보안 자격증, 뭐부터 준비해야 할까?

보안 직군 채용 공고에서 정보보안기사, OSCP, CPPG 같은 이름을 한 번쯤 들어보셨을 거예요.
하지만 검색할수록 정보가 너무 많고, 나에게 맞는 건 어떤 걸지 오히려 헷갈리기만 해요. 나에게 필요한 보안 자격증은 어떤 걸까요?

• 정보보안기사부터 따야 하나?

• OSCP는 비용 부담이 있는데, 정말 필요할까?

• 자격증이 꼭 있어야 하나?

사람들마다 의견이 갈리고 비용도 천차만별이라 어디서 시작해야 할지 막막한 경험이 있을 거예요.
원하는 상황, 직무에 따라 적합한 자격증이 다르기 때문인데요. 국내 대기업이나 공공기관 보안팀을 목표로 하는 경우, 모의해킹 실무를 원하는 경우, 개인정보보호 관련 직무 모두 각 방향마다 준비하면 도움이 되는 자격증이 다릅니다.

이번 글에서는 보안을 공부할 때 한 번쯤 들어봤을 자격증부터 국내 채용 공고에서 자주 언급하는 자격증들을 비교하고, 각 상황에 적합한 자격증들을 설명해 볼게요.

컴퓨터나 보안 공부를 시작할 때 먼저 접하는 자격증

컴퓨터 공부를 시작하면 네트워크관리사, 리눅스마스터, 정보처리기사, 정보보안기사 같은 이름들을 자주 접하게 됩니다. 이 자격증들은 서로 다른 영역을 다루다 보니, 처음엔 어떻게 다른지 파악하는 것 자체가 헷갈리기도 하죠.

네트워크관리사
LAN·WAN 구성, 라우터·스위치 설정 같은 네트워크 인프라 운영을 다루는 자격증이에요. 서버와 서버 사이 데이터가 어떻게 오가는지를 구성하고 관리하는 능력을 검증합니다. 보안도 네트워크 구조를 이해하는 데서 출발하기 때문에, 네트워크 기초를 탄탄히 다지고 싶은 사람에게 도움이 될 거예요.

리눅스마스터
리눅스 서버를 설치·운영·관리하는 능력을 평가하는 자격증이에요. 보안 실습 환경은 대부분 리눅스 기반이고 침투테스트 도구도 리눅스에서 주로 돌아가기 때문에, 리눅스가 아직 낯설다면 이 자격증을 준비하며 기초를 쌓아보세요.

정보처리기사
소프트웨어 개발과 IT 시스템 전반을 다루는 기사급 국가기술자격이에요. 보안 전용 자격증은 아니지만 소프트웨어 설계·데이터베이스·시스템 구축 등 IT 기반 지식을 폭넓게 쌓아두고 싶을 때 선택하는 자격증이에요.

정보보안기사
이 네 자격증 중 보안 분야에 가장 초점을 맞춘 국가기술자격이에요. 보안 업계 채용 공고에 가장 자주 등장하는 자격증이기도 해요. 자세한 설명은 아래에서 확인해 보세요.

보안 취업에서 자주 언급되는 자격증 3가지

채용 공고를 조금 더 들여다보면 정보보안기사뿐 아니라 개인정보 관련 공고에서는 CPPG, 모의해킹·침투테스트 쪽 공고에는 OSCP라는 이름이 나란히 등장해요. 이 세 자격증이 실제로 어떻게 다른지 하나씩 짚어볼게요.

정보보안기사

국내 채용 공고에서 가장 많이 마주치는 자격증이에요. 공공기관, 대기업, 금융권을 가리지 않고 자격 요건 혹은 우대사항으로 등장하고, 2025년 한국직업능력연구원 채용 공고처럼 CISSP, CISA, CPPG와 동등하게 묶여 아래 중 1개 이상 소지 필수로 명시되기도 해요. 과학기술정보통신부가 주관하고 KCA(한국방송통신전파진흥원)가 시행하는 국가기술자격입니다.

필기, 실기 합산 약 4만 원이기 때문에 해외 자격증과 비교하면 진입 장벽이 낮은 편이에요. 4년제 대학 졸업(예정)자 또는 동등한 경력이 있으면 응시할 수 있어서 입문자가 접근하기 쉬워요. 다만 실기 합격률이 회차에 따라 3~24%로 편차가 큰 편이고(KCA 검정 현황 기준), 기사급 국가기술자격 중에서는 낮은 수준에 속해요. 시험 내용이 이론, 관리 중심이고 해외에서는 인정받지 못한다는 점도 알아두면 좋습니다.

