ISC2의 인력 격차 수치를 주의 깊게 해석하세요
2024년 9월 11일 발표된 ISC2의 2024년 연구에 따르면, 사이버보안 인력 격차는 전년 대비 19% 증가해 4,800,000개 일자리 규모에 도달했습니다. 이 단체는 인력 격차를 현재 인력 규모와 필요하다고 판단되는 인력 규모 사이의 차이로 설명합니다.
ISC2는 자격 인증을 발급하는 전문가 협회입니다. 따라서 인력 부족을 조사하고 기록하는 데 이해관계가 있습니다. 그렇다고 연구가 잘못되었다는 뜻은 아니지만, 이 수치는 채용 공고 수가 아니라 설문조사에 근거한 추정치로 읽어야 합니다. 인력 격차의 계산 방법은 전체 보고서에서 확인할 수 있습니다.
이 연구에서는 또한 조직의 90%가 보안팀 내 역량 부족을 보고했으며, 64%는 인원 부족보다 역량 부족을 더 심각하게 여긴다고 밝혔습니다.
연구가 채용에 관해 무엇을 말하는지 살펴보세요
2024년 연구는 팀 구성에 관한 데이터를 제공합니다. 이에 따르면 응답자의 31%는 자신의 보안팀에 입문 수준 직원이 전혀 없다고 답했으며, 15%는 주니어 수준 직원(경력 1~3년)이 전혀 없다고 답했습니다. 연구에서는 설문에 참여한 관리자의 62%가 충원해야 할 자리가 있었다고 밝혔습니다. 또한 채용이 중급 및 고급 경력자를 우선하고 있음을 강조합니다.
이 수치는 신규 졸업자에게 중요합니다. 인력 부족이 주로 경력자 부족이라는 점을 시사하기 때문입니다. 전체적인 인력 격차가 크더라도 신입 일자리 시장은 여전히 어려울 수 있습니다.
연구에서는 또한 북미와 유럽 응답자의 약 4분의 1이 지난 12개월 동안 사이버보안 분야의 정리해고를 경험했으며, 중동과 아프리카에서는 그 비율이 29%였다고 보고합니다. 연구는 이러한 정리해고의 원인을 경제적 제약으로 설명합니다.
미국의 고용 전망을 살펴보세요
BLS는 정보보안 분석가의 고용이 2025년부터 2035년까지 21% 증가할 것으로 전망하며, 이를 전체 직업 평균보다 훨씬 빠른 증가율로 분류합니다. 이들의 임금 중간값은 2025년 5월 기준 129,180 미국 달러였습니다.
이 직업에 진입하는 데 필요한 일반적인 학력으로 BLS는 컴퓨터과학 또는 공학이나 수학 같은 관련 분야의 학사 학위를 제시합니다. 일부 근로자는 고등학교 졸업장, 교육훈련, 자격 인증을 갖추고 진입한다고도 명시합니다. 또한 많은 고용주가 정보보안 자격 인증을 보유한 지원자를 선호한다고 설명하지만, 구체적인 자격 인증의 이름은 제시하지 않습니다.
이 수치는 특정 직업군에 대한 미국 시장의 상황을 설명합니다. 진출하려는 국가의 통계를 대신하지는 않습니다.
표로 학위와 자격 인증을 비교하세요
아래 표는 일반적으로 학위와 자격 인증에 부여되는 역할을 정리한 것입니다. 인용된 출처를 바탕으로 이해를 돕기 위한 틀이며, 순위를 매긴 것이 아닙니다.
| 기준 | 대학 학위 | 전문 자격 인증 |
|---|---|---|
| 주요 역할 | 이론적 기반과 여러 직종으로의 진출 기회 | 특정 역량에 대한 증명 |
| 출처에서의 언급 | BLS에 따르면 일반적인 입직 학력 | BLS에 따르면 “많은 고용주가 선호” |
| 기간 | 수년 | 수주 또는 수개월의 준비 |
| 한계 | 비용과 기간 | 일부 자격 인증의 경력 요건 |
이 표는 내용을 단순화한 것입니다. 컴퓨터과학 학위가 보안 역량을 자동으로 갖추게 해 주는 것은 아니며, 자격 인증이 학위 수준의 이론적 깊이를 제공하는 것도 아닙니다. 두 가지는 서로 대립하기보다 보완하는 관계입니다. BLS 자체도 두 가지를 모두 언급합니다. 학사 학위는 일반적인 입직 학력으로, 자격 인증은 신입 직위를 포함해 많은 고용주가 선호하는 요소로 제시합니다.
자격 인증의 요건을 확인하세요
자격 인증이 모두 같은 것은 아닙니다. 일부는 초보자를 대상으로 하지만, 다른 일부는 수년의 경력을 전제로 합니다. 예를 들어 ISC2는 Certified in Cybersecurity (CC) 자격 인증을 제공하며, 해당 페이지에서는 이를 업무 경력이 전혀 필요하지 않은 입문 수준의 자격 인증으로 소개합니다. 반면 CISSP 자격 인증 페이지에는 인정되는 분야와 인턴십 관련 예외를 포함한 5년의 경력 요건이 명시되어 있습니다. 이러한 규정은 바뀔 수 있으므로 세부 사항은 해당 단체의 웹사이트에서 직접 확인해야 합니다.
