안녕하세요. 저는 법학을 전공한 후 현재 SKALA 4기에서 AI/Data와 SW 서비스 기획·개발을 공부하고 있습니다.
최근 직접 웹·앱 서비스를 기획하고 구현하면서 정보보안에 대한 관심이 크게 생겼습니다.
처음에는 기능을 구현하는 데 집중했지만, 회원가입·로그인·API·DB·개인정보 처리 같은 기능을 하나씩 만들다 보니 “서비스가 동작한다는 것과 안전하게 운영할 수 있다는 것은 전혀 다른 문제”라는 생각이 들었습니다.
특히 저는 법학 전공자이기 때문에 개인정보보호법이나 각종 법·규정을 단순히 별도의 법률 검토 사항으로 두기보다, 향후에는 서비스를 기획·개발·운영하는 사람이 필요한 규정을 쉽게 확인하고 실제 요구사항으로 적용할 수 있게 만드는 방법에도 관심이 있습니다.
다만 정보보안 분야는 네트워크, 서버, 인증·인가, 취약점, 관제, 암호화 등 범위가 매우 넓어 무엇부터 체계적으로 공부해야 할지 어려움을 느끼고 있습니다.
멘토님께서는 기술보증기금에서 보안 솔루션 운영 및 관제, 침해사고 대응, 금융보안 모의훈련, 취약점 점검을 담당하고 계셔서 다음과 같은 부분을 여쭙고 싶습니다.
실제 서비스를 개발하는 사람들이 가장 자주 놓치는 보안 문제가 무엇인가요?
인증·인가, 개인정보 저장, API 보안, 로그 관리, 권한 설정, 서버·DB 설정 등에서 개발 단계부터 반드시 확인해야 하는 부분이 궁금합니다.
정보보안에 대해 제대로 공부하고 싶은 비전공자라면 어떤 순서로 공부하는 것이 좋을까요?
(네트워크,운영체제/Linux ,웹 구조,인증·인가,웹 취약점,암호화,클라우드 보안)선행관계가 있는지, 반드시 이해해야 할 기초가 무엇인지 알고 싶습니다. 또 어떤 매체를 통해 배우면 좋을 지도 궁금합니다.
멘토님의 업무 중 취약점 점검과 침해사고 대응이 특히 궁금합니다.
실제 현장에서는 취약점을 발견했을 때 위험도를 어떻게 판단하고, 어떤 순서로 조치 우선순위를 정하나요? 또한 사고가 발생한 뒤에는 어떤 데이터와 로그를 통해 원인을 추적하는지도 궁금합니다.
개발자가 생각하는 보안과 실제 정보보안 담당자가 보는 보안에는 어떤 차이가 있나요?
개발자는 기능 구현과 일정도 고려해야 하고 보안 담당자는 위험을 줄여야 하므로 실제 조직에서는 의견이 충돌할 수도 있을 것 같습니다. 이런 상황에서 어떤 기준으로 협의하는지도 알고 싶습니다.
저는 법학 전공을 살려 장기적으로 “이 서비스에 어떤 법·보안 기준이 적용되는지 확인하고, 이를 실제 개발 요구사항으로 변환해주는 시스템” 제작에도 관심이 있습니다.
예를 들어 개인정보를 수집하는 기능을 설계하면 관련 법령·내부 보안기준을 확인해 필요한 동의, 접근통제, 보관·파기, 로그 등의 체크사항을 개발자와 운영자에게 제시하는 방식입니다.
현직자의 관점에서 이런 서비스가 실제 보안 업무에 도움이 될 가능성이 있을까요? 반대로 법령이나 체크리스트만으로는 판단하기 어려워 반드시 보안 전문가가 개입해야 하는 영역은 무엇인지 궁금합니다.
기술보증기금처럼 금융·공공 성격이 있는 기관에서는 일반적인 IT 서비스보다 보안 요구사항이나 규정 준수가 더 엄격할 것 같은데, 실제 실무에서 특히 중요하게 보는 부분이 무엇인가요?
