보안 인력 월급 안 올려서 공격당한다는 일본 기업들

어느 쪽이든 상황은 좋지 않아요. 일본 IT 시장 전체가 외주에 하청, 또 하청을 거듭하는 구조를 기반으로 하거든요. 임금을 올리면 도움이야 되겠지만 수십 년간 쌓인 구조적인 문제까지 해결되지는 않을 거예요.

그 사람들 중 누구도 연봉 600만 엔을 받고 일하고 싶어 하진 않을 거예요. 우리 보안 부서는 스캐너를 돌리고 보고서 내용을 이해하지도 못한 채 다른 사람에게 전달할 줄만 아는 사람들로 가득했어요.

그러니까 텍스트 파일을 써야죠.

일본 기업들이 사이버 보안의 중요성을 깨닫는 건 거의 포기했어요. 결정을 바꾸려면 큰 피해를 겪고 어렵게 배워야 할 것 같네요. 사이버 보안 컨설팅 일을 하는 입장에서, 보안 역량과 솔루션에 투자해야 한다는 걸 고집 센 사람들에게 이해시키려 대화하는 게 정말 지칩니다.

사실 어디나 비슷하지만 일본도 같은 문제를 겪는다는 건 놀랍네요.

어쩔 수 없지, 다들!

적어도 CSV 파일로 하면 안 될까요?

솔직히 유능한 사람을 해외에서 데려와도 현지에 전문 지식이 부족하다는 문제는 해결되지 않아요. 현지 전문성을 제대로 다시 키워야 더 지속 가능해요. 외부 인력 수입은 구조적이고 오래가는 해결책을 미루는 임시방편이에요.

인건비가 낮은 나라의 외국인으로 임금을 계속 낮추면 현지 인재를 업계로 끌어들일 수도 없어요. 문제를 없애는 대신 비자에 의존하는 인력을 더 투입하면 되니 제대로 투자하기도 어려워지고요. 여기서는 거의 모든 업계에 해당하는 얘기예요.

고집스러운 문화가 이런 상황을 만든 것 같아요. 안타깝게도 사이버 보안만의 문제가 아니에요. 저도 행정 시스템 여러 개를 현대화하고 간소화하려고 하는데 도무지 동참하려 하지 않아요.

얼마나 뒤처졌는지 깨달을 때는 이미 한참 늦었을 거예요.

IT 지식이 없는 사람들이 의사결정권을 갖고 있는 것도 분명 도움이 안 되죠. 경영진 같은 사람들도 포함해서요.

제대로 된 IT 산업을 다시 키워야 해요. 그 분야를 공부하고 일하는 게 매력적인 선택지가 되도록요.

지금처럼 “연봉 500만 엔 드립니다”라고 하면서 70대 임원들은 도장 찍고 거래처와 식사하러 다니며 돈을 다 가져가고, 퇴직 후 거래처에서 사례까지 받는 식이 아니라요.

또 “IT 전공자는 우리 시스템에 이의를 제기할 테니 안 뽑는다. 매년 신입이 몰려오면 인문학 전공자를 데려다가 낮은 임금으로 교육하자. 질문도 안 하고 이직도 쉽지 않으니 경쟁사보다 낮은 비용으로 일할 수 있다”는 식도 그만둬야 해요.

인재를 유치하고 붙잡으려면 고된 근무 시간도 줄여야 해요. 지친 사람은 경계심을 유지하거나 새로운 기술을 배우기 어렵고, 어느 순간부터는 일에 마음을 쓰기도 힘들어져요.

일본 IT가 저렴하고 보안도 취약하다고요? 🌍👨‍🚀🔫👨‍🚀

화상회의에서 화면을 공유하면서요. 실제로 있었던 일이에요.

자기 회사를 보호하는 데 투자하고 싶지 않다면 해킹 피해를 피하기 어렵죠.

지금은 AI와 사이버 보안이 중요한 시대니까요.

텍스토를 말하는 거죠?

임금 부족만의 문제가 아니에요. 일본에는 유능한 IT 전문가를 길러낼 지식 기반도 부족하고, 업계 전체가 각 단계에서 돈을 가져가는 하청 사슬로 이루어져 있어요. 그래서 그 돈이 노동자에게 직접 가지 않더라도 일본 기업들은 IT에 오히려 더 많은 비용을 내고 있죠.

일본 자체 SaaS 인프라를 개발해서 수많은 하청 단계를 거치지 않고 일본 기업에 직접 제공해야 해요. 실제 IT 업무에는 일본인이 거의 참여하지 않는 상황도 바꿔야 하고요. IT 일을 하며 얻는 지식은 마법처럼 생기지 않아요. 경험이 필요하고, 경험을 쌓으려면 새로운 인재와 주니어를 키워야 해요.

그건 전 세계에서 일어나는 일이에요. 무슨 일이 벌어지는지, 소프트웨어들이 서로 어떻게 의존하는지 제대로 이해하는 사람들이 하는 진짜 사이버 보안은 드물어요.

