[넋두리 5] 12. 컨설턴트. vs. 엔지니어

창의적 사고 여부가 기준을 가른다

현재 많은 이들이 보안분야에 몸을 담고 일을 하고 있다. 그들 중 일부는 보안컨설턴트라는 간판을 달고 일한다. 나 역시 30년이 넘는 직장 생활 중 15년 정도를 보안컨설턴트로 일했던 사람이어서 보안컨설팅이라는 직업의 특징, 고됨에 대해서 나름 안다면 아는 사람이다. 그렇기 때문에 현재의 보안컨설턴트 직무가 당면한 문제점이랄까 또는 한계에 대해서도 역시 잘 알고 있다.

현재 수행되고 있는 보안컨설팅 사업들에서 확인할 수 있는 가장 큰 문제점은 정해진 기준에 맞춰서만 수행되고 있다는 것이다. 법에 의해 강제로 형성된 영역이 상당 부분을 차지하고 있는 국내 보안시장의 특성 때문일 것이다. 보안컨설팅 역시 강제된 규정을 지키기 위해 정해진 기준을 지키는가 여부를 확인하는 형태로 고착화되고 있는 것이다.

컨설턴트에 대한 사전적 의미는 '기업이나 조직의 문제점을 분석하고, 전문 지식을 바탕으로 해결책을 제시하며, 경영 효율성 향상을 위한 자문 및 지도를 제공하는 전문가'라고 제시되어 있다. 여기서 간과해서는 안 되는 부분은 '상대방에게 조언 또는 자문을 해주는 전문가'라는 표현이다.

단순히 전문 지식을 바탕으로 문제점을 찾고 그에 대한 가이드를 전달하는 업무는 굳이 컨설턴트가 아니라 분야 전문 엔지니어 혹은 전문설루션들로도 충분히 가능한 부분이다. 따라서 그들과의 차별화를 꾀하면서도 컨설턴트라는 호칭을 사용하고자 한다면 사전적 의미의 뒷부분에 방점을 찍고 활동해야만 한다. '경영 효율성 향상을 위한 자문 및 지도를 제공하는 전문가'라고 표현하고 있는 부분말이다. 따라서, "오랫동안 관행적으로 굳어버린 규정 기준에 기반한 진단을 수행하는 이들을 컨설턴트라고 부를 수 있는가"라는 근본적인 질문을 던질 수밖에 없다.

어쩌면 법에 의해 강제로 형성되었다는 우리네 특성이 국내 보안시장에서 보안컨설팅 사업을 규정 위주의 진단만을 수행해도 충분하다는 의미로 받아들여지면서 보안컨설턴트의 역할이 마치 보안엔지니어처럼 변질되어 왔는지도 모른다.

문제는 사전적 의미에서 뜻하는 '전문 지식을 바탕으로 해결책을 제시하며, 경영 효율성 향상을 위한 자문 및 지도를 제공한다'를 충족하지 않으면 컨설턴트라고 명하기 어렵다는 점이다. 컨설턴트가 제시한 내용이 단순히 가이드북에 적힌 내용을 설파하는 것이 아니라 전문가로서의 개인의 경험과 의견이 반영된 창의적이고 독창적인 판단 또는 견해를 담고 있는가 여부가 중요하기 때문이다. 다시 말해 가이드북에서 제시하는 내용을 넘어 그 이상을 담고 있는가 하는 것이다.

최근 보안시장의 추세는 IT기술의 발달과 AI 기술로 인해 보안조직에 의해 수행되던 보안업무 중 단순업무에 해당하는 경우 자동화와 효율화 달성이라는 방향으로 과제화되어 진행되고 있다. 굳이 사람 즉 보안담당자나 보안컨설턴트가 하지 않아도 되는 단순 반복 업무의 경우 IT기술로 대체되는 것이다. 그 대상으로는 서버, 데이터베이스 같은 인프라 자원들에 대한 취약점진단과 홈페이지 및 쇼핑몰 사이트 같은 외부에 공개된 인터넷 서비스에 대한 웹취약점 진단 등이 우선 대상으로 지목되고 있다.

모두 기업들이 매년 예산을 들여 수행해야 하는 취약점진단 대상이면서 보안업무의 효율성 극대화 차원에서 자동화 기술의 도입이 가능한 영역으로 지목되어 온 것들이다. 그리고 이 영역들이 바로 엔지니어 업무에 해당하는 영역이다. 자동화 교체대상이며 보안컨설턴트 중 기술컨설턴트들이 가장 많이 수행해오고 있는 영역이다.

AI기술의 발달이 사람이 수행하던 기존 직업의 판도를 바꾸고 있다고 말한다. 사실 이미 그 조짐은 우리 주변 곳곳에서 나타나고 있다. 그리고 보안컨설팅 분야에도 슬슬 그 조짐이 나타나고 있다. 이제 보안컨설턴트로서 살아남으려면 변화해야 한다. 기존 엔지니어 수준을 뛰어넘어 진짜 컨설턴트가 되어 자신만의 창의적 색깔을 담을 수 있어야 한다.

인정하자. 이제는 단순히 보안컨설턴트라는 직업에 대한 자존심의 문제를 뛰어넘어 생존의 문제이면서 바로 코 앞에 당면한 현실임을.