CISSP (Certified Information System Security Professional) 시험 준비 과정

CISSP에 대한 관심

CISSP 자격증에 관심을 갖게 된 것은 2020년 무렵이었던 것 같다. 휴대폰 사업부에 있다가 CTO 부분으로 옮기면서 다양한 제품의 보안을 생각하게 되었고, 특히 자동차 업계에 보안 규제가 생기면서 그동안 업무 상으로 접했던 보안 기술들 뿐만 아니라 전반적인 보안의 큰 그림을 봐야 할 필요가 생기게 되었다. 또한 개인적으로 자격증 등을 취득해 전문성을 더 높이고 싶다는 바램도 있었다. 

그래서 보안 분야에서 자격증을 찾아보니 상당히 많은 것들이 있는데, 구체적으로 잘 알려진 자격증 중에서 업무와 연관성도 있고 취득이 가능해 보이는 자격증은 국내에는 정보보안기사, 해외에는 CISSP(Certified Information System Security Professional)과 CISA(Cybersecurity and Infrastructure Security Agency) 정도였다. 이중 정보보안기사는 실무 레벨에 가깝고 CISA는 감사인의 관점, CISSP은 관리자급 레벨에 해당하는 자격증이어서 CISSP에 한번 도전해볼까 하는 생각을 하게 되었다.

야심차게 책을 사다

그래서 Sybex에서 나온 CISSP Official Study Guide와 CISSP Official Practice Tests 책을 아마존에서 구입했다. 2020년말이나 2021년 초에 구매한 거 같은데 당시 2021년도 개정판이 나오기 전이어서 2018년판이었다. 그래서 Official Study Guide 책으로 야심차게 공부를 시작했는데... 이 책은 두께가 5cm가 넘고 1000페이지가 넘는 책이다. 앞에서부터 차근차근 공부해 나가는 게 나름 처음에는 재미도 있었지만 문제는 너무 많은 시간이 걸린다는 것이었다. 다른 일을 전폐하고 공부만 하면 모를까, 시간 날 때 틈틈히 하는 식으로는 책을 다 읽는데만 1년 넘게 걸릴 것 같았다.

지지부진한 시험 준비

그렇게 흐지부지 공부하는 둥 마는 둥 하다가, 2022년말 경에 회사에서 국제 자격증 취득을 위한 지원(시험 응시료)을 해준다는 말을 듣고 다시 본격적으로 공부를 해봐야겠다 마음을 먹게 되었다. 한국에서는 라이지움이라는 곳에서 주로 CISSP 강의가 이루어지고 그 교재로 공부를 많이 한다고 들어서 무료 설명회에도 참석했었고, 정보보안 문제 공작소라는 네이버 카페에 가입하고 정보 보안 1000제라는 책도 사서 카페 정회원 가입 인증도 했었다.

그때는 한국에서 CISSP 시험을 볼 수 있었고, 심지어 한국어로도 시험을 볼 수 있었다. 단, 영어로는 CAT (Computerized Adaptive Testing) 시험으로 보게 되나, 한국어로는 아직 기존 리니어 방식 시험만 가능했던 시기였다. 영어책으로 공부하고 영어 CAT 시험을 신청해서 볼까, 아니면 라이지움 강의를 듣고 공부하고 한국어 시험을 볼까 고민만 하다가 시험 신청은 못하고, Official Study Guide 책만 틈틈히 보는 것으로 또 그렇게 2023년 한 해가 지나가 버렸다. 

CISSP 시험 한국에서 철수

2024년이 되어 이제 더는 미루지 말고 시험을 봐야겠다 다짐했으나 잠시 머뭇거리는 사이 4월에 CISSP 시험이 한국에서 철수해 버렸다는 황당한 소식을 듣게 되었다. ISC2 홈페이지에 들어가보면 전세계에서 시험이 불가하다고 표시되는 딱 2개 국가가 있는데 바로 중국과 한국이다. 뭔가 오해가 있는 것 아닐까, 곧 한국에서 시험이 재개되지 않을까 하고 기다렸는데, 연말이 되었는데도 CISSP 시험이 한국에서 재개될 기미는 보이지 않았다.

