화이트해커가 부족한 게 아니라 제도가 없었다

최근 화이트해커 학원가의 열기와 달리 기업 현장에서 “쓸 만한 인재가 없다”는 푸념이 반복되는 장면은, 단순한 인력 수급 불균형이 아니라 제도의 부재가 만들어낸 간극을 보여주는 것이다.

지금의 화이트해커 교육은 공격 기술과 도구 숙련에 치우쳐 있지만, 현장은 취약점을 어떻게 다루고 어디까지 공개해야 하며 개인정보와 법적 경계를 어떻게 지킬 것인지에 대한 역할과 책임의 언어를 요구하고 있다. 이 간극을 메우지 못한 채 숫자 중심의 단기 양성만 늘린 결과, ‘배운 사람’은 많아졌지만 ‘함께 일할 수 있는 사람’은 부족해졌다는 것이다.

기술을 더 가르치는 데만 해법이 있지 않다

결국 해법은 기술을 더 가르치는 데만 있지 않다. CVD·VDP·버그바운티로 대표되는 보안 취약점 공개 제도는 취약점을 무기화하지 않고(non-weaponization) 사회적 통제 안에서 관리하는 규칙을 제공하는 것이다.

즉 무엇을 테스트해도 되는지, 발견 후 어떤 절차로 조치하고 언제 어떻게 공개하는지, 개인정보는 어떻게 최소 접근 원칙으로 보호하는지 등과 같이 명확한 룰이 있어야 화이트해커의 역량도 공익적 가치로 전환되고 기업의 신뢰도는 높아지는 것이다. 따라서 제도는 보안의 ‘안전한 레일’이자 인재를 가려내는 기준이 된다.

보안의 성패는 규칙에 달려 있다

결국 우리에게 화이트해커가 부족한 것이 아니라, 그들을 제대로 쓰기 위한 제도가 없었다고 말해야 할 것이다. 취약점 공개 제도가 정교해질수록 교육은 실무와 연결되고, 인재는 책임을 갖고 성장하며, 기업과 이용자는 더 빨리 보호받을 것이다.

보안의 성패는 더 많은 사람을 키우는 데가 아니라, 취약점을 사회적으로 관리하는 규칙을 제대로 세우는 일에 달려 있다.

“화이트해커 될래요” 북적이는 학원…기업은 “쓸만한 인재가 없네”[르포]