[넋두리 2] 13. 정보보안 자동화의 그늘

앞으로 예상되는 미래 후유증

전 세계적으로 업무 효율화를 위한 자동화 솔루션의 도입이 활발하게 이루어지고 있다. DT(Digital Transformation)로 대변되는 업무혁신의 거센 바람이 업종을 가리지 않고 불어닥치고 있기 때문이다. 

정보보안업계도 예외는 아니다. 현재 많은 기업이나 기관에서 수행하고 있는 정보보안업무들을 좀 더 효율적으로 처리하기 위한 각종 대안들이 나타나고 도입되고 있다. 구현을 위해서는 주로 AI(인공지능), ML(기계학습), SOAR(Security Orchestration, Automation and Response)와 같은 기술들이 해결책으로 논의되고 있다.

보안업무의 자동화는 보안이 필요한 모든 영역에서 이루어지고 있다. 보안업무 중 보안관제를 예로 들어보자.

보안관제란 기업의 정보, 기술과 같은 IT자원을 해킹, 바이러스 등의 사이버 공격으로부터 보호하기 위해 'IT시스템'과 '관제 전문인력'이라는 두 가지 요소들을 통해 운영현황 및 침해 여부를 24시간 365일 감시하는 일련의 활동들을 의미한다. 이때 보안관제의 자동화는 보안관제를 구성하는 'IT시스템'을 대상으로 자동화를 진행하게 된다. 대체로 AI나 ML과 같은 기술들은 'IT시스템'의 고도화를 목적으로 도입된다. 그리고 고도화의 결과는 다른 요소인 '관제 전문인력'의 구성에 영향을 미친다.

보안관제 서비스를 제공하는 전문업체별로 차이가 있지만 통상적으로 기존 '관제 전문인력'의 구성은 4단계로 이루어진다. 1단계는 보안관제 신입으로 단순 알림을 처리하고 각종 보안시스템들의 처리내역을 요약/정리하는 단순 업무에 집중하며 경험을 쌓게 된다. 2단계는 1단계를 통해 나온 자료들을 통해 이상이 있다고 판단되거나, 외부 침해로 의심되는 정보들을 추려내는 역할을 한다. 3단계는 2단계에서 제출된 내용들을 토대로 침해 여부를 확인하여 4단계의 관제팀장(또는 센터장)에게 보고한다. 최종 4단계에 위치한 관제팀장은 위협 수준과 조치 여부를 판단하고 고객 보고 및 대응을 결정하는 의사결정자 역할을 수행한다.

이 4가지 단계 중에서 보안업무의 자동화는 낮은 단계에서부터 이루어진다. 먼저 1단계의 업무가 자동화되어 단순 업무들을 처리하는 전문인력의 필요성이 줄어들게 된다. 그다음 2단계의 정보를 추려내는 업무가 자동화되고, 3단계의 1차 판단 작업 역시 상당 부분 자동화된다. 최종적으로는 자동화가 대체하기 어려운 사람에 의한 4단계 의사결정 과정만이 남는다. 자동화는 필연적으로 1단계, 2단계, 3단계의 전문인력 감소를 불러오게 되는 것이다.

중요한 점은 업무 자동화의 추세와 함께 신규 인력들이 시장에 유입될 수 있는 자리가 줄어들게 된다는 것이다. 위에서 언급한 보안관제업무의 4단계 의사결정자도 1단계로부터 지식과 경력을 쌓으면서 4단계까지 상승한 경우이다. 그러나 업무 자동화의 결과로 1단계의 인력이 없어지면 2단계로 상승할 인력도 역시 사라지게 되고, 종국에는 3단계뿐 아니라 4단계를 담당할 의사결정자 역시 사라지는 결과를 초래할 수 있다. 즉, 당장의 업무 효율화가 비용절감의 효과는 있을지 모르지만 미래 시장에서 활동할 보안전문가 양성에는 부정적인 영향을 초래하게 되는 것이다.

보안관제업무를 예로 들었지만 현재 대부분의 정보보안 분야에서 전문인력 부족의 어려움을 토로하는 현상이 발생하고 있다. 수요는 있는데 인력의 공급이 되지 못하는 것이다. 물론 정보보안업무가 상당한 기술을 필요로 하는 전문분야라는 특성으로 인해 새로 보안 분야에 진출하고자 하는 수가 줄어든 영향도 있을 것이다. 하지만 이미 시작되어 진행되고 있는 보안업무의 자동화로 인해 신입 인력을 단계적 전문가로 양성하지 못한 부작용의 결과가 슬슬 나타나기 시작한 것이 아닐까 걱정이다. 더구나 이대로라면 다가오는 미래에는 후유증이 더욱 심해져 전문인력의 수요와 공급 불균형이 더욱 심화될 수도 있다.

지금부터라도 문제 해결을 위한 진지하고도 심각한 고민이 필요하다.