마지막으로 멘토님께서 비교적 최근에 정보보안 직무를 준비하고 입사하신 입장에서, 정보보안 직무를 준비하면서 공부했던 것 중 실제 업무에 가장 도움이 된 것과 입사 후 새롭게 중요하다고 느낀 것이 무엇인지도 궁금합니다.
저는 보안 전문가의 업무를 단순히 대신하는 서비스를 만들고 싶은 것은 아닙니다. 오히려 서비스 기획자·개발자·운영자가 기본적인 보안과 법적 요구사항을 놓치지 않고, 전문적인 판단이 필요한 시점에는 보안 담당자와 제대로 협업할 수 있도록 돕는 방향에 관심이 있습니다.
저 역시 앞으로 서비스를 만들 때 기능 구현뿐 아니라 기획 단계부터 보안과 개인정보 보호를 함께 설계하는 습관을 갖고 싶습니다.
바쁘신 와중에도 확인해 주셔서 감사합니다!
강도희 · 2026. 08. 22. 12:11
멘토 1명에게 발송 · 답변 1건 · 대기 0명
멘토 답변 1
구
구*서 멘토
기술보증기금 · 정보보안
안녕하세요, 멘티님. 질문 하나하나에 그동안 고민해오신 관점과 생각의 흐름이 고스란히 담겨 있어, 그 깊이와 열정에 먼저 큰 응원의 말씀을 드리고 싶습니다.
말씀하신 것처럼 AI의 등장으로 정보보안의 역할과 비중은 점점 더 커지고 있으며, "서비스가 동작한다는 것"과 "안전하게 운영된다는 것"이 전혀 다른 문제라는 통찰은 정확히 핵심을 짚으셨다고 생각합니다. 잘 아시다시피 정보보안은 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability), 이른바 CIA 3요소의 균형으로 이루어지며 어느 하나에만 치우칠 수 없습니다. 특히 실무에서는 '가용성', 즉 서비스가 끊김 없이 돌아가는 것이 기업 입장에서 가장 민감한 요소가 되기도 합니다. 그렇기 때문에 좋은 서비스와 안전한 운영이라는 두 가치가 공존하려면, 정보보안이 개발 초기 단계부터 적절한 시점에 개입하는 것이 중요합니다.
실제로 정보보안팀은 '서비스 ↔ 정보보안 ↔ 법·규정'이라는 세 축 사이에 서서, 법과 규정, 가이드라인이라는 울타리를 벗어나지 않는 선에서 관리적·기술적·물리적·인적 보안이라는 여러 관점을 아우르며 업무를 수행합니다. 이런 역량을 갖추기 위해서는 가장 기초가 되는 CS 지식, 정보보안에 대한 이해, 법과 규정을 읽어내는 컴플라이언스 감각, 그리고 위기 상황에서의 판단력까지 여러 층위의 역량이 함께 요구됩니다. 법학을 전공하신 멘티님의 배경은 이 중 '컴플라이언스 감각'이라는 축에서 오히려 남다른 출발점이 될 수 있다고 생각합니다.
Q1. 실제 서비스를 개발하는 사람들이 가장 자주 놓치는 보안 문제가 무엇인가요?
A1. 서비스 개발에는 다양한 알고리즘 기법, 디자인 패턴, 시큐어 코딩 규칙 등 신경 써야 할 것이 매우 많습니다. 그렇다 보니 시큐어 코딩이 구현, 속도, 유지보수 등 다른 우선순위에 밀리는 경우가 많고, 결과물의 수준이 개발자 개개인의 역량에 좌우되는 경우도 흔합니다. 말씀해주신 인증·인가, 개인정보 저장, API 보안, 로그 관리, 권한 설정, 서버·DB 설정은 실제로 실무에서도 가장 자주, 그리고 반복적으로 놓치는 지점들입니다. 이런 부분들은 정적 코드 분석(SAST), 취약점 진단·평가와 같은 지속적인 정보보안 업무를 통해 보완되고 위협 요소가 줄어들게 됩니다. 아직 주니어이시라면, 학교 수업과 함께 대중적으로 접할 수 있는 보안 취약점 관련 개념을 공부하고 직접 적용해보는 경험을 쌓아가신다면, 실무에서도 충분히 빛을 발하실 수 있을 것이라 생각합니다.
