보안 업계 종사자 4분의 3 이상이 5년 미만 근무
탈진, 업계 문화, 불투명한 진로 개선해서 유지해야

[보안뉴스 오다인 기자] 보안 인력을 새로 유치하는 게 어렵다는 이야기는 많다. 하지만 기존의 보안 인력을 계속 유지하는 것도 잘 못하고 있다는 사실에 대해서는 많이 이야기하지 않는다. 보안 업계의 인력 부족 문제는 현재 인력의 재직 기간을 늘리지 못하는 한 계속해서 악화될 것이다.


올해 초 사이버 보안 업체 엔드게임(Endgame)의 최고 사회 과학자(chief social scientist) 안드레아 리틀 림바고(Andrea Little Limbago) 박사는 보안 인력 유지에 대한 관점을 파악하기 위해 보안 전문가 300명을 설문조사 했다. 그 결과 응답자 4분의 3이 보안 업계에 들어온 지 채 5년이 안 됐으며, 11년 이상 된 사람은 35%로 나타났다.

보통 인력 부족 문제는 써먹을 수 있는 인재 자체가 부족하다는 뜻의 ‘배관 문제(pipeline problem)’로 묘사된다. 그러나 림바고에 따르면, 배관 문제는 인재를 보안 업계로 유인하기 때문에 긍정적인 과제라고 볼 수 있다. 배관 문제가 있다고 인식되면 대학교의 보안 프로그램을 개선하는 데 주력할 수 있고, 초·중·고 교육과정에도 보안을 도입하는 데 큰 동력이 될 수 있다.

“사이버 보안 업계에 입문할 수 있도록 아이들에게 영감을 주는 건 정말 기분 좋은 일입니다. 하지만 업계 그 자체를 직시하는 건 훨씬 어려운 일이고, 이 업계의 거의 모든 부분을 뜯어고쳐야 할지도 모릅니다.” 림바고는 보안 업계의 문화와 규범이 재능 있는 직원들을 떠나도록 만든다면 사실상 모든 노력이 물거품이 될 것이라고 설명했다.

탈진(Burnout)
엔드게임의 설문조사 결과를 보면, 사람들이 사이버 보안 업계를 떠나는 이유 중 핵심적인 세 가지는 1)탈진 2)업계 문화 3)불투명한 진로 등으로 나타났다. 림바고는 1)탈진과 2)업계 문화는 예측했던 요인이라고 말했다. 특히 탈진은 각종 컨퍼런스에서도 흔히 언급되는 요인으로 보안 업계 지인들도 자주 지적한다고 그녀는 덧붙였다.

설문조사 문항 중에는 왜 이전 직장을 떠났는지에 대한 질문도 있었는데 응답자들은 탈진과 스트레스가 가장 큰 요인이었다고 밝혔다. 응답지를 살펴본 결과, 림바고는 보안 인력이 아무리 오랫동안 일하고 휴식도 없이 주말에 일했다 하더라도 기업들이 이들을 제대로 대우하거나 고려하지 않았다는 사실을 알 수 있었다. 응답자의 70% 이상이 매주 41시간에서 60시간을 일하고 있다고 답했으며, 10%는 60시간 이상을 일한다고 답했다.

“보안 인력이 탈진했다고 하면 회사나 경영진은 이들이 업무에 헌신하지 않는 것처럼 여겼다고 합니다. 사실은 너무 헌신해서 문제가 생긴 것인데 말이죠.” 림바고는 “기업들이 주력해야 할 문제”라고 지적했다.

스트레스는 많이 언급됐지만 응답자의 3분의 1만이 직업적으로 문제가 될 정도라고 밝혔으며 28%가 다소 문제가 된다고 밝혔다. 보안 업무는 때때로 자극적일 수도 있지만 대부분의 업무가 지루한 부분이 많고, 비판적인 생각이나 기술적인 능력 향상을 위한 시간은 거의 없는 것으로 나타났다.

“재미없는 일을 몇 시간씩 매일 매일 해야 한다고 생각해보세요. 이런 일은 보안 업무에 너무도 많이 포함돼 있습니다. 특히 최근엔 이런 일들이 자동화되기 시작했죠.” 림바고는 “보안 인력이 왜 탈진하게 되는지 이해할 수 있을 것”이라고 말했다.

보안 업계의 문화
문화적인 측면은 인재를 유인하고 유지하는 데 핵심적인 요소다. 여성 응답자 대부분(85%)이 전문적인 컨퍼런스에서 특정 수준의 차별을 경험했다고 밝혔으며, 절반 이상은 그런 행사에서 성희롱을 경험했다고도 지적했다.

