[보안뉴스 김지언] 최근 구직자들은 좁은 취업문을 뚫기 위해 어학, 공모전, 자격증 인턴경험 등 다양한 스펙을 쌓는데 여념이 없다. 그러나 단시간 내에 과도한 스펙을 쌓으려다 보니 ‘자격’을 갖추기보다는 단순히 스펙 ‘추가’에만 목적을 두는 경우가 많다.
자격증의 경우도 예외는 아니다. 해당 자격을 ‘갖춘’ 사람이 자격증을 취득하기 보다는, 단순히 문제를 외워 답을 잘 ‘맞춘’ 사람이 자격증을 취득하는 것으로 변질되고 있다. 그 예로 기출문제와 답안을 구입한다던가, 합격보장 프로그램에 투자를 한다던가 족집게 족보(덤프)를 구입하는 것 등과 같이 말이다. 일례로는 자격시험 준비생들을 시험 전, 학원에 모아두고 확실한 답안을 완전히 암기토록 하는 프로그램이 성행하고 있다고 알려졌다.
이렇듯 스펙쌓기용의 ‘보안전문가 자격증’ 취득 움직임에 제동이 걸렸다. 최근 CISSP(국제공인정보시스템보호전문가)을 취득하기 위해 시험을 치른 지원자 중 일부의 시험 결과가 취소되거나 이미 시험을 통과해 Associate(예비회원) 또는 CISSP 자격증을 취득한 회원들의 자격이 정지되는 사례가 발생한 것.
이는 세계적인 비영리 정보보안 전문기관이자 전 세계적으로 가장 많은 회원을 보유하고 있는 보안전문 자격증 CISSP의 관리기관인 (ISC)²가 사이코메트릭스(심리측정) 및 포렌식 분석을 통한 모니터링 및 분석 결과 이상징후를 발견했기 때문이다.
지난해부터 CISSP 자격증 시험에 CBT(컴퓨터 기반 시험)가 적용됐다. 이로 인해 응시자 개인이 시험을 치르는 동안의 모든 데이터를 수집하고 분석함으로써 시험 결과에 대한 유효성 여부를 확인할 수 있게 됐다.
자격증을 취득하는 전 과정에서 대리시험 등과 같은 불미스러운 일은 없었는지, 가치하락을 유발하는 행위는 없었는지, 불법적인 행위는 없었는지 등을 걸러냄으로써 자격증의 신뢰도를 유지하고 가치를 더하기 위한 방어책인 것이다.
CISSP의 경우 기존에도 자격의 전문성을 확보하기 위해 남다른 노력을 기울이고 있다. 최초 자격증을 취득한 후에도 개인적인 직무개발 활동 및 전문직에 기여하는 활동을 3년마다 일정부분 인정받아야 자격을 유지할 수 있도록 한 것 등은 이미 시행 중인 대표적인 예다.
이번 (ISC)²가 새롭게 도입한 모니터링 시스템의 분석결과, 실제 문제를 풀지 않고 답만 외워 시험에 임한 것으로 판단되는 응시자 등의 합격을 취소한 것 역시 CISSP의 가치를 훼손시키지 않기 위한 추가 대응인 셈이다.
정보보안전문가들이 열심히 노력해 취득하고 있는 자격을 충분한 지식 없이 오로지 자격증 취득만을 목적으로 하는 이들에게는 줄 수 없다는 게 (ISC)²의 입장이다. 단 이번 ‘자격 정지/시험 무효’ 결정에 해당하는 모든 응시자에게는 1회에 한해 무료 재시험을 칠 수 있도록 했다.
여기서 우리는 생각해 보아야 할 것이 있다. 우리가 자격증을 어떻게 취득해 왔냐는 점이다. 대부분의 사람들이 기출문제와 정답을 그대로 외우고 자격시험을 봐왔던 건 아니냐는 것. 그래야만 시험에 합격할 수 있는 확률이 높았기 때문이다. 이러한 관행 때문인지 국내 정서상 시험 문제를 외워 시험에 합격하는 것도 ‘실력’이라고 생각하기 십상이다.
(ISC)² 측에 이러한 질문을 던졌다. “어찌됐건 일단 합격 통보를 받은 응시자들에게 일방적으로 합격 취소를 통보하는 것은 부당한 처사가 아닌가” 그들의 답변은 이랬다. “시험문제를 시험 보기 전 알아내는 것은 비도덕적인 행위로 간주한다. 시험 주최 측은 어떻게 해서든 비윤리 행위가 일어나는 것을 막으려고 노력한다. 자격시험의 가장 주된 목적은 시험을 치는 개인에게 충분한 지식이 있느냐를 알아내는 것이다.”
이들의 답변을 통해 느낄 수 있었던 것은 자격증을 바라보는 시각의 차이다. 우리가 문제와 답만 외워 시험에 합격한 것을 실력이라고 생각하듯, 이들 문화에서는 충분한 지식 없이 시험 문제를 미리 알고 시험을 치는 것 자체를 당연히 비도덕적 행위이자 부정행위로 간주하는 것이다.
단순 암기식으로 며칠 만에 외워 취득한 자격증은 다음날이 되면 무엇을 위한 시험인지 조차 기억나지 않을 정도로 무의미한 것이 될 수밖에 없다. 자격증 취득은 자격을 갖추기 위한 과정이다. 단순히 자격증 취득 자체가 목적이 되어서는 안 된다. 그러므로 이들의 문화와 이번 상황을 단순히 억울하다고만 치부해 버릴 문제는 아니다.
보안전문가 자격증을 취득한 보안종사자들 역시도 자격을 취득한 사람으로서 자신의 가치에 걸맞는 노력을 해야 한다. 향후 국내 보안자격증 관리기관 역시 자격의 가치를 높이기 위한 이들의 노력을 냉정히 분석해볼 필요가 있다.
[김지언 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김지언기자 기사보기
[2024-05-02] 