결국 이렇게 미루기만 하다가는 영원히 시험도 못보게 될 것 같아, 1월 초에 일본 후쿠오카에서 시험 보는 것으로 예약을 해 버렸다. 어차피 한국어 시험은 없어졌으므로 영어로 CAT 시험을 보는 것 외에 다른 선택은 없어졌다. 이럴 거였으면 진작 한국에서 영어 CAT 시험을 볼 것을... 일년 정도만 빨리 움직였더라면 시간과 돈을 아꼈겠지만, 일본에서 시험을 봤기 때문에 그만큼 더 절박하게 준비할 수 있었던 것도 사실이었던 것 같다. 다른 나라까지 시험 보러 여러번 가기는 어려운 일이니 한번에 붙어야 하니까.

본격적인 시험 준비 과정

시험까지는 한달하고 열흘 정도의 시간이 남아 있었기에 시간을 효율적으로 사용해야 했다. 일단 링크드인러닝에 있는 Mike Chapple의 CISSP 강의과 유튜브에 있는 CISSP Cram 강의를 들었다. 짧지 않은 길이의 강의지만, 솔직히 이런 강의들은 CISSP 8개 도메인에 어떤 내용들이 있다는 것을 한번씩 훑어주는 역할을 하는 것이지 이것만 들어서는 그 내용들을 제대로 이해하기는 어렵다. 그래도 전혀 모르던 것들에 대해 "이런 것도 있구나"하는 식으로 전체 내용을 빠르게 확인하는 데는 도움이 된다. 특히 내가 가진 교재는 2018년판이라 그 후에 2021년판, 2024년판 두번이나 새 버전이 나왔기 때문에, 새로 추가된 내용을 확인하는 데는 이런 강의들이 유용했다.

CISSP Official Practice Tests 책은 새 버전을 구매했고, 책 뒤에 있는 가이드대로 온라인 Test Bank에 가입하면 책에 있는 모든 연습문제를 온라인으로 풀 수 있다. 책을 들고 다니지 않아도 된다는 편리한 점 외에도, 휴대폰에서도 얼마든지 문제를 풀 수 있다는 장점, 그리고 정답 여부를 곧바로 알 수 있고 해설도 바로 볼 수 있다는 점이 책보다 훨등히 좋은 점이다. 그리고 Pocket Prep이라는 휴대폰 앱을 깔고 CISSP 시험을 선택한 후, 한달간 유료 회원 등록을 했다. CISSP 시험용 문제 총 1000개가 제공되는데, 멤버십은 기간제로 되어 있어 한달에 약 20불이다. 

이렇게 한달 간은 시간을 내서 공부한 것은 물론, 잠깐잠깐 나는 짜투리 시간까지 유튜브 강의를 듣거나 문제를 푸는 시간으로 거의 채웠다. 그리고 연습문제를 풀면서 전체적인 컨셉이 잘 이해가 안가는 내용들을 따로 교재에서 찾아보며 공부했다. 추가로 위에서 소개한 1000제의 문제들과 카페에 있는 정보들을 간간히 살펴보았다.

합격 그 이후

지금 돌이켜 생각해 보면, 자격증 취득도 취득이지만 그걸 위해 공부하는 과정 자체가 큰 도움이 되지 않았나 싶다. 내 업무는 CISSP 도메인 중 세번째인 Security Architecture and Engineering에 집중되어 있어서 다른 분야는 솔직히 잘 몰랐었는데, 그동안 공부하는 과정을 통해서 risk management, network 보안, SSO, BCP/DRP, 그리고 물리보안의 중요성 등 전반적인 보안에 대해 균형잡힌 지식과 시각을 가지게 되었다. 따라서 CISSP 자격증에 관심을 가지는 이들에게 시험에 붙기 위한 특별한 공부 방법을 추천하기보다는, 각 도메인에서 다루는 주제들에 대해 제대로 된 지식을 가질 수 있도록 깊이 있게 공부하기를 권하고 싶다.

