정보보안 인력난과 관련되어서

블로그글

2019/03/18 - [IT/보안] - [기사공유] 재앙과 같은 보안 인재난, 문제와 해결책은?

앞서 공유한 기사에 포함되어서 추가로 작성하는 내용입니다. 철저하게 개인 의견입니다.

해당 기사는 해외를 기준으로 작성이 되었습니다. 국내나 해외나 정보보안 인력이 부족한 것은 비슷한 것 같습니다.

하지만 이 부분이 단순 정보보안의 문제는 아니라고 생각합니다. 전체적으로 IT라는 분야에 대해서 인식 자체가 지속할 수 있는 직업이 아니기에 중요하다고 말은 하지만 언제든지 대체가 가능한 인력이라고 생각하는 기업이 많다는 것도 문제라고 생각합니다.

흔히 SI라고 하는 분야만 보더라도 IT에 대한 인력에 대한 처우가 낮다는 것은 해당 분야에서 종사하는 사람이라면 누구나 알고 있는 사실입니다.?

관련기사

2002년 전사신문 -  SI·SW·컴퓨터 등 정보통신업종 산재보험료율 너무 높다

2010년 프레시안 - "사람 잡는 야근…폐 잘라낸 SI개발자"

2018년 국민일보 - 폐 잘라낸 IT개발업자 “52시간 근무해도 IT기업 안 망해요”

2000년도 초기나 지금이나 대우는 크게 달라지지 않았다고 생각합니다. 저는 개발이 아닌 보안 업무를 진행하고 있고 약 300명 가까이 되는 회사에서 정보보안 업무도 담당해보고 SI도 해본 경험으로는 전체 IT에 대한 인식은 크게 다르지 않다고 생각합니다.

흔히 정보보안 전문 업체라는 곳에서 "을" 입장에서 있던 사람들이 "갑사"라고 말하는 곳에 가서도 하는 말이 있습니다.

보안은 어딜 가나 "을"이라고….

물론 지금은 워라밸이라는 단어가 생길 정도로 기업에서도 많이 신경은 쓰고 있다고 생각하지만, 그것도 언론에서 나오는 것처럼 기업에서 대중화(?)되었다고는 생각되지 않습니다.

개인적으로 그렇게 생각하는 이유는 위에 나와 있듯이 2000년도 초기에 IT라는 직종에서 근무하시던 분들이 이제는 임원급으로 업무를 담당하면서 약간의 보상 심리가 작용하지 않았을까 생각합니다.

흔히 꼰대라고 표현하는 "나 때는 이렇게 했다.", " 우리 때는 월화수목금금금이 당연했다.", "나는 하루에 1~2시간 자면서 일했다. 며칠씩 밤샘하는 것은 당연했다." 등등

국가에서 올해부터 강제적으로 52시간을 지키라고 되어 있지만, 이것은 임직원에 대한 생활개선도 되었지만, 단점으로는 또 다른 족쇄로 다가왔습니다.

일부 회사에는 52시간 근무를 정상적으로 지키는지 확인하는 솔루션을 도입하고 그 솔루션으로 장사를 하는 업체도 생겼습니다.

정부에서 또 다른 사업 아이템을 발견해 준 것입니다. 52시간 근무 확인 솔루션이라는….

제가 하는 정보보안으로 들어가 보면 대부분의 정보보안 담당자라고 뽑는다는 자격요건을 보면 과연 보안 담당자를 뽑는 것인지 만능 보안 담당자를 뽑는 것인지 알 수 없습니다.

아래 요건은 사람인에서 랜덤으로 가져온 것입니다.

 

간단히 할수 있는 업무에 대해서 분리해 보면 

담당 업무

1. 보안 컴플라이언스 대응 + 컨설팅

2. 정보보안 자문

3. 보안 개선책 수립 및 이행(PM 역할)

4. 보안 솔루션 운영에 진단

5. 취약점 분석 및 대응

5. 감사 및 교육

6. 수탁업체 관리

지원자격

- (필수)관련 법규도 이해해야 하고 PM 역할고 해야 하고, 자문에 가이드에 운영에 진단, 교육에 컴플라이언스 준주

- (우대) ISMS, ISO27001 인증 획득 또는 컨설팅 경험자, 각종 보안 자격증 보유

물론 업무로만 따지면 정보보안 영역에 포함되는 업무는 맞다고 생각하지만 1명의 인력을 뽑으면서 최소한 2~3명이 진행해야 하는 업무를 배정한다는 것은 어떤 의미인지 모르겠습니다.

얼마 전 어떤 세미나에서 한 팀장님이 이런 이야기를 하셨습니다.

"사람을 갈아 넣는다"라고...

더 웃긴 건 저런 업무를 하는 사람을 뽑는데 기본 요건은 경력 2~3년 이상으로 되어 있습니다.

과연 경력 2~3년 정도 되면서 저 정도 업무를 전부 할 수 있는 인력이 얼마나 될지 모르겠습니다. 저도 나름대로 경력이 있다고 생각되는데 저 정도 업무를 모두 할 수 있는 능력은 되지 않습니다.

설사 진행을 한다고 하더라도 수박 겉 핥기식 정도 인 거지 전문 인력의 실력은 아닙니다.

하지만 저렇게 올려놓아서 해당 업무에 지원하는 사람은 분명 있을 것입니다. 아무리 인력난이 심하다고 하더라도 기업은 "갑", 구직자는 "을"의 관계이기 때문입니다.

정녕 보안을 제대로 진행을 하고 싶은 회사라면 인력 구인을 저렇게 올리면 안 된다고 생각합니다.

보안 인력이 모자란 것은 이유가 다른 곳에 있지 않다고 생각합니다. 정부와 기업이 보안에 대한 인식이 변화되지 않는 한 정보보안 인력은 언제까지나 부족할 수 밖에 없고, 언제나 주먹구구식 정책은 꾸준히 나올 수밖에 없다고 생각합니다.

관련기사

2011년 기사 : 보안인력 ‘밑 빠진 독’...엔지니어들 “보안 분야로 안가”

2015년 기사 : 18-26세가 직업으로 사이버보안을 택하지 않은 이유

2018년 기사 : 정보보호 산업에 정작 보안인력이 부족한 이유 3가지