Q2. 정보보안에 대해 제대로 공부하고 싶은 비전공자라면 어떤 순서로 공부하는 것이 좋을까요?
A2. 정보보안이라는 분야는 IT 시스템을 포함한 전반적인 자산에 대한 비인가 접근, 유출, 변조 등의 위협을 제거하고 안전하게 지키는 모든 활동과 기술을 의미합니다. 그렇기 때문에 결국 컴퓨터공학(Computer Science)에 대한 이해가 가장 기본적인 바탕이 되어야 합니다. 공격자는 아주 작은 취약점 하나를 집요하게 파고들어 침투하지만, 자산을 지켜야 하는 정보보안팀 입장에서는 반대로 내부 시스템 전체를 폭넓게 이해하고 있어야 이상 행위를 탐지하고 찾아낼 수 있습니다. 그런 의미에서 저는 말씀하신 순서대로 네트워크 → 운영체제/Linux → 웹 구조 → 인증·인가 → 웹 취약점 → 암호화 → 클라우드 보안 순으로, 학과에서 다루는 커리큘럼을 기반으로 공부하시는 것을 기본적으로 추천드립니다. 다만 범위가 워낙 방대하다 보니, 처음에는 Top-Down 방식으로 먼저 숲을 보시는 것도 함께 추천드립니다. 유튜브나 IT 기술 블로그에서 'IT 인프라 총정리', 'IT 전반 이해'와 같은 강의나 글을 먼저 훑어 전체 그림을 그린 다음, 위 순서대로 하나씩 깊이를 더해가시는 방식이 비전공자분들께는 특히 효과적이라고 생각합니다.
Q3. 실제 현장에서는 취약점을 발견했을 때 위험도를 어떻게 판단하고, 어떤 순서로 조치 우선순위를 정하나요?
A3. 취약점이란 현재 보유하고 있는 시스템에서 공격의 대상이 될 수 있는 약점을 의미하며, 위험도는 OWASP Top 10, CVE(Common Vulnerabilities and Exposures), 그리고 CVSS(Common Vulnerability Scoring System) 점수와 같이 공신력 있는 지표들을 기본 축으로 삼되, 여기에 내부 자산의 중요도를 더해 기관의 실정에 맞게 최종 판단합니다. 조치 우선순위는 ① 자산의 중요도(대외 서비스 여부, 취급하는 데이터의 민감도), ② 취약점 자체의 심각도(CVSS 점수, 공격 실현 가능성), ③ 노출 범위(인터넷 구간 노출 여부, 접근 통제 수준), ④ 실제 악용 사례(Exploit) 존재 여부 등을 종합적으로 고려해 결정합니다. 결국 정보보안 이론서에서 다루는 위험관리(Risk Management) 방법론을 조직의 실무 환경에 맞게 적용하는 과정이라고 이해하시면 됩니다. 사고가 발생한 이후에는 방화벽, IPS/IDS, 웹·서버 로그, DB 접근 로그 등 각 계층에 남아 있는 로그를 시간 순으로 교차 분석하여 최초 침투 경로와 확산 범위를 추적하게 됩니다.
Q4. 개발자가 생각하는 보안과 실제 정보보안 담당자가 보는 보안에는 어떤 차이가 있나요?