나도 이번에 시험에 합격하기는 했지만, 1000점 만점에 700점을 넘긴 수준일 뿐 아직 CISSP에서 다루는 많은 내용에 대해 다 안다고 말하기가 힘들다. 게다가 다른 IT 분야도 마찬가지지만 보안 분야는 계속해서 새로운 것들이 쏟아져 나오는 분야라, 끊임없이 공부하지 않고는 자격증은 그야말로 종이 쪼가리로 전락하고 말 것이다. 회사에 CISSP 자격증에 관심이 있는 후배들이 좀 있어서, 그들을 도우며 나 스스로도 더 배우고 지식을 새롭게 하기 위해 꾸준히 노력할 예정이다.

일본 후쿠오카에서 CISSP 시험 보기

CISSP(Certified Information Systems Security Professional)은 정보보안 업계에서 알아주는 국제 자격증이다. 그런데 어떤 이유에서인지 2024년 4월 이후로 한국에서는 CISSP 시험을 볼 수 없게 되었다. CISSP 자격증에 대한 소개 등은 이미 잘 소개된 블로그 등이 많으나, 한국에서 시험이 중지된 이후 다른 나라에서 CISSP 시험을 보았다는 후기가 없어 정보 공유 차원에서 글을 작성하고자 한다. 

CISSP 시험은 피어슨뷰(Pearson VUE) 테스트 센터에서 치러진다. ISC2 홈페이지에서 시험을 신청하면 자동으로 피어슨뷰 사이트로 이동하며, 여기서 가까운 시험장을 선택할 수 있다. 안타깝게도, 한국에 있는 시험장들을 선택하면 응시 가능한 시험 날짜가 없다고 나온다. 일본이나 중국에 시험장이 있는데, 현재 전세계에서 CISSP 시험이 중단된 두 나라가 중국과 한국이기 때문에 중국 시험장은 별 의미가 없을 것이다. 일본에는 가까이 후쿠오카와 오사카에 시험장이 있는데, 후쿠오카가 한국에서 더 가깝기도 하고, 특히 공항에서 시내까지의 접근성이 매우 좋은 도시여서 후쿠오카를 선택했다. 

후쿠오카의 시험장은 시내 중심가인 하카타역에서 걸어서 2,3분 거리에 있다. 하카타역 인근에 호텔이나 쇼핑몰 등도 많기 때문에, 한국에서 시험을 보기 위해서 방문하기에 편리한 위치라 할 수 있다. 무엇보다 하카타역은 후쿠오카 공항에서 기차로 2정거장 거리라 매우 가깝다.  

피어슨뷰에서 확인하면 후쿠오카 테스트센터에서 CISSP 시험은 매주 수요일 오전 10시에만 가능하다. 오사카는 일주일에 두번 가능했던 것 같다. 

어제 화요일 오전 비행기를 타고 후쿠오카에 도착했다. 오후에 후쿠오카에 도착해서 시험장 건물에 미리 가보았는데, 시험장인 7층에는 올라가보지 못했다. 아마 시험장 운영을 하지 않는 시간대에는 엘리베이터도 7층에 올라가지 못하도록 막아두는 듯 싶었다. 미리 한번 시험장 분위기도 보고 시험이 잘 예약되었는지 확인하고 싶었는데 위치를 확인한 것으로 만족해야 했다. 

