받는다. '을'의 인생으로 사느니 차라리 단 하루라도 '갑'의 위치에 서고 싶은 마음에 이직을 한다. 운이 좋은 편이라 생각해 본다.  처음에는 '을'을 벗어났다는 마음에 열심히 일하지만 사업관리에 치중을 하다보니 점점 전문성을 떨어지고 미래에 대한 불안감이 엄습해 온다. 대기업이라 그런지 업무강도는 말할필요도 없고, 동료와 경쟁해야하며 요구하는 사항도 많다. 그리고 모든 것이 자신이 하는 업무는 하나의 기계부속품처럼 느껴진다. 자신이 원했던 갑이지만 조금 더 안정적인 공무원 같은 곳은 없는지를 살펴본다. 

하지만 정보보호에 대한 공무원 길은 막막하기만 하고 가끔 군무원등에 관련 분야가 있긴 하지만 찾아보기 거의 힘들고 대부분 석,박사 학위를 요한다. 

A씨는 어쩔수 없이 자신의 스펙을 높이기 위하여 대학원에 진학한다. 직장과 학업을 겸하다보니 직장에서는 학교생각나고 학교에서는 회사생각이 나서 집중이 안된다. 먹고사는 것이 우선이기 때문에 회식자리나 회사 긴급사안 때문에 학교 수업에 빠지는 경우도 많다. 석사,박사 졸업하려면 논문이 필수인데 논문주제 잡기도 쉽지 않다. 

관련 분야의 기업에서는 돈이 되는 상업적인 내용과 학교에서의 학문으로서의 논문의 형식과는 괴리감이 있기 때문이다. 자신이 하고 있는 업무를 중심으로 논문을 써 보려고 머리를 굴려보지만 그것은 보고서 정도 수준에 지나지 않는다.  대부분 논문이 기업의 상업화보다 3-4년 앞서간다고 보면 된다. 그것을 내다보기 위해서는 많은 공부량을 필요로 하는데 집에가면 바로 잠자기 바쁘다.

그러니 A씨는 바쁜 업무로 인하여 공부량의 부족으로 논문에 쓰기에 더 고민이 된다. 평생 글이라곤 보고서나 제안서 간단하게 써 본적 밖에 없는데 처음쓰는 논문이라 쉽지 않다. 때로는 먹고사는 문제때문에 동료중에는 중도에 포기하는 사람도 많다. 그렇게 나이는 점점 들어간다. 졸업한 사람은 다행이다. 하지만 논문의 품질에 대해서는 스스로 한번 되돌아 본다. 그래도 뭐라도 하나 결과물이 있기 떄문에 스스로 뿌듯함을 느낀다. 

A씨는 어느새 마흔 중반에 나이가 되어 버렸다. 회사에선 어느정도 직책이 되지만 빠르게 변화하는 기술적 내용과 회사 전반적인 관리책임과 역할이 점점 부담이 된다. 스스로 하루하루 떨어지는 체력에도 한계를 느낀다. 뭐 먹고살지 고민은 되지만 집에 있는 부모님과 아이들을 생각하면 그래도 어떻게든 살려고 발버둥친다. 

어느날 A씨는 이런 조직내에서 인원 감축이 되어야 하고 가장 먼저 비용만 투입이 되는 전산분야를 축소하고 마케팅과 영업조직을 강화 할 것이라고 한다. A씨는 나이가 들어가니 체력도 안되고, 부모와 자녀를 돌봐야 하는 가장으로 안정적인 직장을 원한다. 곰곰히 생각해보니 공무원이 그래도 가장 나을것 같아 오랜 고심끝에 고시원이나 인근 공무원 학원으로 오늘도 발길을 재촉한다. 하지만 언제 합격될지는 기약이 없다. 걸어가는 어깨에 삶의 무게가 느껴진다.

가상으로 꾸며본 시나리오다. 가상이라고 하지만 또 현실일지도 모른다. 그러니 너도나도 공무원이 되기 위하여 관련분야에 인력부족현상이 발생이 되고, 인력부족이 생기다 보니 전문업체에 주니어가 넘치고 전문기업은 프로젝트에 투입을 해야 하는데 인력이 없으니 어쩔수 없는 전문성과 경력이 짧은 인력을 투입하게 되고 

어떻게 저떻게 보안프로젝트는 끝났는데 그 이후에 보안 사고사고는 발생이되고 , 이에 대해 예산을 사용한 용역발주사는 스스로 책임을 부담하기엔 억울하니 컨설팅사에 책임을 묻는 악순환이 반복이 된다. 

과연 보안사건사고가 발생하면 누구 책임인가? 컨설팅사 책임인가? 아니면 담당자 책임인가? 아니면 경영자책임인가? 아니면 현실을 감안하지 않는 이상적인 대책만 남발하는 정부책임인가? 아니면 우리 모두의 책임인가?  과도한 규제만 통제만 가하고 무조건 그대로 하라고 압박만 해야 하는가? 아니면 우리가 알아서 할테니 자율적 규제로 남겨두라고 이야기 할 것인가? 그러면 과연 스스로들 잘 알서 할 것인가? 아니면 너무 솜방망이 처벌이라서 가볍게 여겨 그런것은 아닌가? 

하지만 지금은 보안이 발전하기 위한 성장통을 겪고 있다고 본다. 이런저런 시행착오를 겪고 있는 중이라 생각한다.  또 새로운 파격적인 대책이 나올 가능성도 있다. 하지만 그렇게 시행착오를 겪기까지 시간이 걸리고 우리는 또 다른 보안위협에 누군가 희생량이 되어야만 언론이나 방송에서 대서특필되고 하루 아침에 해당 기업과 담당자는 죄인이 되어 버린다. 과연 누구의 잘못일까? 어떻게 풀어가야 할까?  고민 되는 아침이다. 내공을 지닌 전문가분들의 많은 고견이 있으면 좋겠다. 

단언컨데 꾸준히 지속발전하는 건강한 사회가 되었으면 좋겠다는 생각에는 변함이 없고, 보안의 대중화로 인하여 관련분야에 업을 가진 사람들의 자부심과 처우개선이 이루어지는 것에 이번 정보보호 전문가 공채 시험을 통하여 공무원의 길이 열리는 단초가 되었으면 하는 바램을 가져본다. 과연 어떠한 결과가 나올지 지켜보토록 하자. @엔시스