편리함과 안전 사이, 그 경계에서 카뱅을 지키는 사람들
공고 너머의 직무 이야기 | 카카오뱅크 정보보안기술 리더 5인을 만나다
Intro
은행 서비스는 신뢰 위에 세워집니다. 돈을 맡기고 보내고 빌리는 모든 순간, 끊임없이 변화하는 기술 환경 속에서 카카오뱅크를 한발 앞서 지켜내는 사람들이 있죠.
접속 이력 하나, 로그의 작은 변화에서도 위협의 가능성을 읽어내고 새로운 기술이 등장할 때마다 그 안에 숨은 위험까지 상상하며 보안의 언어로 해석하는 사람들. 정보보호기술팀은 편리함과 안전 사이, 그 미묘한 경계에서 보안을 지키면서도 편리함을 지켜나가기 위해 '되는 방법'을 찾고 있습니다.
우리가 누리는 편리함 뒤에서 보이지 않는 위협에 맞서는 정보보호기술팀의 이야기를 지금 시작합니다.
직무에 대해 조금 더 알아보는 시간, 공고 너머의 직무 이야기를 통해 확인해 보세요!
→ 정보보호기술 담당자 - 채용 Boost ⚡️(공고 확인하기)
Interviewee
왼쪽부터 Kai, Terry, Kevin, Jackie, Hugo정보보호기술팀 채용 부스트가 시작되었어요! 인재영입 인터뷰를 통해 만나뵙기 어려웠던 분들이었죠. 간단한 소개 부탁드립니다.
Kevin. 안녕하세요. 정보보호기술팀을 맡고 있는 케빈입니다. 카카오뱅크 정보보호실은 PIS(Privacy & Information Security)팀과 정보보호기술팀, 두 개 팀으로 구성되어 있는데요. 저희 정보보호기술팀은 구성원의 업무 환경부터 대고객 서비스까지, 모든 영역에 대한 보안을 기술적 관점에서 접근하는 팀이에요. 보안 정책을 세우고 이에 따라 관리 활동을 한다기 보다, 신뢰할 수 있는 보안 환경을 만들기 위해 직접 시스템을 기획 및 구축하고 운영, 모니터링, 개선 등을 하는 팀에 가깝죠.
회사마다 보안팀의 구조와 운영 방식이 다르다 보니, 우리 팀이 '운영에만 집중하는 곳인가?'라는 오해를 받을 수 있다고 생각해요. 하지만 정보보호기술팀은 기획부터 운영까지 모든 과정을 직접 책임지는 팀이에요. 이후에 소개될 네 개의 팀에서 각 영역에 대한 운영을 할 뿐만 아니라 필요에 따라 시스템을 기획하고 구축까지 진행하고 있는데요. 이런 점이 다른 곳에서는 할 수 없는 차별화된 경험 중 하나라고 생각합니다.
'네 개의 팀'에 대한 힌트를 주신 만큼, 각 팀에 대한 소개를 부탁드려요!
Terry. 어플리케이션 보안팀의 테리입니다. 우리 팀의 업무는 크게 모의해킹 및 취약점 분석과 DevSecOps로 나누어져 있어요. 우선 대고객 서비스와 내부 구성원이 활용하는 서비스가 해킹으로부터 안전할 수 있도록 모의해킹과 침투 테스트 등의 업무를 진행하고, 카카오뱅크 앱의 자체 보안 로직도 직접 개발해요. 이를 위해 최신 보안 위협에 대한 리서치와 신기술 관련 보안 취약점 연구도 수행하고 있고요. DevSecOps 영역에서는 각 서비스가 개발되기 시작할 때부터 배포 및 운영 단계까지, 전 과정에 보안 자동화 도구의 개발 및 파이프라인 적용하며 적극적으로 관여하고 있습니다.
Jackie. 시스템 보안팀의 재키입니다. 카카오뱅크 안에는 서비스를 운영하기 위해 필요한 다양한 시스템이 존재하는데요. 이런 시스템이 안정적으로 작동할 수 있도록 점검하고, 이상 현상이 발생하는지 탐지하고, 접근 권한을 관리하는 등 폭넓은 업무를 맡고 있어요. VDI(Virtual Desktop Infrastructure), KMS(Key Management System) 등 보안 솔루션을 운영하는 것도 저희 팀의 역할입니다.