오늘 시험 당일, 최소 30분 일찍 도착하라는 가이드도 있고, 어떤 유튜브 비디오에서는 한시간 정도 먼저 가라는 조언이 있어서 9시5분에 호텔을 나서서 9시10분 경 테스트센터에 도착했다. 다행히 엘리베이터는 7층까지 운행을 했다. 그런데 7층에 내리니 문이 잠겨 있고, 앞에 종이가 한장 붙어 있었다. 파파고 앱을 켜서 확인하니 시험 시작 30분 전에 문을 연다고 적혀 있었다. 9시20분 경에 남자 직원이 한명 출근하면서 기다리라고 이야기하고 들어갔고, 결국 9시30분 거의 다 되어서 문을 열어주었다. 앞에 앉아서 기다릴 의자도 없기 때문에 후쿠오카 시험장에 가는 분들은 9시30분에 딱 맞추어 가는 것이 좋을 것 같다. 

들어가서 여권과 신용카드, 그리고 휴대폰으로 이메일로 받은 시험 정보를 직원에게 보여주었다. 직원은 영어를 거의 하지 못해서 손짓으로 의사를 표시하거나 좀 길게 안내해야 할 것이 있으면 번역기 앱을 통해서 보여주었다. 이름과 시험 시작 시간 등을 적고, 시험에 대한 주의사항이 적혀 있는 종이를 읽어보라고 주면서 다 읽으면 알려달라고 했다. 그리고 다 읽은 후 다시 직원에게로 가자 손바닥 인증 스캔을 하는데, 기기의 문제인지 잘 인식이 안되어서 여러번 반복해서 시도하느라고 시간을 좀 많이 잡아 먹었다. 이후에 얼굴 사진도 찍었다. 

여권을 제외하고 가지고 온 것은 외투 포함 모두 라커에 넣어야 하고, 주머니에도 아무것도 없어야 한다. 여권은 가지고 들어가라고 했고, 화이트보드 비슷한 조그만 보드와 싸인펜 같은 것을 주고 시험 중에 필요하라면 메모를 하라고 했다. 시험 시작하고 OSI 모델 등 암기한 것들을 일부 적어 놓았는데 사실 보드를 쓸 일도, 찾아볼 일도 없었다. 

직원과 함께 시험장에 들어갔다. 시험장 맨 안쪽에 독립된 부스처럼 생긴 곳이었는데, 아마도 CISSP 시험은 여기서만 볼 수 있는 것 같다. 직원이 컴퓨터를 켜고 계정, 패스워드를 넣으니 CISSP 시험에 연결되었다. 이 연결에도 꽤 시간이 걸렸다. 여기서 이름과 좀전에 찍은 사진, 그리고 시험 종류(CISSP, 영어)를 확인하면, NDA가 뜨고 이에 동의하면 곧바로 시험이 시작된다. 

시험 중에 느낀 것은 생각보다 지식을 묻는 문제가 많다는 것이다. CISSP이 실무자 시험이 아니라 하이레벨의 관리자 시험이라고는 하지만, 단순히 마인드셋으로 생각해서 풀 수 있는 게 아니고, 해당 내용에 대해 잘 알고 있어야 풀 수 있는 문제가 대부분이었다. 이것저것 다 정답인 것 같은 애매한 문제들도 있었지만 의외로 그런 문제의 비중이 준비하면서 풀어봤던 연습문제들보다 더 적었던 것 같다. 

다만 연습문제들을 풀 때에 비해서 문제도, 보기도 좀 길다는 느낌이 들었고 영어를 읽고 제대로 이해하는데 시간이 많이 걸렸다. 게다가 고민해야 하는 문제를 만나면 한참 생각을 해야 하니... 이래저래 시간에 대한 압박을 느끼면서 문제를 풀어야 했다. 문장이나 단어의 수준 자체는 한국에서 고등교육을 받고 정보보안에 익숙한 사람이면 누구나 이해할 수 있는 정도이지만, 문제는 읽어야 할 양이 많다는 것이다. 참고로 나는 영어 리딩에는 크게 불편함을 느끼지 않는 수준으로, 10여년 전 봤던 아이엘츠 시험에서도 리딩은 3번 모두 9점 만점을 받았었다. 원서로 해리포터 같은 소설류나 자기개발서, 신앙서적 등을 읽는 것을 즐기는 편이라 평범한 직장인들보다는 영어로 된 글을 읽는 시간이 많은 편에 속할 것이다. 따라서 영어를 자주 접하지 않는 분들은 시간적으로 조금 더 압박을 느낄 수도 있을 것 같다. 

