보안 경보를 코드로 관리하는 탐지 대응 엔지니어

2주 사이 네 회사가 같은 직함을 새로 열었다

10월 9일 기준, AI 제품을 파는 회사 다섯 곳이 탐지 대응(Detection & Response) 또는 침해사고 대응(Incident Response) 엔지니어를 뽑고 있다. 이 가운데 네 곳은 9월 28일 이후 공고를 새로 올렸다. Notion은 9월 28일 Security Engineer, Detection and Response를, Replit은 10월 5일 Security Engineer, Incident Response를 냈다. Databricks의 Staff Security Engineer, Incident Response는 10월 8일, Anthropic의 Senior/Staff Security Engineer, Detection & Response는 10월 9일 올라왔다. Vercel은 7월에 낸 Security Software Engineer, Detection & Response 공고를 아직 열어 두고 있다.

이 자리가 AI 회사에서 먼저 늘어나는 이유는 Anthropic 공고의 역할 소개 첫 문장에 담겨 있다. 모델의 능력이 커질수록 그 모델을 공격하거나 악용하려는 사람들의 관심도 커진다는 것이다. AI 레드팀이 공격자의 눈으로 약점을 찾는다면, 탐지 대응 엔지니어는 반대편에 선다. 실제 공격을 알아채는 탐지 규칙을 만들고, 사고가 나면 범위를 좁혀 막는다.

다섯 공고에는 두 가지 공통점이 있다. 첫째, 이 일을 소프트웨어 개발로 본다. Notion은 탐지와 대응을 소프트웨어 엔지니어링의 한 분야로 규정한다. 탐지 규칙은 코드이고, 플랫폼은 제품이며, 측정이 중요하다고 적었다. Vercel은 쌓인 경보를 차례로 처리하는 자리가 아니라 시스템을 만드는 자리라고 못 박았다. 둘째, 네 곳이 LLM이나 에이전트를 대응 작업에 활용하는 일을 업무로 명시했다. Vercel은 이를 AI와 에이전트가 대응 인력의 일을 어디까지 안전하게 덜어 줄 수 있는지 시험하는 일이라고 설명한다.

미국 노동통계국(BLS)은 이 직무가 속한 정보보안 분석가의 고용이 2025년부터 2035년까지 21% 늘어 전체 직업 평균보다 훨씬 빠르게 증가할 것으로 본다. 해마다 평균 1만 4,100개의 일자리가 새로 생길 것이라는 전망이며, 2025년 중위 연봉은 12만 9,180달러다.

국내에서는 공공기관 보안 평가가 넓어진다

행정안전부, 국가정보원, 인사혁신처, 개인정보보호위원회는 10월 1일 「공공부문 사이버보안 책임성 강화 방안」을 함께 발표했다. 국정원이 주관하는 사이버보안 실태평가 대상을 올해 153개 기관에서 2028년까지 국가, 공공기관 2,000여 곳으로 넓힌다. 평가에는 정보 유출사고가 나면 감점하는 지표와 사고 신속조치 지표를 새로 넣는다. 사고에 얼마나 빨리 조치했는지가 기관 점수에 반영된다는 뜻이다.

정부는 중앙행정기관과 광역지자체의 사이버보안 인력을 보강하고, 정보보호 수당 신설과 성과평가 가점도 검토한다. 발표 브리핑에서 정부는 보안 업무가 기피 업무가 된 이유로 사고가 나면 책임은 져야 하지만 성과는 증명하기 어렵다는 점을 꼽았다. 해외 공고들은 이 문제에 측정으로 답한다. Notion은 탐지 범위, 탐지까지 걸린 평균 시간(MTTD), 경보 품질 같은 지표를 정하고 추적하는 일을 업무에 포함했다. 사고가 없었던 한 해를 숫자로 설명할 수 있어야 이 일의 성과가 드러난다.

규칙을 코드로 쓰고, 경보의 품질을 잰다

탐지 규칙을 쓰는 언어가 첫 관문이다. Notion은 Sigma, KQL, SPL, YARA-L, EQL 같은 탐지 질의 언어 가운데 하나를 요구한다. 탐지 질의 언어를 아직 모르더라도 SQL이나 Python을 잘 다루고 빨리 배울 의지가 있으면 된다고 적었다. 무엇을 탐지할지는 공격자의 행동을 정리한 MITRE ATT&CK 같은 틀을 바탕으로 정한다. Vercel은 규칙도 테스트와 코드 리뷰, 자동 배포(CI/CD)를 거쳐야 한다고 명시했다.