이건 IT만의 문제도 아니에요. 다른 곳에서도 자주 봐요. 회사들이 인력이 필요 없어졌을 때 규모를 줄이기 어렵다 보니 자체 지원 부서를 고용하려 하지 않아요. 대신 프로젝트별로 직원에게 낮은 임금을 주는 외주업체를 고용하죠.

그러면 회사들은 전문성이 부족하고 직접 연락하기도 어려우며, 일을 잘할 동기도 충분한지 의문인 인력에 의존하게 돼요. 정말 좋지 않은 구조예요.

그렇게 할 생각이 없는 거예요. 일본은 전반적으로 IT 임금이 낮지만 현지 물가 등을 고려하면 아주 최악인 건 아니에요. 일본에 관심이 많은 숙련자를 노려볼 수도 있고, 그리 어렵지도 않을 거예요.

하지만 이 상황에서 더 심각한 건 똑똑하고 경험 많은 사람을 뽑아 놓고 시키는 대로만 일하며 일본식 관리 체계 전체에 복종하게 만드는 거예요. 제대로 일하려면 기존 방식에 이의를 제기할 자유와 충분한 업무 재량이 필요해요.

우리나라에는 “모든 일을 하는 사람은 사실상 아무 일도 제대로 하지 못한다”는 말이 있어요. 좀 더 강하게는 “모든 용도로 쓸 수 있는 물건은 결국 제 역할을 못 한다”고도 하죠. 말씀하신 상황을 잘 보여주는 것 같아요.

결국 책임을 떠넘기는 거죠.

외주화는 마치 인형 안에 인형이 들어 있듯 책임을 뒤집어쓸 대상을 여러 겹으로 만드는 것 같아요.

현재 일본 법이 어떤지는 모르겠지만 하청 단계를 둘 수 있다면 그 수에 상한을 두고 최종 책임 소재를 분명히 하는 편이 모두에게 나을 거예요. IT 분야뿐만 아니라요.

농담하시지만, 제가 예전에 담당했던 고객사는 정말로 모든 서버의 최고 관리자 비밀번호를 엑셀 파일에 넣어두고 팀즈와 이메일로 여기저기 공유했어요.

더 심각한 건 비밀번호가 전부 ‘password’를 조금씩 바꾼 형태였다는 거예요.

대학에서 컨설팅 수업을 들었는데 교수님이 컨설팅 결과물은 대개 선반에 올려둔 채 손도 안 댄다고 하셨어요. 수업에서 실제 회사와 프로젝트도 해야 했는데, 담당자가 연락에 답도 잘 안 하고 뭘 원하는지도 모르는 것 같더라고요. 참고로 그 회사는 교수님이 창업한 스타트업이었어요.

자기들한테 지식이 부족하다고 파견업체에 도움을 요청하면서, 정작 그 파견 인력은 요청한 회사가 직접 교육해요.

결국 지식이 부족한 상태로 제자리만 빙빙 도는 셈이죠.

본인들이 가르친 신입 파견 인력이 어떻게 요청한 최신 보안 체계를 제공하겠어요? 그러고는 기대한 걸 못 해낸다고 내보내거나, 프로젝트 책임자가 결과를 못 내면 그 사람한테 책임을 떠넘기죠.

너무 느리고 늦었어요. 보안을 이미 진지하게 챙기는 회사들도 해킹당하고 있는데요. 몇 년에 걸친 혁신과 사고방식 변화, 보안 정책 정비를 서둘러야 해요.

잠깐만요, 그건 너무 진보적인데요.

파스와도 말씀하시는 거죠? 😆

그 회사들이 주려는 월급에는 유능한 사람들이 안 가죠.

실력 있는 IT 전문가라면 더 좋은 대우를 받을 수 있는데 왜 연 4만 달러도 안 받고 일하겠어요? 새 언어를 배우고 외국인 혐오나 은근한 인종차별까지 감수해야 하는데요. 🤦🏽‍♂️

중간 관리자는 실제 업무가 뭔지도 모르면서 사사건건 간섭하려는 그 기분 😭

일본에서 최상급 모의해킹 전문가 연봉이 15만~20만 달러예요. 중급 보안 인력조차 끌어들이기엔 너무 낮죠.

더 뛰어난 사람들을 데려오고 싶다면 보수를 5~10배는 올려야 해요.

늘 반복되는 이야기죠. 전 세계 어디든 너무 늦기 전까지는 사이버 보안을 진지하게 받아들이지 않아요.

그런 일이 기업들의 안일함을 깨우고 있지는 않아요.

위험 완화: 돈 쓰기 아까워하며 망설이는 단계.

위험 감수: 큰 회사들은 사이버 보험에 들고 버티다가 카메라 앞에서 깊이 고개를 숙이겠죠. 아니면 복잡한 하청 구조로 넘기거나요.

위험 외주화: 작은 회사들은 계속 이걸 고를 거예요. 이용하던 서비스가 해킹당하면 자기들 잘못은 아니니까요. 하청업체나 설정이 부실한 SaaS가 여기에 해당하죠.