중요한 점은 고급 자격 인증이 경력을 대신하지 않는다는 것입니다. 초보자는 이를 온전히 취득할 수 없으므로, 먼저 입문 수준의 자격 인증을 목표로 삼고 이후 필요한 경력을 쌓을 수 있는 직무를 찾아야 합니다.
ISC2 연구는 관리자들이 경력과 자격 인증의 조합을 기대하는 경우가 많으며, 이러한 조합을 갖추기가 어렵다고 지적합니다. 지원자는 실제 채용 공고를 읽고 자신이 속한 지역에서 요구하는 자격 인증을 파악하는 것이 좋습니다.
인공지능의 영향을 평가하세요
2024년 연구에 따르면 응답자의 3분의 1 이상이 인공지능을 자신의 팀에서 가장 부족한 역량으로 꼽았습니다. 또 다른 질문은 중요하다고 여기는 역량에 관한 것으로, 채용 담당 관리자의 12%와 실무자의 23%가 AI를 언급했습니다. 따라서 이 비율은 역량 부족과는 다른 대상을 측정한 것입니다.
이 차이는 팀과 관리자들이 필요성을 서로 다르게 인식하고 있음을 시사합니다. 따라서 신중하게 판단해야 합니다. 유행하는 역량이라고 해서 반드시 채용 공고에서 요구되는 것은 아닙니다.
학생에게 여전히 중요한 탄탄한 기초는 네트워크, 운영체제, 프로그래밍, 암호학, 위험 관리입니다. 이러한 지식은 기술이 달라져도 적용할 수 있습니다.
주의해서 읽어야 할 또 다른 점도 있습니다. ISC2 연구는 실무자와 관리자를 대상으로 한 설문조사이므로, 필요에 대한 객관적 측정이 아니라 인식을 보여 줍니다. 이러한 인식은 조직 내 각 응답자의 위치를 반영하며, 새로운 도구가 등장하면 빠르게 바뀔 수 있습니다. 수강 과목을 선택할 때는 어떤 동향 연구보다 현재의 직무 설명이 더 나은 길잡이가 됩니다.
구체적인 경험을 쌓으세요
수요가 경력에 집중되어 있으므로 인턴십, 프로젝트, 대회가 중요한 역할을 합니다. ‘캡처 더 플래그’ 유형의 대회, 개인 실습 환경, 오픈소스 프로젝트 기여, 보안팀 인턴십은 고용주에게 보여 줄 수 있는 근거를 제공합니다.
인턴십이나 실제 조직과 함께하는 팀 프로젝트를 포함한 대학 교육과정은 학위 취득과 첫 일자리 사이의 간극을 줄여 줍니다. 해당 교육과정의 졸업생들이 최근 2년 동안 어디에서 일했는지 문의하는 것이 유용합니다.
진로를 전환하는 사람에게는 단기 교육과정이 기존의 컴퓨터과학, 네트워크 또는 시스템 관리 분야 학위를 보완할 수 있습니다. 이 경우 단기 교육과정은 출발점이 아니라 전문화 과정으로 기능합니다.
역량을 문서로 입증할 수 있는 구체적인 방법은 다음과 같습니다.
- 사용한 도구와 결과를 포함해 개인 실습 환경을 글로 설명하기
- 보안 대회에 참가하고 달성한 순위를 제시하기
- 보안 관련 직함이 없더라도 IT팀에서 인턴십이나 여름 일자리 경험 쌓기
- 오픈소스 프로젝트에 대한 기여 내용을 문서화하기
캐나다에서는 어떨까요?
캐나다의 사이버보안 직종은 공학이나 보건 분야처럼 규제되지 않습니다. 다만 엔지니어라는 직함은 보호됩니다. 이 직함을 사용하려는 졸업자는 주 단위의 전문직 규제기관 절차를 거쳐야 합니다. 한편 고용주들은 주로 컴퓨터과학 학위, 자격 인증, 경력을 요구합니다. 직종별 고용 통계는 연방 기관들이 별도로 발표하며, 이 글의 미국 수치와 동일한 것으로 볼 수 없습니다. ISC2 자격 인증은 국제적으로 통용됩니다. 대학 제도에 종속되지 않고 다른 국가와 마찬가지로 캐나다에서도 응시할 수 있으므로, 캐나다 학위와 병행할 수 있습니다.
StudyCanada는 워털루 대학교(University of Waterloo)와 오타와 대학교(University of Ottawa / Université d’Ottawa)의 컴퓨터과학 교육과정, 그리고 맥길 대학교(McGill University)와 몬트리올 대학교(Université de Montréal)의 사이버보안 교육과정(정보시스템 관리 및 보안) 등을 소개합니다. 워털루 대학교는 사이버보안 전용 교육과정이 아니라 일반 컴퓨터과학 교육과정으로 소개되어 있습니다.