한 50문제 넘어가는데 한시간이 조금 더 걸렸고, 이미 지치기 시작한 거 같다. 그래도 다행히 집중력이 흐트러지지는 않았고, 어려운 문제를 만나도 멘붕 상태로 멍하니 있는 상황에 빠지지 않았다. 이거 하나 틀린다고 뭐 달라지랴 하는 마음으로 적당히 고민하고 적당히 결론짓고 다음 문제로 넘어갔다. 딱 두 시간이 될 즈음에 100번째 문제가 끝났고, 바로 설문으로 넘어갔다. 설문은 3분 준다는데 13개인가 있었는데 9번 답변하다가 3분이 다 지나서 끝났다. 

시험을 보면서 긴가민가한 문제가 20여개 이하, 진짜 모르겠어서 거의 찍다시피 한 문제는 5개 이하이고 나머지는 거의 확신을 가지고 답했기 때문에 100번 문제에서 끝났을 때 탈락할 거라는 생각은 안 들었고 결과는 예상대로 합격! 멀리 일본까지 비행기값 들여서 시험보러 왔는데 탈락하면 돈도 시간도 엄청난 낭비에다 주변 보기도 민망할 것을 우려해 막판까지 열심히 공부한 보람이 있었던 거 같다. 

연습문제는 Official Study Guide와 Official Practice Test, 그리고 휴대폰 앱 Pocket Prep을 이용했고 다 합쳐서 3000 문제 넘게 푼 거 같다. 연습문제와 똑같이 나온 건 하나도 없지만, 합격을 위해서는 연습문제는 꼭 풀어봐야 한다. 하지만 실제 업무에서 경험한 것들, Official Study Guide 보면서 제대로 컨셉 정리한 것들, 연습문제 해설을 보면서 설명이 이해 안되거나 부족한 부분은 웹 검색하면서 찾아보고 공부한 것들이 없었다면 단순히 문제를 푸는 것으로는 합격하기 어려웠을 것 같다. 준비 과정에 대해서는 나중에 따로 하나 글을 더 쓰면서 정리할 예정이다.

미국 대학 입시 - 2. Common Data Set

Common Data Set은 미국 대학들이 입시와 관련되어 상세한 학교의 정보를 기록한 자료이다. Common이라는 이름답게, 동일한 포맷으로 같은 질문들에 대해 정보를 제공하게 되어 있다. 대학 입시와 관련된 미국의 대표적인 기관들인 College Board, Peterson’s, 그리고 U.S. News & World Report에서 함께 포맷을 만들어 각 대학에 제공하고, 대학들은 이 자료를 성의껏 작성하여 제공함으로써 투명한 정보를 제공하고 학생들의 대학 선택을 돕는다.

이 자료를 일목요연하게 정리하여 제공하는 사이트가 있으면 좋겠으나, 현재까지는 각 대학들이 자체적으로 pdf 파일 형태로 각 학교 웹사이트에서 제공하는 자료를 일일히 모아서 직접 내용을 확인하는 방법밖에는 없어 보인다. AI 검색엔진 등에 "특정 대학들에 대해 common data set을 찾아서 주요 정보를 테이블로 정리해 제공하라"고 요청하면 정리해 주긴 하는데, 정리된 데이터 중 사실과 동떨어진 수치가 섞여있어 신뢰하기 어려웠다.