A4. 개발자는 서비스의 원활한 운영과 일정 준수를 최우선 가치로 두는 반면, 정보보안 담당자는 위험의 최소화를 최우선 가치로 두기 때문에 같은 사안을 두고도 서로가 생각하는 '최소한의 보안 수준'이 다르게 나타날 수 있습니다. 그렇기 때문에 각 상황에 맞게 가용성과 보안의 중간 교차점을 협의를 통해 도출해나가는 것이 중요하다고 생각합니다. 특히 치명적인 취약점의 경우에는 즉시 조치를 수행하고, 그렇지 않을 경우에는 조치 이행 계획을 수립해 점진적인 개선을 기대하기도 하며, '위험 수용'이라는 개념에 따라 조치에 드는 비용 대비 기대 효과가 낮다고 판단되면 조치하지 않는 경우도 있습니다.
Q5. 개인정보를 수집하는 기능을 설계할 때 관련 법령·내부 보안기준을 확인해 필요한 동의, 접근통제, 보관·파기, 로그 등의 체크사항을 개발자와 운영자에게 제시하는 방식이 실제 보안 업무에 도움이 될 가능성이 있을까요?
A5. 말씀해주신 방식은 좋은 접근이라고 생각합니다. 실제로 각종 보안 가이드라인·지침을 기반으로 소스코드를 분석하는 정적·동적 분석 툴 및 솔루션들이 계속 발전하고 있고, 말씀하신 것처럼 IT 프로그램 도입부터 전 생애주기에 걸쳐 관리적 분야를 점검해주는 시스템은 충분히 유효하다고 생각합니다. 다만, 솔루션과 AI가 아무리 발전하더라도 최종 판단과 책임의 영역은 남기 때문에, PM과 보안 전문가의 역할은 여전히 필요할 것이라는 것이 개인적인 생각입니다.
Q6. 기술보증기금처럼 금융·공공 성격이 있는 기관에서는 일반적인 IT 서비스보다 보안 요구사항이나 규정 준수가 더 엄격할 것 같은데, 실제 실무에서 특히 중요하게 보는 부분이 무엇인가요?
A6. 실제로 정보화사업을 추진할 때는 기획 단계의 RFP 작성 시점부터 보안성 검토를 거치고, 사업 수행 단계에서는 감리를 통해 적정성을 점검하며, 종료 단계에서도 보안 점검을 수행하는 등 IT 서비스의 전 생애주기에 걸쳐 관리가 이루어집니다. 이 모든 과정은 기관 내부 지침뿐 아니라 상위 기관의 가이드라인과 관련 규정을 기반으로 진행됩니다.
Q7. 정보보안 직무를 준비하면서 공부했던 것 중 실제 업무에 가장 도움이 된 것과 입사 후 새롭게 중요하다고 느낀 것이 무엇인가요?
A7. 꾸준한 CS 공부와 정보보안기사 취득을 위한 공부가 실무에 큰 도움이 되었습니다. 특히 실무에서는 웹, 네트워크, 서버, DB 등 광범위한 영역을 넘나드는 판단 능력을 요구하는데, 이런 넓은 IT 세계에서는 결국 '아는 만큼 보인다'는 말이 크게 와닿았습니다. 입사 후에는 이론적 역량이 뒷받침되어야 실무에서의 직관과 판단도 빨라진다는 것을 더욱 실감하게 되었습니다.
끝으로 멘티님께서 구상하시는 "법·보안 요구사항을 개발 요구사항으로 변환해주는 시스템"은, 보안 전문가의 자리를 대신하기보다 기획자·개발자·운영자와 보안팀 사이의 간극을 메우는 다리 역할을 할 수 있다는 점에서 충분히 의미 있는 방향이라고 생각합니다. 또한 지금처럼 기능 구현을 넘어 '왜 안전해야 하는가'까지 고민하는 습관을 이어가신다면, 어떤 조직에서든 개발자와 보안 담당자 모두에게 신뢰받는 인재로 성장하시리라 확신합니다. 앞으로의 여정을 진심으로 응원하겠습니다. 감사합니다.