OSCP (Offensive Security Certified Professional)

OSCP는 시험 방식부터 다른 자격증들과 달라요. 24시간 동안 실제 시스템에 직접 침투한 후, 그 과정을 보고서로 정리해서 한 번 더 24시간 내에 제출해야 합니다. 지식을 묻는 시험이 아니라 실제로 해킹해서 결과를 만들어내야 하는 방식이죠. 그래서 모의해킹·레드팀·침투테스트 직군에서 이 자격증을 선호하는 경향이 높아요. 2025년 국정원 경력직 채용과 CJ올리브네트웍스의 화이트해커(Red Team)채용에서도 우대사항으로 명시됐습니다.

다만 OSCP는 $1,699(약 240만 원)이라는 다소 높은 응시 비용이 드는 만큼, 시간과 비용을 고려해 일정을 계획하는 것이 좋아요. 국내 자격증 대비 약 40배 수준이기 때문에, 충분히 준비된 상태에서 응시하는 것이 좋습니다. 2024년 이후 취득한 OSCP+에는 3년의 유효기간이 있고 기존 OSCP는 유효기간이 없어요.

CPPG (Certified Privacy Protection General)

CPPG는 한국CPO포럼이 주관하는 개인정보관리사 민간자격증이에요. 앞서 언급한 한국직업능력연구원 공고에서는 필수 자격요건으로, 한국경영인증원(KMR)의 ISMS-P 심사원 채용 공고에서는 우대사항으로 언급된 사례가 있어요. 응시 자격 제한이 없어서 대학생이든 직장인이든 누구나 도전할 수 있습니다.

응시료는 13만 원이고 학생 인증을 받으면 50% 할인된 6만 5천 원이에요. 필기 단일 시험으로 개인정보보호의 이해, 제도, 라이프사이클 관리, 보호 조치, 관리체계 5개 과목을 다뤄요. 유효기간은 3년이고 갱신할 수 있는 방법도 있습니다. 합격률은 회차별 35~55% 수준이에요(passfi 집계 기준). 개인정보보호법 준수 체계와 개인정보 처리 라이프사이클 전반이 시험 범위라, 보안 이론 전반을 시험하는 정보보안기사와 공격 실기를 시험하는 OSCP와 완전히 다른 영역을 다뤄요. 개인정보보호책임자(CPO)·컴플라이언스 담당자·GRC(거버넌스, 리스크, 컴플라이언스) 분석가 트랙에 특화된 자격증이에요.

그 외 참고할 만한 자격증

목표에 따라 눈여겨볼 수 있는 자격증들이 다른데요. 대표적으로 함께 언급되는 자격증은 다음과 같아요.

• ISMS-P
  KISA 관련 기관의 정보보호 관리체계 인증심사원 자격으로, 국내 정보보호 관리 분야에서 활용됩니다.

• CISSP
  ISC2가 발급하며 보안 거버넌스, 관리 관점 의사 결정 능력을 평가하는 자격증이에요. 미국 정부, 국방 관련 보안 직무에서 요구되는 경우가 많고, 국내 금융권, 대기업 시니어 트랙에서 선호도가 높은 것으로 보입니다.

• CISA
  ISACA가 발급하며 IT 감사·컴플라이언스 트랙에 특화된 자격증입니다. CISSP와 같은 관리 계열로 분류되지만 감사와 컴플라이언스 관점에 더 집중되어 있고, 국토연구원 공고처럼 정보보안기사·CISSP와 묶여 등장하는 사례가 있어요.

• 금융보안관리사
  금융권에 특화된 자격증으로, 금융 부문 보안 직군을 목표로 한다면 참고할 수 있습니다.

상황별 필요한 보안 자격증

국내 대기업이나 공공기관 취업이 목표일 때

국내 채용 공고를 기준으로 보면 정보보안기사가 가장 넓은 범위에서 통용돼요. 앞서 언급한 채용 공고들처럼 CISSP·CISA와 함께 1개 이상 필수로 등장하기도 해요. 국가기술자격이라는 점에서 공공기관에서는 가산점 대상이 되기도 합니다. 비용이 낮고 유효기간이 없기 때문에 첫 목표로 삼기 좋아요.

다만 대기업, 공공기관이어도 직무에 따라 요구되는 자격증이 달라요. 국정원 채용처럼 침투테스트·레드팀 성격이 강한 특수 직무에서는 OSCP가 우대사항으로 등장하지만, 국토연구원 같은 일반 보안·정보보호 직군 공고에서는 요구되지 않기도 해요. 실제 공고 현황을 본다면 일반적인 보안 직군은 정보보안기사를 중심으로 준비하고, 침투테스트 방향이라면 OSCP를, 개인정보보호나 컴플라이언스 방향이라면 CPPG를 준비하는 것이 좋습니다.