일단 학교마다 제공하는 pdf 파일의 위치가 다 달라, Google 검색어에 "학교명" + "common data set"을 넣어서 파일을 찾아야 한다. 최근 파일을 제공하지 않는 학교들도 있다. 이런 경우는 어쩔 수 없이 과거 파일을 참고하거나, U.S. News나 Niche와 같은 웹사이트에서 제공되는 정보로 만족해야 한다. 특히 유학생을 많이 선발하는지, 유학생에게 재정지원을 잘 해주는지 등의 정보는 Common Data Set을 보지 않고는 찾기 어렵다.

Common Data Set은 아래와 같은 여러 section으로 나누어진다.

A – General College Information: 학교 주소, 사립인지 공립인지, 공학인지 남/여학교인지, 학기제인지 쿼터제인지, 수여하는 학위의 종류 등 일반적인 정보

B – Enrollment and Persistence: 전체 학부 학생 수(남/녀), 1학년 학생 수(남/녀), 대학원 학생 수(남/녀), 인종별 학부 학생 수 및 1학년 학생 수 (유학생은 nonresidents), 수여한 학위 수 (학사/석사/박사), 졸업율(4년/5년/6년), 1학년의 리텐션율

C – First-Time, First-Year (Freshman) Admissions: 각종 1학년 입시 정보 - 지원자수(남/녀), 합격자수(남/녀), 등록자수(남/녀), 주립대의 경우 in-state/out-of-state/international에 따른 지원자/합격자/등록자수, waitlist 숫자 및 합격자수, 지원자격, 고등학교 과목별 요구사항, 입학 사정시 고려 요소별 중요도, SAT/ACT 필수 여부, 지원자 SAT/ACT 점수 분포, 지원자 고등학교 석차 및 GPA 분포, 입시 정책 (Application Fees, Closing Dates, Notification Date(s)), Early Decision, Early Action 등 여부, 

D – Transfer Admissions: 편입 관련 정보

E – Academic Offerings and Policies: 온라인 수업, 복수 전공 등 정책, 졸업 필수 과목

F – Student Life: 기숙사, 동아리 등 학교 생활 관련 정보

G – Annual Expenses: 학비, 기숙사비, 기타 비용

H – Financial Aid: 정부나 외부기관 포함 재정지원/장학금 총액, 재정지원 신청한 학생수, 받은 학생수, 필요한 액수 중 지원한 비율, 학자금 대출, 재정지원/장학금 받은 유학생 수, 재정지원/장학금 받은 유학생의 평균 액수, 재정지원 신청 정보

I – Instructional Faculty and Class Size: 교수 수(남/녀), 학위, 교수-학생 비율, 수업당 학생수 분포

J – Degrees Conferred by Disciplinary Areas: 학위 수여된 전공별 비율

미국 대학 입시 - 1. 대학의 종류

미국에는 4천여개의 대학이 있다고 한다. 그중 2년제인 community college를 제외한 4년제 대학도 대학원 위주인 연구중심대학과 학부 위주인 리버럴 아트 칼리지(Liberal Arts College)로 나눌 수 있다. 리버럴 아트 칼리지를 인문대학이라고 하지 않은 것은, 이런 학교들이 인문학만 가르치는 것이 아니고 과학이나 CS, 공학 등도 가르치기 때문이다. 한국에 흔히 이름이 알려져 있는 대학들은 대부분 연구중심대학이다. 리버럴 아트 칼리지, LAC들은 학교 규모가 작은 편이고 학생수가 적은데다, 연구 결과로 매스컴을 탈 일이 적기 때문에 한국에서 유명세를 타기는 어렵다.

연구중심대학

흔히 알고 있는 하버드, 예일, 프린스턴 등의 아이비리그 대학들, MIT, 스탠퍼드, 칼텍 등 우리가 많이 들어본 대학들이 주로 여기에 속한다. 주립대 중 잘 알려진 UC Berkeley나 UCLA, 미시건대 등도 다 연구중심대학에 속한다. 연구중심대학의 교수들은 주로 연구에 비중을 두기 때문에 대학원 위주로 시스템이 돌아간다. 아무래도 교수들이 학부 수업에는 정성을 덜 쏟게 될 것이고, 따라서 학생들은 수백명 이상 수강하는 대형 강의실에서의 수업이나 대학원생이 강의하는 수업을 듣게 되기도 한다. 4년 내내 교수와의 일대일 면담을 해본 적 없다는 학생들도 많다. 