그 숫자는 어디서 나온 거예요? 제 생각엔 그 근처에도 못 미칠 것 같은데요.

일본 구직 사이트요. 최고 연봉이 3,000만 엔 정도로 나와요.

아니, 그건 좀 못 믿겠는데요. :)

높은 자리에 있는 고소득자 몇 명을 아는데, 관리자급이 아닌 사람들은 다들 연봉이 1,500만 엔 정도에서 막혀요. 그것도 도쿄의 일부 지역에 한정된 얘기고요. 상황이 바뀌고 있다면 좋겠지만 의문이네요.

미국과 중국은 이 분야에서 재능 있는 비관리직 실무자에게도 1억 엔을 어렵지 않게 줘요. 일본이 그 정도를 줄 것 같지는 않네요. 그러니 당분간 계속 해킹당하겠죠.

아직도 정말 모든 일에 엑셀을 쓰잖아요.

일본의 광섬유 케이블은 엄청나게 강해서 700만 번 접고 거대한 화로에서 달군 뒤 불가능할 정도로 꼬아 놨으니 해커도 절대 못…

해킹당함

“으아아아, 이게 대체 뭐야?!”

마지막으로 확인했을 때는 계약 조건도 정말 별로였어요. 컨설팅과 정규직 자리를 둘 다 살펴봤는데, 대기업조차 미국 시장 시세의 절반 정도에 유럽에서 받은 제안보다도 낮았어요. 시세에 맞게 준다면 이주도 고려하겠지만 그럴 일은 없겠죠.

그렇게 대우하면서 요구는 잔뜩 해도 인재를 끌어올 수 있다고 생각하는 직장 문화까지 더하면 이해가 가요. 해외로 눈을 돌리는 사람은 IT 업계에서 돈을 벌 곳이 일본 밖에 있다는 걸 알게 되죠.

연봉 숫자 자체보다 그 돈으로 뭘 살 수 있는지, 그리고 중위 임금보다 얼마나 높은지가 중요해요.

저는 28살이고 제가 사는 나라의 중위 임금보다 20% 더 받아요. 급여를 받는 통화도 세계에서 가장 안전하고 강한 통화 중 하나고요. 관광객 입장에서 엔화는 정말 저렴하게 느껴지고, 다른 나라들도 대부분 그래요. 워라밸도 좋고요.

저는 미국에도 안 갈 거예요. 여러 이유가 있지만 주로 생활 방식과 직장 문화 때문이에요.

일본은 워라밸이 미국보다도 더 나쁘고요. 저는 사사건건 간섭받는 것도 싫지만, 일에서 성과는 내고 싶어요. 그러려면 필요한 일을 할 수 있는 재량이 있어야죠.

그건 전혀 아니에요. 유능한 인재는 있고, 심지어 낮은 보수를 받으면서 일하는 사람도 있어요.

GMO에서 벌어진 문제만 봐도 돼요. 개선 권고는 있었지만 실행되지 않았죠. 왜요? 관리자 체면이 구겨질 수 있으니까요.

오늘 배운 것: 회사에서 유일한 기술 담당자면 쓸모없는 사람이군요.

그럼 제가 그만둬도 아무도 모르겠네요.

회계랑 인사도 같이 맡고 있나요? 그 김에 사무실 관리까지 하고요? 아니라면 아마 당신 얘기는 아닐 거예요.

일본은 가끔 그 정도가 더 심하죠. 일이 잘못됐을 때 체면을 잃지 않으려고 책임을 피하는 걸 중요하게 여기니까요.

일본 스타트업에서 일하다가 이 문제 때문에 나왔어요. 저와 다른 엔지니어 몇 명이 보안 허점을 경고했지만, 회사는 해결책이나 위험을 추적할 도구에 투자하려 하지 않았죠.

공격받을 수 있는 부분을 줄이려고 할 수 있는 만큼은 했지만, 결국 경고했던 사람들은 회사를 떠났어요. 1년도 안 돼 회사가 해킹당했고 사용자 데이터가 전부 유출됐죠.

사이버 보안 컨설턴트입니다. 그 사람들은 인프라 개선에 돈을 쓰느니 일이 터진 뒤 사과하는 쪽을 택할 거예요. 얼마 전에도 최근 데이터 유출로 이미 600만 달러를 지급한 회사와 회의했어요. 새 네트워크 인프라와 전반적인 보안에 드는 비용은 연간 약 1만 8,000달러였죠.

그런데 회사 측이 “왜 회사 내부 사람들까지 경계해야 하죠? 직원들은 문제가 아닌데 돈 낭비 같네요”라고 하더군요. 제로 트러스트를 정말 서른 가지 방법으로 설명했는데 그냥 쳐다보기만 했어요. 이젠 정말 지칩니다. 꼭 필요한 걸 주려고 해도 왜 다른 게 아니냐고 묻는 것 같아요.