모의해킹이나 침투테스트 실무를 원할 때

침투테스트·레드팀·취약점 분석 직군을 목표로 한다면 앞서 말씀드린 것처럼 OSCP가 가장 직접적으로 연결돼요. ZDNet Korea 인터뷰에서 CIS 이별 대표는 ‘레드팀 채용에서는 대부분 OSCP와 같은 실무 위주 자격시험을 요구한다’고 언급하기도 했어요.

다만 비용이 적지 않기 때문에 드림핵 워게임처럼 웹 해킹, 시스템 해킹 등 분야별 문제를 먼저 경험해 보며 어느 정도 실력을 쌓은 이후 응시를 고려하는 것이 좋아요.

해외 취업이나 외국계 기업을 목표로 할 때

해외 취업 역시 목표하는 직무 방향에 따라 선택이 나뉘어요. 침투테스트·레드팀 방향은 OSCP, 보안 관리, 아키텍처, 컴플라이언스 트랙은 CISSP가 글로벌 표준으로 통해요. 다만 CISSP는 유급 실무 경력 5년이라는 요건이 있어 경력이 아직 없는 입문자가 지금 당장 취득할 수 있는 자격증은 아니에요.

아직 어떤 방향인지 정하지 못했다면

방향이 정해지지 않은 상태에서 현실적인 첫 목표를 찾는다면 정보보안기사가 가장 균형 잡힌 출발점이 될 거예요. 응시 비용도 비교적 낮고 취업 시장 통용성이 높으면서 시험 준비 과정에서 시스템 보안, 네트워크 보안, 애플리케이션 보안, 정보보호 관리 법규 등 보안의 넓은 범위를 한 번에 공부하게 되기 때문이에요.

다만, 정보보안기사는 4년제 대학 졸업(예정)자 또는 동등한 경력이라는 응시 자격 요건이 있어요. 아직 요건을 충족하지 못했다면, 우선 보안 분야들을 더 탐색하면서 요건을 채워가는 것도 방법이에요. 다른 기사 등급 자격증을 보유하고 있다면, 실무 경력 없이도 정보보안기사 응시 자격이 주어진다는 점도 참고하면 좋아요.

자주 묻는 질문

Q1. 정보보안기사와 OSCP를 둘 다 따는 게 좋을까요?

두 자격증이 측정하는 역량이 달라요. 정보보안기사는 이론, 관리 중심의 국내 국가자격이고, OSCP는 실전 침투 역량을 직접 시험하는 해외 자격증이에요. 중복이 아니라 보완 관계라고 보는 것이 좋아요. 국내에서 취업을 준비하고 있다면 정보보안기사를, 모의해킹, 레드팀 등의 직무를 희망한다면 OSCP를 준비하는 것을 추천해요.

Q2. CPPG는 국가 공인 자격증인가요?

아니요. CPPG는 국가공인이 아니라 민간자격이에요. 다만 비공인이어도 채용 시장에서 실제로 많이 활용되는데요. 한국직업능력연구원, 국토연구원 같은 공공기관 채용 공고에서 정보보안기사, CISSP, CISA와 함께 CPPG도 포함되어 1개 이상 필수로 요구된 사례가 있어요. 국가공인 여부보다 실제로 어떤 직무에서 어떻게 활용되는지를 보는 게 더 중요할 수 있습니다.

Q3. 자격증마다 공부 방법이 다른가요?

네, 다뤄야 할 내용이 다른 만큼 접근 방식도 달라요.
정보보안기사와 OSCP는 기술 보안이라 이론만 외우기보다 실제 문제를 풀어보면서 원리를 이해하는 방향이 효율적이에요. 정보보안기사 실기의 애플리케이션 보안 파트는 웹, 시스템 취약점을 다루고 있는데요. 드림핵 워게임에서 관련 문제를 먼저 풀어보면 이론을 따로 암기하지 않아도 원리가 이해되는 경우가 많습니다. OSCP는 시험 자체가 실전 침투 방식이라 실습이 필수예요!
반면 CPPG나 CISA처럼 정책, 컴플라이언스 계열은 기술 지식보다 법규나 프로세스 이해가 더 중요해요. 이론 지식을 꼼꼼히 살펴보고 정리하는 공부법이 더 맞을 수 있습니다.

정보보안기사, OSCP, CPPG 등 모두 각자 다른 역량을 증명하는 자격증이에요. 취업에 반드시 필요한 건 아니지만, 채용 공고에서 우대사항으로 표시하는 경우도 많으니 참고하는 것도 좋습니다.

어떤 자격증을 준비해야하는지 질문에 정답은 없지만 경로와 목표가 정해지면 선택이 조금 더 쉬워지죠. 보안 직종마다 어떤 준비가 필요한지 먼저 파악하고 싶다면, 보안 직종 정리 글과 직종별 준비 로드맵을 함께 보며 방향을 잡아보세요!