주립대 같은 경우는 설립 목적상 특히 입학은 비교적 쉬운 편이나 졸업은 쉽지 않으며, 좋은 학점을 받기는 더 어렵다. 워낙 학생 수가 많아 누가 누군지도 잘 모르고, 혼자서 알아서 챙겨야지 누가 도와주지 않는다. 이런 주립대의 단점을 보완하기 위해 Honors 칼리지라는 것이 있다. 주립대에서 특별히 성적이 우수한 학생들을 따로 선정해 일종의 특혜를 주는 것인데, 장학금은 물론 교수들이 따로 시간을 내서 챙겨주고, 과목 선택 우선권, 가장 좋은 기숙사, 주차 혜택까지 부여한다고 한다. 물론 상세한 것은 학교마다 다르겠지만. 그러다보니 상위권 주립대의 Honors 합격은 아이비리그급 사립대 합격만큼 어렵다.

Liberal Arts College

학부 수업에 중점을 두는 대학들이다. 미국 내 LAC로 최상위권인 Williams, Amherst, Pomona, Harvey Mudd college 등도 아마 한국에서는 들어본 적이 없는 듣보잡 대학 취급을 받을 것이다. 그러나 이런 대학들은 미국 내에서는 아이비리그 대학에 붙고도 선택하기도 할 정도로 좋은 학교들이다. LAC들은 주로 규모가 작고 학생 대 교수 비율이 매우 낮다. 수업은 20명 이내의 소규모로 토론 위주의 수업이 이루어지고, 다양한 인문학적 소양과 과학적/논리적 사고를 키우는데 중점을 둔다. 많은 책을 읽고 토론하고 글쓰기 능력을 키우게 된다고 한다. 또한 서로가 서로를 잘 아는 사이가 된다. 교수와 학생 간의 관계가 매우 친밀하고, 수시로 교수들을 찾아가서 대화하고 관계를 맺을 수 있다. 전담 카운슬러가 있어 잘 챙겨주는 학교가 많다. 졸업 후 대학원, 의대, 법대 진학 등을 염두에 둔 학생들이 많으며, 교수의 추천서가 큰 힘이 된다고 한다. 일부 상위권 LAC 들은 유학생 비율이 높고 유학생에게도 장학금이나 재정 지원을 잘 주는 편이어서, 재정 지원이 필요한 유학생들은 LAC를 집중적으로 노려보는 것이 좋다.

Community College

2년제인 community college는 지역 내 가까운 곳에서 누구나 원하는 수업을 들을 수 있는 교육기관에 가깝다. 고등학교 졸업장만 있으면 입학이 된다고 보면 된다. 학비도 매우 저렴해서, California의 경우 듣는 과목수에 따라 달라지지만 연간 24학점 기준으로 유학생도 1만불 이하의 학비를 지불하면 된다. 그리고 community college에서 2년 보낸 후 주립대로 편입이 가능하다. California의 경우 아예 캘리포니아 주립대 (University of California)로 편입이 보장되는 Transfer Admission Guarantee (TAG)라는 프로그램도 있다. 물론 Computer Science 등 경쟁이 치열한 전공으로의 편입은 어렵고 최상위 UC들은 편입을 받는 숫자가 제한되어 있으나, 그렇지 않은 학과들로 다른 UC들은 목표로 한다면 최소 학점 기준만 맞춘다면 편입이 가능하다. 캘리포니아를 예로 들었지만 다른 주들도 비슷한 프로그램이 있을 것이다.

