“보안인력이 아무리 부족하다고 해도 학점만 볼 수는 없죠. 보안에 대한 열정이 얼마나 뜨거운지가 더 중요합니다.”

최근 기자는 보안업체를 비롯해 포털업체들 보안담당자를 만나 신입사원을 뽑을 때, 어떤 기준이 있는지 물어봤다.

보안담당자들은 모두 공통으로 학점이나 어학성적보다는 ‘과외활동(동아리, 학회 등)’을 얼마나 많이 했는지가 중요하다고 한다.

안철수연구소 시큐리티대응센터의 이호웅 센터장은 “정보보호 업무를 하기 위해서는 기본적으로 컴퓨터 시스템에 대한 지식이 있어야하고 그 위에 보안에 대한 지식이 추가돼야 한다”며 “이말은 컴퓨터공학과나 정보보호학과를 나온다고 해서 정보보호 업무를 수행하기 최적의 상태는 아니라는 의미”라고 말했다.

즉 일반적으로 컴퓨터공학과를 졸업한 학생들은 정보보호나 해킹에 대한 ‘감’을 잡기가 힘들다는 것이었다. 반대로 정보보호학과를 졸업한 학생들은 정보보호 업무의 기본인 프로그래밍에 약하다는 것이 그의 주장.

이 센터장은 “이러한 이유 때문에 학점이 높거나, 낮아도 업무를 수행하는 것에는 큰 차이가 없다는 것이 일반적인 보안실무자들과 인사담당자들의 생각”이라며 “차라리 그렇다면 정보보호 학회나 해킹 동아리와 같은 과외활동이 많은 학생들이 오히려 우리 과업에는 도움이 된다”고 덧붙였다.

그의 말을 가혹하게 해석하자면 ‘어셈블리어(Assembly語)’를 다뤄보지도 않은 사람은 보안업무를 할 기본도 안돼 있다고 할 수 있다. (참고로, 어셈블리어는 국내 대학에선 가르치지 않는다. 이는 보안에 열정이 있다면 어셈블리어를 한 번쯤은 다뤄볼 것이라는 추론에 근거한 생각이다.)

어셈블리어는 기계어와 1대1로 대응하는 언어로 사람이 이해하기 쉽게 약간 변형시킨 언어다. 기계어와 가장 가깝기 때문에 그 기계의 특성을 가장 잘 살릴 수 있다는 것이 장점이다.

어셈블리어를 배우는 목적은 컴퓨터의 작동원리 자체를 이해하기 위해서 이며, 특히 해킹이라는 프로세스를 이해하기 위해서는 필수적인 요소다.

이 센터장은 “학점이 낮더라도 해킹 동아리 등을 통해 어셈블리어를 직접 다뤄보고, 파일을 크래킹해보거나 해킹대회 등에 참석해 본 인재. 즉, 보안에 대한 흥미와 열정이 있는 인재를 보안업체들은 요구한다”고 설명했다.

안철수연구소에서는 지난해 50여명의 신입사원 공채공고를 냈으나 30여명이 최종합격했다. 올해 20명을 추가로 채용 할 예정이다.

한편 SK인포섹 역시 학점과 같은 숫자보다는 ‘대학생활을 어떻게 보냈는지’를 중점으로 본다고 한다.

SK인포섹은 지난해 11월 신입사원 공채로 20명을 선발했고 올해에도 수시채용을 통해 신입

사원을 모집할 계획이다.

SK인포섹 보안기술연구소 양만석 소장은 “신입사원을 뽑을 때 가장 먼저 보는 것은 성적이지만, 성적이 좋고 나쁨에 대한 것을 보는 것은 아니다”고 운을 뗐다.

이어 “성적이 나쁘다면 분명 이유가 있을 것이고 생각한다. 성실한 사람이 결과가 나쁘게 나쁘게 나왔다면 거기에 대한 이유가 있기 때문”이라며 “그 이유가 타당하고 열정과 성의를 보여줄 수 있다면 그걸로 성적이 나쁜 것에 대한 것은 모두 사라진다”고 설명했다.

실제로 SK인포섹은 컴퓨터공학과나 정보보호학과 출신이 아닌 기계과 출신 학생을 선발한 적이 있다. 그 학생 학점은 일반적인 학생들에 비해 많이 낮았다고 한다.

양 소장은 “그 학생은 전공 대신 자신이 좋아하는 C언어만 열심히 공부했고, 거기에 대한 성과도 있었다. 이런 학생이 우리에게 필요한 인재”라고 강조했다.

보안업체뿐 아니라 인터넷서비스업체들 역시 보안인력을 뽑는 것에 대해서는 매우 엄격했다.