Kai. 보안기술 아키텍처팀의 카이입니다. 보안기술 아키텍처팀은 보안 영역에서 고려해야 하는 ‘새로움’에 대응하는 곳이라고 요약할 수 있을 것 같아요. 기술이 발전할수록 침해 대응 역시 기존의 방정식대로 하긴 어려운데요. 기존의 온프렘 환경뿐만 아니라 클라우드 환경에서도 잘 작동할 수 있는, 이전에 없던 보안 아키텍처를 구성하는 것을 목표로 하고 있습니다. 또 카카오뱅크 구성원이 안전한 환경에서 일을 하되, 보안 때문에 불편함을 겪지 않을 수 있도록 업무 환경을 고도화하는 일을 해요.
Hugo. 네트워크 보안팀 휴고입니다. 팀 이름에서도 알 수 있듯 네트워크 보안을 책임지고 있어요. 카카오뱅크 내부 네트워크와 외부 네트워크 간에 신뢰할 수 있는 연결을 보장하면서도, 부적절한 외부 침입은 잘 차단할 수 있는 환경을 구축하는 데 힘쓰고 있습니다. 최근엔 클라우드, AI 환경에서도 효율적으로 동작할 수 있는 네트워크 아키텍처를 설계하기 위해 고민하고 있어요.
잠깐! 꿀정보 가득한 히든 페이지를 찾아보세요! (힌트: 민트색)
네 개의 팀이지만
한 팀처럼 유기적으로 일하고 있어요.
정보보호기술팀과 방금 소개된 네 개의 팀의 관계는 어떻게 되나요?
Kevin. 모두 '팀'이라는 조직 명칭을 가지고 있다 보니 혼란스러우실 수 있겠네요. 정보보호기술팀은 1차 팀으로, 정보보호기술팀 아래에 2차 팀인 어플리케이션 보안팀, 시스템 보안팀, 보안기술 아키텍처팀, 네트워크 보안팀이 있는 구조입니다.
처음부터 이런 조직 구조였던 건 아니었어요. 업무를 보다 효과적으로 할 수 있는 방향을 고민하다 보니 종종 개편이 있었고, 지금의 형태에 이르렀죠. 보안기술 아키텍처팀은 원래 사용자 보안팀이었지만 고도화된 침해 공격에 제대로 대응하기 위해 클라우드와 네트워크 기능 일부를 포괄적으로 다루어야 할 필요가 있어 하나의 팀이 되었어요. 환경 변화에 따라 앞으로도 팀은 변화할 수 있겠지만, 그 기준은 지금처럼 업무를 더 잘할 수 있느냐가 될 거예요.
네 개의 팀이 하나의 정보보호기술팀으로 어떻게 협업하고 있는지 궁금해요.
Kevin. 팀이 나뉘어져 있긴 하지만, 각 팀은 독립적으로만 역할을 하기 어렵습니다. 어떤 일을 하든 다른 팀과 협업하거나 의견을 나눠야 할 일이 생기기 때문에 모든 팀이 긴밀하게 연결되어 있어야 하죠. 그래서 네 팀이 유기적으로 일할 수 있는 방법에 대해 늘 고민하고 있는데요. 이런 고민의 연장선으로 만들어진 시스템이 '하이원'이에요. 예를 들어, 제가 시스템 보안팀인데 네트워크 보안팀에서 관리하는 정책을 보고 싶으면 API를 통해 요청을 보낼 수 있어요. 각 팀이 가지고 있는 정보가 서로 연결될 수 있는 API 허브인 거죠.
운영뿐만 아니라 기획, 구축까지.
수준 높은 보안 환경에 대해 근본적으로 고민하고 접근할 수 있어요.
정보보호기술팀은 카카오뱅크의 근간을 책임지는 팀이라고 느껴져요. 은행은 무엇보다 고객이 믿고 신뢰해 돈을 맡기는 회사다 보니, 보안은 선택이 아닌 필수라고 생각되거든요. 맡은 역할을 잘해내기 위해 어떤 점을 중요하게 여기고 있는지도 궁금합니다.
Kevin. 보통의 회사에서는 보안 정책 기획팀에서 기획 업무를 주도하면서 요구 사항을 만들고, 이를 운영팀에 전달해 실행하는 방식으로 분리되어 있는 것으로 알고 있어요. 그런데 저희는 직접 운영을 하면서 필요한 부분이 발견되면 스스로 기획하고 구축하고 있어요. 이런 점은 담당자가 보안 환경의 완성도를 높이기 위한 보다 근본적인 고민이 가능하다는 걸 의미해요. 기술적인 부분에도 더 깊이 관여하게 되면서 자연스럽게 기술력과 전문성이 함께 높아지죠.
