2026. 5. 7. 13:56ㆍ보안 취업·커리어
보안 컨설팅 분야
보안 컨설팅은 크게 세 가지 분야로 나뉜다. 대부분의 회사는 세 분야를 모두 다루며, 신입은 관리체계 진단은 보통 못 들어간다. 경력이 쌓이면 도전할 수 있다.
왜 보안 컨설팅이 필요한가?
한 줄 요약 — 법이 시킨다.
일정 규모 이상 기업은 정보보호 최고책임자(CISO)를 지정하고 정보보안 인력을 의무적으로 구비해야 한다. 이들이 ISMS 인증, 서비스 출시 전 보안성 검토를 담당하고, 법적 준수를 위해 주기적으로 취약점 분석·평가를 해야 한다. 하지만 자체 수행은 인력·시간 문제로 현실적이지 않아 보안 컨설팅 전문 업체에 위탁한다.
금융회사·전자금융업자는 전자금융기반시설 취약점을 분석·평가해 금융위원회에 보고.
총자산 2조원 이상 & 종업원 300명 이상 금융회사는 연 1회 이상 취약점 분석·평가. 외부 위탁 시 정보보호전문서비스기업에게만.
주요정보통신기반시설(전력·금융·교통·통신)은 매년 정기 평가. KISA 지정 기업에만 위탁 가능.
이게 보안 컨설팅 업체가 존재하는 근본적인 이유다.
업무 — 인프라 취약점 진단
프로젝트가 있을 때는 주업무, 없을 때는 기타업무. 1년 기준 약 10개월은 프로젝트, 연초·연말 2개월은 비프로젝트.
|
64
Windows 점검 항목
|
15
하루 진단 서버
|
960
하루 진단 항목
|
주업무 1) 취약점 진단
핵심은 문서 작업. 진단 내용을 전부 Excel·Word 보고서로 작성한다. 예를 들어 Windows 서버 점검은 W-01 ~ W-64 총 64개 항목. 각 항목별 상세 가이드를 보고 양호/취약을 판정한다.
W-01번의 경우 관리자 계정명이 기본값 "Administrator"인지, 취약한 비밀번호를 쓰는지 확인하는 항목. 공격자가 추측하기 쉬워서다. 기본 계정명 그대로면 취약점, 조치 권고.
초급 컨설턴트한테 처음부터 높은 기대를 하진 않는다. 선임과 함께 가고, OJT도 있다. 업무에 익숙해지면 하루 서버 10~20대 진단이 가능하다.
주업무 2) 담당자 대응 & 인터뷰
업계 특성상 내성적인 컨설턴트가 많아 가장 힘들어하는 부분이다. '업무상 사용하지 않는 계정이 존재하는지' 같은 건 설정값만으로 판단 불가 → 담당자 인터뷰 필수. 취약점 도출 후 조치 계획 수립도 커뮤니케이션. 다만 쌩 초급은 보통 진단만 한다.
주업무 3) Excel
컨설턴트의 핵심 역량. 진단 자체가 Excel로 진행되기 때문.
기타업무 1) 스크립트 개발
전자금융기반시설 평가 기준은 매년 변경 → 회사 내규 점검 스크립트도 같이 수정. 스크립트 개발 역량은 필수. 요즘은 AI 덕에 개발은 수월하지만 테스트는 컨설턴트 몫. Linux·Windows 이해도가 있으면 할만하다.
기타업무 2) 사업 제안서 작성
수주하려면 제안서 필요. 전담팀 없는 회사는 컨설턴트가 직접 작성한다. RFP 보고 회사 PPT 템플릿에 맞춰 작성 → 임원·팀장 피드백. 꽤 스트레스받는 업무 중 하나다.
그래서 일 할만한가?
프로젝트 단위로 돌아가는 구조라 한 곳에 묶여있지 않고, 고객사가 바뀌면 환경도 바뀐다. 다만 고객사 담당자 성향에 따라 프로젝트 분위기가 크게 달라지므로 그 부분은 복불복.
보안 컨설턴트 전망
대기업·금융권 보안 담당자로의 이직이 대표적인 커리어 패스. 컨설팅 경력은 다양한 업종의 보안 환경을 봤다는 점에서 강점이 된다.
ISMS-P 인증심사원 자격 취득도 중요한 전망. 일정 경력 이상 도전 가능하며, 따면 몸값이 크게 오른다. 컨설팅 업계에서 오래 일할 거면 반드시 목표 삼아야 할 자격.
야근이 많나요?
프로젝트마다 다르다. 보통 제안서 급히 제출해야 할 때, 또는 프로젝트 중 예상치 못한 일이 터졌을 때 야근한다.
보안 컨설팅을 추천하는가?
정보보안 업계엔 보안 관제, 솔루션 엔지니어 등 여러 직무가 있다. 그중 보안 컨설팅은 다양한 고객사를 경험하며 넓은 시야를 가질 수 있어 추천하는 직무다.
보안 전공자로서, 관제로 주야비비 교대근무하며 건강을 망치는 것보다 컨설팅이 낫다고 생각한다. 솔루션 엔지니어도 갑질 심한 곳은 힘들다고 들었지만 직접 경험은 없어서 모르겠다.
다만 을의 입장에서 일하는 구조는 감안해야 한다.
보안 컨설턴트가 되려면?
7-1. 교육
7-2. 자격증
기사 하나는 필수로 취득하고, 경쟁력을 위해 추가 자격증도 도전.
| 레벨 | 조합 |
| 기본 스펙 | 정보처리기사 |
| 신입 풀 스펙 | 처리기사 + 보안기사 + CPPG |
7-3. 경험 & 대외활동
수상 경력·동아리 활동 많으면 당연히 도움 된다. 굳이 설명할 필요 없을 듯.
신입 연봉
| 회사 유형 | 초봉 |
| 회계법인 및 대기업 | 4,000만원~ |
| 정보보호전문서비스기업 | 3,500~4,000만원 |
| 그 외 ( 규모 : 소기업 ) | ~3,300만원 |
보안 컨설팅은 경력을 쌓고 ISMS-P 인증심사원 같은 라이센스를 취득해야 몸값이 오른다. 아무것도 모르는 신입에게 처음부터 많은 돈을 줄 수는 없다는 점을 명심하자.
2년차부터는 혼자 프로젝트를 담당하거나 업무에 익숙해지기에 연봉이 많이 점프된다.
마치며
기업 정보보안 담당자가 연봉도 높고 네임밸류도 있어 보이지만, 보안 컨설팅은 남의 일을 대신 해주는 구조다. 그만큼 책임져야 할 것이 상대적으로 적다. 이게 보안 컨설팅의 현실적인 장점 중 하나라고 생각한다.