Career Coach

소프트웨어 개발 경험은 사이버보안 전환에 매우 강력한 기반입니다. 특히 코딩, 시스템 구조 이해, 디버깅, 자동화 역량은 보안 직무에서 큰 차별점이 됩니다.

1. 목표 직무를 먼저 좁히세요

개발자 출신에게 잘 맞는 분야는 다음과 같습니다.

• 애플리케이션 보안(AppSec)
• 보안 엔지니어
• 클라우드 보안 엔지니어
• 침투 테스트 및 보안 평가
• 보안 자동화·DevSecOps
• 탐지 엔지니어링 및 보안 도구 개발
• 제품 보안(Product Security)

처음부터 “사이버보안 전반”을 공부하기보다, 기존 개발 경험과 가장 가까운 AppSec·DevSecOps·클라우드 보안부터 시작하는 것이 효율적입니다.

2. 학습 순서

다음 영역을 단계적으로 익히세요.

1. 네트워크 기초
   TCP/IP, DNS, HTTP/HTTPS, TLS, VPN, 방화벽

2. 운영체제와 시스템 보안
   Linux 권한, 프로세스, 로그, 인증, Windows 기본 보안

3. 웹 보안
   OWASP Top 10, 인증·인가, 세션, SQL Injection, XSS, SSRF, CSRF

4. 클라우드 보안
   AWS 또는 Azure의 IAM, 네트워크, 저장소 권한, 로깅, 비밀 관리

5. 보안 도구
   Burp Suite, Nmap, Wireshark, Metasploit, Semgrep, Snyk, Trivy, SIEM 기초

6. 자동화
   Python, Bash, Terraform, CI/CD 파이프라인 보안

실습은 TryHackMe, Hack The Box, PortSwigger Web Security Academy, 클라우드 보안 실습 환경 등을 활용하면 좋습니다.

3. 3~6개월 실행 계획

• 1개월 차: 네트워크·Linux·웹 보안 기초 복습
• 2개월 차: OWASP 취약점을 직접 재현하고 방어 코드 작성
• 3개월 차: CI/CD에 SAST, DAST, SCA, 컨테이너 스캔 적용
• 4개월 차: AWS나 Azure에서 안전한 아키텍처 구축
• 5개월 차: 보안 프로젝트 2~3개를 포트폴리오로 정리
• 6개월 차: 지원 직무에 맞춰 이력서, 면접, 자격증을 준비

자격증은 필수는 아니지만 방향을 잡는 데 도움이 됩니다. 입문 단계라면 Security+, 실무 중심이라면 클라우드 보안 자격증이나 전문 분야별 인증을 고려하세요. 침투 테스트를 목표로 한다면 실습형 인증이 더 적합합니다.

4. 포트폴리오 아이디어

단순히 “보안을 공부했다”고 쓰기보다, 개발 경험과 보안을 결합한 결과물을 보여주세요.

• 취약한 웹 애플리케이션을 만들고 취약점과 수정 과정을 문서화
• GitHub Actions에 보안 검사 파이프라인 구축
• Docker 이미지 취약점 자동 검사 도구 개발
• AWS 인프라를 Terraform으로 구성하고 IAM 최소 권한 적용
• Python으로 로그 분석 및 의심 이벤트 탐지 도구 작성
• 위협 모델링 문서와 보안 설계 리뷰 작성

각 프로젝트에는 다음 내용을 포함하세요.

• 어떤 위협을 해결했는가
• 어떤 도구와 기술을 사용했는가
• 취약점 또는 위험을 어떻게 재현했는가
• 수정 전후의 차이는 무엇인가
• 자동화하거나 측정한 결과는 무엇인가

5. 이력서 전환 전략

개발 업무를 단순히 나열하지 말고 보안 관점으로 재표현하세요.

예를 들어:

• “로그인 API 개발”
  → “OAuth 2.0 기반 인증·인가 API를 설계하고 권한 검증 및 세션 보안을 구현”

• “배포 자동화 구축”
  → “CI/CD 파이프라인에 의존성 검사와 컨테이너 이미지 취약점 스캔을 통합”

• “성능 개선”
  → “API 처리 구조를 개선하고 입력 검증 및 오류 처리 로직을 강화”

이력서 상단에는 다음과 같은 요약을 넣을 수 있습니다.

소프트웨어 개발 경험을 바탕으로 애플리케이션 보안과 DevSecOps에 집중하는 보안 엔지니어. 안전한 API 설계, 자동화, 클라우드 인프라 및 취약점 분석 경험 보유.

6. 네트워크 확장 방법

• OWASP, DEF CON, BSides, 클라우드 보안 밋업에 참여
• 보안 관련 GitHub 프로젝트에 문서 개선이나 버그 수정으로 기여
• LinkedIn에서 AppSec·DevSecOps·제품 보안 전문가를 팔로우
• 학습 과정과 프로젝트 분석을 짧은 글로 정기적으로 공유
• 현재 회사의 보안팀, 인프라팀, DevOps팀과 협업 기회 요청
• 보안 코드 리뷰, 위협 모델링, 취약점 대응 업무에 자원

가장 현실적인 첫 전환은 현재 조직에서 보안 관련 업무를 일부 맡는 것입니다. 예를 들어 SAST 도입, 의존성 취약점 대응, 보안 리뷰, 시크릿 관리 개선 등을 주도하면 경력 전환의 설득력이 크게 높아집니다.

7. 지원할 만한 직무

현재 개발 경력과 가장 자연스럽게 연결되는 순서는 다음과 같습니다.

1. DevSecOps 엔지니어
2. 애플리케이션 보안 엔지니어
3. 클라우드 보안 엔지니어
4. 제품 보안 엔지니어
5. 보안 자동화 엔지니어
6. 주니어 침투 테스트 엔지니어
7. 보안 소프트웨어 개발자

핵심은 개발 경험을 버리고 보안을 새로 시작하는 것이 아니라, “보안을 이해하고 구현할 수 있는 개발자”라는 포지셔닝을 만드는 것입니다.