Jackie. 상용 솔루션 위주의 제품을 사용하는 회사가 많을 텐데요. 저희는 상용 솔루션에 의존하기 보다, 오픈소스를 활용하거나 필요에 따라 자체적으로 시스템을 개발해서 운영하기도 해요. 우리만의 스타일을 반영한 시스템을 구현할 수 있다는 특징이 있다고 볼 수 있어요.
Terry. 저희 어플리케이션 보안팀은 주로 자체 개발한 시스템을 활용하고 있어요. 하나의 예로 DevSecOps 영역에선 자체 개발한 '개발자 자가 동적/정적 취약점 점검 서비스'를 운영하고 있죠. 또 반복적인 작업이 많은 모의해킹 업무는 AI 기술을 활용한다면 효율성이 높아질 여지가 크기에 AI 기반의 모의해킹 자동화에 대한 리서치를 진행하면서 방향성을 모색하고 있답니다. 역동적으로 변화하는 개발 환경에 맞추면서도 편리하고 안전한 개발 라이프 사이클에 대해 고민하다 보니, 보안 자동화 개발 역량과 주요 웹/앱 취약점에 대한 이해가 중요해진 것 같아요.
Kevin. 상용 솔루션만으로는 우리의 요구 사항을 충족하기 어려운 경우가 많아요. 특히 카카오뱅크는 은행이지만 IT 회사의 특징을 강하게 가지고 있는 조직이잖아요. 개발자들의 다양한 요구사항과 비즈니스 니즈를 반영하려면 상용 솔루션을 커스터마이징해 도입하거나 자체적으로 시스템을 개발하는 것이 효과적이죠. 우리가 하고 싶은 것을 시도해 볼 수 있는 환경이 갖추어져 있다는 점, 우리만의 방식으로 문제를 해결하거나 새로운 아이디어를 구현할 수 있는 분위기가 큰 장점이라고 생각해요.
다섯 분 모두 결코 짧다고 할 수 없는 기간을 카카오뱅크에서 정보보호기술 담당자로 일하고 계신데요. 우리 조직만의 색깔이나 차별성은 무엇이라고 생각하시나요?
Kevin. 카카오뱅크 설립 초창기부터 지금까지 저희는 운영과 기획을 분리하지 않았는데요. 이러한 점이 아주 큰 차이를 만들어냈다고 생각합니다. 직접 운영 업무를 해봐야 발견할 수 있는 문제나 비효율성을 정확하게 확인해 내고, 이를 해결할 수 있는 개선 아이디어를 발굴해 기획에 반영할 수 있었기 때문이에요.
Jackie. 그간의 경험을 돌아보면, 누군가가 시켜서 하는 일이 아니라 담당자가 능동적으로 본인의 방향성을 추구하면서 자유롭게 무언가를 구현할 수 있는 환경 속에 있었던 것 같아요. 물론 모든 것이 완전히 자유로운 건 아니었지만, 규제 환경 속에서도 사용자의 편의를 최우선으로 생각하며 다양한 시도를 할 수 있는 여지가 많았다고 생각해요.
최근 팀에서 집중하고 있는 도전적인 과제가 뭔지 궁금합니다.
Kai. 저희 보안기술 아키텍처팀은 작년부터 진행해온 '제로 트러스트(Zero Trust)*'를 꼽고 싶어요. 클라우드, AI 등 새로운 기술이 빠른 주기로 등장하고 있는 만큼, 변화에 잘 대응할 수 있도록 카카오뱅크 환경에 맞는 제로 트러스트 프레임워크를 마련해 구축을 진행하고 있습니다. 단순 보안 솔루션의 기능에 의존하여 제로 트러스트를 구축하는 것이 아니라 근본적인 접근을 통해 여섯 개의 도메인을 정의하고 모든 도메인의 세부 액티비티들을 정의하여 순차적으로 성숙도를 높여가고 있어요.
예를 들어 Data 도메인의 한 가지 액티비티로, 카카오뱅크가 보유하고 있는 Data를 정의하는 것에서부터 출발해 각 연결 지점을 기반으로 정의된 Data들이 어떠한 방법으로 저장/복사되고 어떠한 Ingress/Egress Channel을 통해 이동하는지를 모니터링할 수 있는 체계를 구축하려고 준비하고 있습니다.
