조직에서 수행해야 할 업무에 따라 적절한 인력이 필요하다는 사실을 모르는 이는 없다.

다만, 조직의 상황에 따라 비용 대비 효과성 측면을 고려하여 인력을 확보하고, 효율적으로 운영하고 싶은 의도에서 많은 고민을 하게 된다.

연말이나 연초에 사업계획 시즌이 되면, 정보보호 조직의 중요한 고민 중 하나는 정보보호를 위한 예산과 인력 확보를 얼마나, 어떻게 할 것인가에 대한 것이다.

어느 조직에서든 정보보호를 위한 풍성한 예산과 인력을 지원해주는 곳을 찾기란 쉽지 않다.

하지만 정보보호 수준을 높이기 위한 다양한 노력들을 수행하기 위해 적정한 수준의 예산과 인력을 확보하는 것은 정보보호 조직만을 위한 것이 아닌, 회사의 성장과 사회적 책임, 국가의 안전, 국민의 인권 보호까지 고려해야 하는 측면에서 소홀히 할 수 없는 요구사항이다.

가장 중요한 판단 기준은, 조직에서 또는 사회에서 요구하는 보호 수준을 어느정도까지 확보할 수 있고, 확보한 리소스가 부족해서 발생할 수 있는 리스크를 얼마나 감수할 수 있을 것인가에 대한 충분한 합의 여부다.

이는 조직의 비즈니스 특성과 정보보호를 위한 중요도, 이해관계자의 요구 사항에 따라 보호의 수준이 달라질 수 있기 때문이다.

조직의 규모나 업무량에 따라서도 적정한 수준의 인력이 필요하다.

규모가 작거나 정보보호를 시작하는 단계에서는 기술적 보안 또는 관리적 보안을 담당하는 직원 한 두 명이 모든 업무를 수행하는 경우가 대부분이다.

이 단계에서는 조직의 일반적인 리스크를 파악하고 대응하는 수준으로, 컴플라이언스 이슈에 대한 업무가 주를 이루게 된다.

어느 정도 조직의 규모가 커지면, 업무의 범위나 중요도에 따른 수준을 높이기 위해 요구사항이 늘어나고 점진적으로 그에 필요한 인력들을 충원하게 된다.

일반적으로 인프라 단위가 세분화 되고, 보안시스템별 담당자나 DB보안 담당자, 서버 보안 담당자 등으로 구분되고 개인정보보호 담당자가 이 정도에서 셋팅되는 경우가 많다.

최근에는 정보보호 업무가 세분화 되고, 전문화 되면서 그에 맞는 담당자를 찾는 경우가 많아지고 있다.

다만, 아직까지 수요에 따른 전문 인력의 공급이 충분하지 않은 상황으로 필요한 인재를 확보하기가 쉽지 않아 보인다.

‘2021 국가정보보호백서’에 따르면, 전문대학과 대학, 대학원을 통해 제너럴 리스트 교육 체계는 어느 정도 수립된 것으로 보인다.

2020년 기준, 전문대학의 정보보호 관련 학과에서는 주로 컴퓨터(사이버) 정보보안 등을 교육하고 있으며, 재적학생 수는 2,114명, 배출인원은 402명이고, 대학교의 정보보호 관련 학과 재적인원은 8,347명, 배출인원은 884명, 대학원의 정보보호 관련 학과는 총 67개이며, 재적학생 수는 1,459명, 배출인력은 236명으로 나타났다.

또한, 실무인력 양성을 목표로 실전형 사이버훈련장(Security Gym) 운영 및 최정예 사이버보안 인력(K-Shield) 양성 사업, BOB 양성, 가명처리 전문인력 양성, 금융보안 전문인력 양성 등 다양한 분야에서 실무형 교육 프로그램이 운영중에 있다.

아직까지 국내 기업의 보안 역량 미흡과 국내 정보보호 시장 협소, 정보보호 인력 부족 등으로 인하여 새로운 사이버위협 대응에는 한계가 있는 것이 사실이다.

대다수 랜섬웨어 피해사례가 중소기업, 소상공인, 개인에 편중되는 등 보안역량은 미흡한 편이고, 국내 정보보안 산업 매출 대부분이 100인 미만 중소기업에서 발생하고 있어 영세성과 기술력 부족 등으로 시장 확대에도 한계가 있다.

더욱이 정보보호 인력은 2020~2025년 약 1만 명이 부족할 것으로 예상되는 등 정보보호 전문인력 공급 필요성은 더욱 커지고 있는 상황이다.

따라서, 앞으로는 산업별, 전문 영역별로 세분화된 교육 프로그램을 통해 스페셜 리스트 양성에 관심을 기울일 시기가 되었다.

정보, 외교, 국방, 금융, 의료, 자동차, 항공우주, 제조 부문까지 다양한 분야에서 필요로 하는 전문 인력 양성을 통해, 해당 영역에 맞는 맞춤형 정보보호 인력이 더욱 필요한 시기가 다가오고 있다.

우리가 분명하게 인식해야 할 것은, 필요한 곳에 필요한 인력 없이 원하는 결과를 얻고자 하는 것은, 막연한 기대와 희망일 뿐 정상적인 업무 처리는 아니라는 사실이다.
[글. 박나룡 보안전략연구소 소장 / isssi@daum.net]

 

---

[보안교육1시간 웨비나 사전등록]

-일시: 2022년 3월 8일 오후 2시~3시

-발표자: 엔트러스트 DPS 부문 Sales Engineer 차장 마건일

-교육이수: 1시간 보안교육 이수증 발급

-참석대상: 공공, 금융, 기업 정보보안 실무자라면 누구나 무료 참석

-웨비나 사전등록: 클릭

★정보보안 대표 미디어 데일리시큐!★