기업 환경 차원에서 보자면 이 같은 수치는 상대적으로 낮아지지만 여전히 암울한 수준이다. 여성 응답자의 약 60%가 회사에서 차별을 경험했다고 말했다. 또한, 44%는 회사나 회사 행사에서 성희롱을 겪었다고 밝혔다.

림바고는 아직까지 여성 인력이 극히 드문 학계와 국가 안보 부문에서도 일한 경력이 있는데, 보안 업계만큼 젠더 역학이 약한 곳도 없었다고 말했다. 림바고는 자신이 소속된 회사 엔드게임은 훌륭한 문화를 갖고 있다고 말하면서도 컨퍼런스 행사장 같은 데서는 자주 ‘의기소침’해진다고 터놓았다.

“사소한 일들이 여기저기서 터집니다. 그런 일을 겪다보면 그냥 무시하는 게 상책이라고 생각하게 되지만 몇 년씩 쌓이면 그 양도 나중엔 아주 커지죠. 회사의 문화는 굉장히 중요해졌습니다.” 림바고는 회사의 내부 문화가 컨퍼런스 같은 행사 문화에도 영향을 미칠 것이라고 전망했다.

불투명한 진로
전문가로 성장할 수 있다는 확신이 떨어진다는 사실도 응답자들이 이전 직장을 떠난 데 주요하게 작용했다. 림바고는 응답자의 절반 이상이 불투명한 진로를 핵심적인 요소로 지적했다고 말했다. 약 20%의 응답자는 발전이나 성장에 제한이 있었던 점 때문에 보안을 떠나야겠다고 결정했다고 밝혔다.

“나와 있는 일자리나 인력 부족, 기술적인 리더십이 얼마나 중요한지 등에 대해서는 말들이 정말 많습니다. 하지만 진로 전망이 부족하다는 사실이 제일 큰 거부감으로 작용한다는 건 잘 언급되지 않아요.” 림바고는 훌륭한 기술적인 리더십이 필요하지만 회사들이 미래의 리더들을 준비시키는 길은 잘 닦아놓지 않는다고 말했다.

보안은 완전히 새로운 산업이라고는 할 수 없지만 많은 조직에서 꽤 빠른 속도로 발전하고 있다. 정보보안 부서를 처음으로 개설하는 수많은 신규 기업들은 큰 부서를 만들 만한 자원을 갖고 있지 않고 채용하는 사람들을 위해 명확한 진로를 제시할 수 있는 것도 아니다. 해당 부서에 한두 사람 밖에 없을 때, 그 부서 직원들은 일반적으로 오래 재직하지 않는다.

무엇을 할 수 있을까?
림바고의 연구는 각 기업들이 어느 정도 휴식 시간을 가지면서 사회적으로 교류할 수 있는 행사를 갖는 것이 필요하다는 점을 제시한다. 이 같은 행사는 탈진을 막고 소속감을 높이는 데 엄청난 차이를 만들어낼 수 있다. 추후 더 큰 관계를 구축하기 위해서는 경영진이 참여해서 이런 종류의 문화를 내부적으로 만들어가는 것이 중요하다.

또한, 림바고는 “유출됐냐 안 됐냐는 이중 잣대를 떠나” 더 현실적인 성과 지표가 필요하다는 점도 강조했다. 보안 전문가들에 대한 지표는 기업의 이용 가능한 자원을 고려하면서 더 세밀하게 구축돼야 하며 성과와 실패, 그리고 기업 위협 모델에 대한 이해 등이 포함돼야 한다는 것이다.

현재의 인력을 유지해나가는 것은 보안 전문가에 대한 필요성이 계속해서 증가하기 때문에 점점 더 중요한 문제가 될 것이다. 정보보안 비영리 단체 CompTIA와 노동 시장 분석 업체 버닝 글래스 테크놀로지스(Burning Glass Technologies)가 제공하는 인력 및 진로에 대한 무료 정보를 바탕으로 보안 인력 전문 업체 사이버식(CyberSeek)은 미국의 기업들이 2017년 9월 이전에 12개월 동안 285,681개의 사이버 보안 일자리를 공지했다고 밝혔다.

모든 미국 일자리를 아울러 2016년 10월부터 2017년 9월까지 나온 각 일자리마다 5.6명의 노동자가 거쳐 간 것으로 나타났다. 보안 업계에서는 각 공석마다 2.6명의 노동자가 거쳐 갔다. 즉, 보안 업계의 인재 풀을 시장 평균에 맞게 끌어올리려면 2배 이상의 노력이 필요하다는 뜻이다.
[국제부 오다인 기자(boan2@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>