*제로 트러스트: '아무것도 신뢰하지 않고 항상 검증한다'는 원칙에 기반한 최신 사이버 보안 모델. 네트워크 내부든 외부든, 모든 사용자·기기·애플리케이션이 기본적으로 잠재적 위협으로 간주되며, 접근을 요청할 때마다 엄격한 인증과 권한 검증을 거쳐야만 리소스에 접근할 수 있도록 한다.
Jackie. 저희 시스템 보안팀에서 제로 트러스트 중 인증 부분을 1차적으로 개발하고 있어요. 입사하시게 된다면 이 업무를 함께 하실 수 있을거예요!
Kevin. 최근 AI가 큰 주목을 받고 있지만, AI 기술이 주는 새로운 기회에 대한 기대감 만큼이나 어떤 위협이 있을지에 대한 우려도 커지고 있는 상황 같아요. AI를 어떻게 사용하는 것이 정답인지, 어떤 위험이 있는지 충분히 알려져 있지 않죠. 그래서 저희부터 AI를 많이 활용하고 경험해 보면서 어떤 문제가 발생할 수 있을지 익히는 게 중요하다고 생각해요.
어떤 공고에 지원해야 할까?
라는 고민을 덜어드리려 했어요.
이제 채용 이야기로 넘어가 볼게요! 이번 채용 부스트에서 가장 눈에 띄는 점은 여러 팀의 공고를 하나로 모아 진행한다는 점인데요. 이런 방법을 선택하신 이유가 무엇인가요?
Kevin. 가장 큰 이유는 지원자분들의 고민을 덜어드리기 위함이에요. 그동안 네 개 공고가 따로 진행되다 보니 '나의 경험과 가장 잘 맞는 포지션이 무엇일까?'라는 고민이 있으실 거라 생각했거든요. 보안 분야에서의 경험은 도메인이나 접근 방법에 따라 넓고 다양한데요. 지원자분들이 본인의 경험이 어떤 공고에 핏(fit) 할지 망설이시거나, 또 지금까지 해왔던 일을 다른 영역으로 확장하고 싶다는 생각을 하실 수 있겠다고 생각했어요. 실제로 정보보호기술팀 안에서 직무를 전환해 영입을 진행하는 경우도 꽤 발생하기도 했고요.
또 공고를 하나로 합치면서 지원에 필요한 필수 경험과 역량의 기준도 낮춰, 그동안 지원을 머뭇거리셨던 분들도 이 기회에 도전해 보고 싶게끔 했어요. 저희 팀은 채용공고에 적힌 모든 걸 다 할 줄 아는 사람을 찾기 보다, 그보다 적은 경험을 보유했더라도 ‘성장 가능성’이 있는 분을 영입하고자 해왔는데요. 이 점을 기존의 공고로 잘 전달하지 못한 것 같아서 지원자격을 최소한으로 설정했습니다.
이번 채용 부스트를 통해 어떤 분을 영입하고 싶은지 다섯 분의 생각이 궁금합니다!
Kevin. 지금 당장 운영, 개발, 기획 경험을 모두 갖추지 않았더라도, 탄탄한 기본기를 갖춘 분과 함께 하고 싶어요. 능동적으로 여러 과제에 도전하며 우리 팀 안에서 성장하는 모습을 자연스럽게 그려볼 수 있는 분이요.
Jackie. 오픈 소스 활용 경험 등 기본적인 개발 역량을 확인하는 편이에요. 또 시스템 보안팀은 팀원끼리 편하게 대화하고 있어서, 본인의 의견을 소신 있게 이야기하되 상대방의 의견도 존중할 줄 아는 분이면 좋겠어요.
Kai. 보안기술 아키텍처팀에서 다루는 영역이 넓다 보니, 모든 영역을 다 아는 분을 찾긴 불가능하다고 생각해요. 오히려 자신만의 뾰족한 무기가 있는 분이 오시면 더 좋지 않을까? 라는 생각을 하고 있습니다. 클라우드, 침해대응, 보안 서비스 개발 중 한 가지 영역에 강점이 있으시다면 좋을 것 같네요. 또 기술 트렌드에 밝고, 새로움에 대한 도전을 두려워하지 않은 분이었으면 해요.
