QA 테스터가 사이버 보안으로 전직할 수 있을까?

QA 테스터는 자신들이 깨닫는 것보다 공격자처럼 생각한다. 소프트웨어를 부수고, 엣지 케이스를 찾고, 정확한 재현 단계를 작성하고, 결함을 근본 원인까지 추적하는 것은 보안팀이 필요한 바로 그 직관이다. QA에서 보안으로의 전환은 예를 들어 회계에서 전환하는 것보다는 훨씬 작은 도약이지만, 특정 부분들을 채워야 한다.

이미 옮겨지는 것들

QA 업무를 했다면 이미 가지고 있는 것들:

• 테스트 케이스 설계 기술 — 보안 테스트 계획과 남용 케이스 작성으로 직접 옮겨진다
• SDLC와 CI/CD에 대한 친숙성 — 보안 검사를 어디에 삽입할지(SAST, DAST, 의존성 스캔) 이해하는 데 도움이 된다
• Jira 같은 도구에서의 버그 추적 규칙 — 취약성 관리 워크플로우와 거의 동일하다
• 회귀 테스팅 습관 — 보고된 취약성 수정을 검증하는 것으로 잘 옮겨진다
• Postman, Selenium, 또는 Cypress를 사용한 API와 UI 테스팅 경험 — AppSec 테스터가 인젝션, 인증 우회, 로직 결함을 탐사하는 방식과 크게 겹친다

탐색적 또는 부정적 테스팅을 한 경험이 있다면(의도적으로 형식이 잘못된 입력을 보내고, 경계 조건을 테스트하고, 검증 로직을 부수려고 시도), 이미 라벨 없이 보안 테스팅의 대략적인 형태를 해온 것이다.

채워야 할 갭

QA 테스팅은 일반적으로 애플리케이션이 특정 방식으로 작동한다고 가정하고 기능적 정확성을 확인한다. 보안 테스팅은 공격자가 적극적으로 그 로직을 전복하려 한다고 가정한다. 구축해야 할 것:

• 더 깊은 수준의 HTTP 기초 — 상태 코드, 헤더, 쿠키, CORS, 그리고 세션이 실제로 어떻게 작동하는지
• OWASP Top 10 — SQL 인젝션, XSS, SSRF, 불안전한 접근 제어, 안전하지 않은 직렬화
• 기본 네트워킹: TCP/IP, DNS, TLS 핸드셰이크, Burp Suite 같은 프록시가 트래픽을 어떻게 가로채고 조작하는지
• 스크립팅 — 가급적 Python 또는 Bash, 반복적인 테스팅을 자동화하고 간단한 익스플로잇 PoC를 작성할 수 있도록
• Linux 명령줄에 대한 편안함 — 대부분의 보안 도구는 터미널을 두려워하지 않는다고 가정하기 때문

구체적인 학습 경로

PortSwigger의 Web Security Academy에서 시작하라 — 무료이고 Burp Suite를 사용한 실습 랩과 함께 모든 OWASP 카테고리를 다룬다. 이를 TryHackMe의