규칙이 읽을 로그를 모으는 일도 이 자리의 몫이다. Vercel 공고는 서버와 컨테이너, 업무용 기기에 osquery와 eBPF 센서를 설치하고, 센서가 시스템 성능에 주는 부담을 관리하며 단계적으로 배포하는 일까지 책임지라고 요구한다. 로그를 수집해 형식을 맞추고 맥락을 덧붙여 저장하는 보안 정보 이벤트 관리(SIEM) 파이프라인과 그 비용을 관리하는 일도 같은 공고에 들어 있다. 클라우드 운영 경험은 다섯 곳 모두 묻는다. Replit은 Google Cloud의 권한 관리와 감사 로그, 쿠버네티스 환경을 구체적으로 짚었다.

대응은 자동화와 지휘로 나뉜다. 호스트를 격리하고, 유출된 자격증명과 세션을 끊으며, 증거를 모으는 도구를 직접 만든다. Replit은 사고가 나면 사고 지휘자를 맡아 보안, SRE, 개발, 법무 조직을 한 방향으로 움직이고, 사고 뒤에는 누구의 탓도 하지 않는 회고를 이끌라고 요구한다. 다섯 곳 모두 당직 근무가 있다. 경보는 밤에도 울리고, 그 시간에 판단할 사람이 필요하기 때문이다.

글쓰기 능력도 빠지지 않는다. Notion은 대응 절차서와 설계 문서, 사고 기록을 명확하게 쓰는 능력을 요구했다. 새벽에 같은 경보를 받은 다른 사람이 그 문서만 보고도 같은 판단을 내릴 수 있어야 한다.

관제, 시스템 운영, 개발 가운데 한 곳에서 출발한다

BLS에 따르면 정보보안 분석가는 학사 학위로 시작하는 경우가 일반적이며, 상당수는 IT 부서, 특히 네트워크와 컴퓨터 시스템 관리자로 일한 경력이 있다. 해외 공고도 진입 경로를 넓게 열어 둔다. Notion은 여러 경력 수준에서 뽑는다며 탐지 엔지니어링, 보안 관제, 침해사고 대응, 위협 헌팅 또는 그에 가까운 보안, 소프트웨어 엔지니어링 경력 3년 이상을 기준으로 제시했다. Anthropic은 선호 조건으로 소프트웨어 엔지니어링 7년 이상 또는 탐지, 대응 경력 7년 이상을 나란히 적었다. 개발자로 일한 시간도 같은 무게로 인정한다는 뜻이다.

국내에서 이 일과 가장 가까운 자리는 보안관제센터(SOC)와 침해사고 대응팀(CERT)이다. 공공기관의 정보보호 담당 인력도 이번 방안에 따라 늘어날 자리다. 어느 쪽에서 시작하든 경보를 처리하는 데서 멈추지 않고, 그 경보를 만드는 규칙과 도구를 고치는 쪽으로 옮겨 가야 해외 공고가 말하는 탐지 대응 엔지니어가 된다.

시니어로 올라가면 보상 폭이 커진다. Replit 공고의 연봉 구간은 23만~36만 달러이고, Vercel은 샌프란시스코 기준 기본급을 20만 8천~31만 2천 달러로 적었다. 다만 모든 공고가 해외 지원자에게 열려 있는 것은 아니다. Databricks 공고는 미국 정부 비밀취급인가를 받을 수 있는 자격을 필수 조건으로 걸었고, 학사 학위에 침해사고 대응 경력 7년 이상, 또는 석사 학위에 5년 이상을 요구한다. 자격증에 두는 무게는 공고마다 다르다. Replit은 GCIH, GCFA, GCFR 같은 침해대응, 포렌식 자격증을 우대 조건에 넣으면서도 그에 맞먹는 실무 경험이면 된다고 적었다.

학생이라면 공고의 요구 사항을 거꾸로 따라가며 준비할 수 있다. 직접 만든 실습 환경에서 로그를 모으고, 그 로그로 공격 흔적을 잡는 규칙을 써서 테스트까지 붙여 본다. Notion이 우대 조건으로 꼽은 퍼플팀, 블루팀 훈련처럼 공격을 흉내 내고 탐지를 고쳐 본 경험은 그 자체로 이력서의 한 줄이 된다.