Terry. 모의해킹 및 취약점 분석 영역에는 해킹 분야 중 웹과 시스템 해킹 관련 경험이 많은 분이 오시면 큰 도움이 될 것 같아요. 무엇보다 '우리 서비스는 내가 지킨다!'라는 화이트 해커로서의 마음가짐이 중요하지 않을까요? (웃음) DevSecOps 영역은 CI/CD 보안 파이프라인 운영 경험과 보안 자동화 서비스 개발 역량을 보유한 분이면 환영입니다.
Hugo. 저는 서비스 장애를 많이 겪어 본 분이요! 장애를 어떻게 대응했는지 경험을 나누면서 견고한 서비스와 보안 환경에 대해 함께 머리를 맞댈 수 있는 분이면 좋겠습니다.
입사지원서를 작성하는 것도 고민이 될 것 같은데요. 서류전형 팁이 있을까요?
Kevin. 본인이 가진 역량을 아낌없이 보여주셨으면 좋겠어요. 입사지원서를 검토하다 보면 아주 간단하게만 업무를 나열한 경우가 많은데요. 작은 경험이라도 어떤 기술과 방법을 활용했는지, 어떤 기술적인 도전이 있는지, 어떻게 문제를 해결했는지 등 본인의 역할과 고민을 구체적으로 기재해 주시면 좋을 것 같아요.
Kai. 저도 공감해요. 프로젝트 이름만 적혀있으면 지원자가 어떤 일을 담당했는지 알 수 없거든요. 경험 및 경력기술서에는 각 프로젝트와 경험을 통해 어떤 기술을 활용해 어떤 성과를 냈는지, 자기소개서에는 카카오뱅크에서 어떤 일을 하기를 기대하는지도 잘 작성해 주셨으면 합니다!
실무진 면접은 어떻게 준비하면 좋을까요?
Kai. 면접은 입사지원서에 기재된 내용을 디테일하게 확인하는 과정이에요. 어떤 어려운 문제를 만났는지, 그 문제를 어떻게 해결했는지, 그 과정에서 동료와 어떻게 협업했는지 등 경험과 역량에 대해 구체적인 이야기를 나누고 있어요. 가끔 지원 직무에 맞는 이력만 적어두시는 분이 있어서 그 외에도 어떤 경험이 했는지 물어보기도 해요.
Terry. 저는 제가 겪었던 상황을 가정하고 지원자분이라면 어떻게 해결할 것 같은지 질문해요. 대답을 듣다 보면 우리 팀이 지향하는 방향과 잘 맞는 분인지 알 수 있거든요. 포트폴리오, 깃헙, 블로그를 제출하셨다면 그걸 보면서 개발 역량에 대한 질문을 하고 있습니다. 필수는 아니지만 꾸준히 기록을 해온 분이라면 꼭 올려주세요!
Hugo. 저 역시 문제를 해결할 수 있는 역량을 중점적으로 확인해요. 본인만의 인사이트를 가지고, 어려운 상황에서도 생각하지 못한 방향으로 문제를 해결하곤 하는 반짝반짝한 사람이요!
Kevin. 저 역시 '만약에'라는 질문을 많이 하는 것 같아요. 저희가 어렵게 해결했던 문제를 지원자분이라면 어떻게 해결할지 궁금하기도 하고, 면접자와 면접관의 관계를 넘어 같은 일을 하는 사람들끼리 이야기를 나누는 게 재미있더라고요.
지원을 망설이는 분에게 한 마디 부탁드립니다!
Kevin. 카카오뱅크의 정보보호기술팀은 보안에 대해 심도 있게 고민할 수 있는 팀이라고 생각해요. 금융 회사의 보안은 그 어느 곳보다도 견고함이 중요하니까요. 그렇다고 해서 최신 기술과 트렌드에 보수적으로 접근하지 않아요. 새로운 것에 도전하는 것을 즐기는 분, 적극적으로 업무 영역을 넓혀가고 싶은 분이라면 무조건 같이 성장하실 수 있습니다. 해보고 싶은 것 얼마든지 할 수 있는 환경이니 많이 지원해 주셨으면 좋겠어요!
Jackie. 보안을 강화하고 문제를 해결하는 과정에서 많은 도전과 기회가 기다리고 있어요! 팀 동료들과 함께 협업해 문제를 해결하는 과정에서 큰 성취감을 느끼실 수 있습니다. 용기 내어 지원해 주세요!
수준 높은 보안 환경에 대해 근본적으로 고민해볼 시간.
지금 카카오뱅크와 함께 하세요.
