PM에서 보안으로: 실제로 전이되는 것

사이버보안으로 전환을 생각 중인 프로젝트 매니저들은 종종 처음부터 시작한다고 가정한다. 그건 틀렸다. 프로젝트 운영을 잘하게 해준 소프트 스킬들 — 이해관계자 관리, 위험 추적, 사건 조율 — 은 보안 업무에 직접 적용된다. 빠진 것은 기술 기초인데, 12~18개월간 체계적으로 접근한다면 이 격차는 메울 수 있다.

실제로 전이되는 것

위험 레지스터를 가진 프로젝트를 운영해본 경험이 있다면 보안 위험 평가의 핵심 논리를 이미 이해하고 있다: 자산을 파악하고, 발생 가능성과 영향도를 추정하고, 대응 방안을 결정한다(수용, 완화, 이전, 회피). 보안 팀은 정확히 같은 프레임워크를 사용하며, 단지 결과물 대신 시스템에 적용할 뿐이다. NIST의 Risk Management Framework와 ISO 27005는 PMP 인증 프로젝트 매니저가 이미 직관적으로 하는 일의 공식화된 버전이다.

사건 관리도 겹치는 부분이다. 프로덕션 장애 중에 워룸을 운영하는 것은 구조적으로 랜섬웨어 사건 중에 운영하는 것과 유사하다: 누군가는 커뮤니케이션을 담당해야 하고, 누군가는 타임라인을 추적해야 하고, 누군가는 완전한 정보 없이 압박 속에서 결정을 내려야 한다. 보안 팀은 이것을 사건 지휘라고 부르며, 당신은 이를 다른 용어로 된 위기 관리라고 인식할 수도 있다.

공급업체 및 계약 감시도 잘 전이된다. 제3자 위험 관리 — SaaS 공급업체 심사, SOC 2 보고서 검토, 계약에 보안 조항 협상 — 은 GRC(거버넌스, 위험, 규정준수) 역할 내의 성장하는 틈새 분야이며, 이미 계약을 읽고 공급업체 관계를 관리하는 방법을 아는 사람에게 보상한다.

건너뛸 수 없는 기술 격차

대부분의 PM에서 보안으로의 전환이 정체되는 지점이 바로 여기다: SOC를 관리하거나, 침투 테스트 보고서를 검토하거나, 취약점 개선 계획을 범위화할 수 없다. 밑바탕을 이해하지 못하면. 네트워킹(TCP/IP, DNS, 방화벽이 실제로 트래픽을 필터링하는 방식)에 대한 실무 지식, 기본 Linux 명령어, 그리고 OWASP Top 10 취약점이 실제로 어떻게 작동하는지에 대한 이해가 필요하다. 슬라이드의 글머리 기호일 뿐만 아니라.

이것이 침투 테스터가 되어야 한다는 뜻은 아니다. Nessus나 Qualys 스캔 결과를 읽고 포트 445의 누락된 패치가 왜 중요한지 이해할 수 있어야 한다는 뜻이거나, 왜 인터넷에 노출된 미인증 Redis 인스턴스가 5단계 화재인지 이해하는 것이다. 홈 랩에서 시간을 보내라: VirtualBox에 몇 개의 VM을 구동하고, pfSense를 방화벽으로 설치하고, Wireshark로 자신의 트래픽을 캡처한다. 개념은 직접 뭔가를 부순 다음에 더 빠르게 머물러 있다.

이 경로에 맞는 자격증

OSCP나 공격적 보안 중심의 것으로 바로 뛰어들기는 피하라 — 그것은 다른 경로다. PM 배경의 경우, 일반적으로 작동하는 순서는:

1. CompTIA Security+ — 네트워킹, 위협, 통제 전반에 걸쳐 어휘와 기본 개념을 제공한다.
2. CISM 또는 CRISC (ISACA) — 이들은 거버넌스와 위험으로 치우쳐 있으며, 기존의 강점을 활용하고 기술 인증보다는 GRC 또는 보안 프로그램 매니저 역할과 더 관련성이 높다.
3. CISSP — 결국, 어느 정도의 실무 경험을 쌓은 후; 어차피 완전한 인증을 위해 5년의 관련 경험이 필요하므로, 출발점이 아닌 중간 경로 목표다.

경험의 대체재로 자격증을 모으지 말라. 보안 프로그램 매니저 역할의 채용 담당자는 SIEM 경고 분류 프로세스에 대해 지능적으로 말할 수 있는지 확인하고 싶지, 이름 뒤에 네 개의 약자가 있는지는 관심 없다.

실제로 첫 착륙 지점

현실적인 진입점은 보통 아니다