어쩌면 IT분야 자체를 다른 사람들에게 권하지 않는 것 처럼 보일 수 있겠습니다만, 보안이라는 분야는 특히 권하고 싶지 않습니다. 당연히, 하고 싶은 사람이 하고 싶으면 해야 하는 게 맞습니다. 근데, 보안분야에 대해 흔히 하는 오해가, 요즘 정보보안 양성 학원이 많아지고 매체에서 화이트 해커 띄우기를 많이 하기 때문에 내가 보안 쪽에 가면 좋은 대우를 받을 수 있지 않을까? 이겁니다.


물론, 좋은 대우를 받습니다. 근데, 6개월 학원 다니고 보안전문가 명찰 다는 사람들과 그냥 교수가 시키는 거만 따라가다가 나중에 보안전문가 명찰 다는 사람들이 어렸을 때부터 재능을 보인, 소위 말하는 "화이트해커"들과 같은 대우를 받을 수 없다고 생각해요. 이 재능을 보인 화이트 해커들은 능동적으로 취약점을 찾아내고 시스템을 꿰뚫어 보는 통찰력을 가지고 있는 인재들 입니다. 이런 재능이 없다면 재능을 만들면 돼요. 충분히 가능합니다. 대신에 상상할 수 없을 만큼의 시간과 노력을 투자해야 합니다.


보안이라는 것은, 취약점에 대한 이론이 만들어지고 대응체계가 구축되면 누구나 공격을 막을 수 있고, 누구나 취약점이 패치되지 않은 부분을 공격할 수 있습니다. 다른 사람들이 만들어 놓은 쓸만한 라이브러리나 도구를 활용해서 말이죠. 단지 차이점은 검색 키워드를 모르는 사람들은 못 하는 거고, 검색 키워드를 알고 있는 사람들은 하는 거죠. 그뿐입니다. 이게 생산적인 일일까요? 네, 도구나 라이브러리를 사용하는 목적이 피해 방지라면, 매우 생산적인 일인 게 맞습니다. 근데 이 일이 스스로한테도 생산적인 일인지 생각해봐야 합니다. 도구나 라이브러리를 사용해서 취약점을 점검하고 막는 일은 개발자들도 다 할 수 있는 일입니다. 아니, 아직까지는 도구 사용법을 배워야 하니 완벽하게 개발자들이 대체할 수 있는 일이 아니겠죠. 근데 곧 그렇게 될 겁니다.


남들이 만들어놓은 라이브러리를 사용해서 보안을 하고, 남들이 만들어놓은 도구를 사용해서 취약점을 찾아내고, 이런 거는 솔직히 공격이 어떻게 이루어지는 지에 대한 이해가 없어도 충분히 가능한 거잖아요? "나는 이 공격이 어떻게 이루어지는지 잘 모르지만, 이 도구만 있으면 공격을 할 수 있어! 나도 해커야!" 이렇게 되어버리는 겁니다. 개척자가 될 수 없다면, 그럴 의지력도 없다면, 내려놓으세요. 


어느 분야나 똑같다고요? 적어도 비슷한 맥락의 개발 분야는 아이디어만 있으면 개척자 수준의 지식을 요구하지 않습니다. 보안 분야는 아주아주 특수한 분야입니다. 1000명의 툴 키드 보다, 1명의 실력자가 특히 더 빛을 발하는 분야요. 1명의 실력자가 될 자신이 없다면, 내려놓으세요. 그렇지 않으면 자기 자신을 갉아먹는 자존심과 "해커"라는 단어와 영원히 함께하며 병들어갈 것입니다. 이게 이유입니다. 이건 수능이나 어떤 시험처럼 노력만 하면 되는 게 아닙니다. 남들이 만들어놓은 틀에서 그저 "최고"가 되는 게 아닙니다. 이 분야는 남들이 만들어 놓은 두껍고 높은 벽을 깨부수는 것이 업무인 분야입니다.


잊지마세요. 포기할 줄 아는 것도 중요합니다. 자존심을 버리세요. 자신은 남들 보다 특별하지 않다는 것을 인정해야 합니다. 인정하고 처음부터 천천히 앞으로 나아가면 되는겁니다.