일단 학비가 무척 저렴한데다 입학이 쉽고, UC 등 유명 주립대로의 편입이 보장된다니 환상적으로 들린다. 그러나 이러한 편입도 장점만 있는 것은 아니다. 우선 다른 친구들은 4년제 대학교에 가는데 본인은 CC로 가는 것을 아이들이 원하지 않는다. 그리고 CC에 다니는 동안에는 사실상 대학생활이라는 것이 존재하지 않고, 먼저 4년제 대학교 간 친구들이 1, 2학년 기간 동안 하게 될 학교 생활, 동아리 활동, 교우 관계 구축 등을 할 기회를 잃게 된다. 게다가 캘리포니아 같은 경우는 애초에 CC에 오는 학생들 대부분이 편입을 노리고 오기 때문에 생각만큼 공부나 고학점 취득이 쉽지는 않다고 한다.

미국 대학 입시 - 0. 개요

한국 학교에 잘 다니고 있던 아이들이 이런저런 사유로 국제학교로 옮기게 되면서, 그동안 남의 일로만 생각했던 미국 대학 입시에 관심을 갖고 찾아보게 되었다. 요즘은 우리나라 입시도 복잡하지만, 미국 대학 입시는 그보다 몇배는 더 복잡하지 않을까 싶다. 다행히 요즘은 많은 정보를 인터넷 서치와 유튜브를 통해 취득할 수 있고, 네이버 카페 등을 통한 정보 교류도 활발하여 비교적 짧은 기간에 어느 정도 파악을 할 수 있게 되었다. 새로 알게 되는 정보들 못지 않게 또 잊어버리는 것도 많아, 어딘가에 적으면서 정리해야 할 필요를 느끼게 되었다. 스스로를 위한 정리이지만, 나처럼 미국 대학 입시에 대해 전혀 모르던 분들에게는 도움이 되는 정보가 될 수도 있을 것 같다.

수많은 미국 대학에 대한 정보는 어디서부터 찾아야 하나?

하버드, MIT, 스탠포드 이런 대학교들은 당연히 한국에서도 유명하기 때문에 다들 알지만, 랭킹 10위권 내에도 한국에서는 잘 들어보지 못한 학교들이 등장하기 시작한다. 따라서 내가 이름을 들어본 학교 위주로 구글 검색해서 학교 홈페이지를 일일히 찾아보는 것은 큰 의미가 없다. 미국에는 4천여개의 4년제 대학교가 있다고 하니, 아무래도 랭킹 순으로 혹은 어떤 기준으로 검색을 해 볼 수 있는 사이트에서 찾아보는 게 합리적일 것이다.

• US News  https://www.usnews.com/best-colleges - 가장 유명한 미국 대학 랭킹 사이트
• Niche https://www.niche.com/colleges/rankings/ - 전공별 랭킹, 최고의 기숙사, 최고의 캠퍼스 등 여러가지 특색 있는 랭킹을 제공하는 사이트로, 학교별 리뷰를 제공하여 불만 있는 학생들의 생생한 소리를 들어볼 수 있다.
• College Board https://bigfuture.collegeboard.org/college-search/filters - SAT, AP 시험을 주관하는 칼리지보드에서 제공하는 대학교 정보 사이트로, 지역, 학교 크기, 합격율 등 다양한 기준으로 원하는 대학을 검색할 수 있다.

이러한 사이트들에서 적당한 학교들을 일단 추려내는 작업이 필요하다.

미국 대학은 뭘 보고 학생을 뽑나?

우리나라 대학교들은 일단 내신 성적과 수능 점수를 볼 것이고, 그 외에 다양한 전형들이 있고 생기부에 적힌 여러가지 스펙들을 볼 것이다. 미국 대학도 비슷하나, 각 학교의 재량이 매우 크다.

• GPA (Grade Point Average) - 내신에 해당하는 것으로, A = 4, B = 3, C = 2, D = 1 이런 배점을 기본으로 하되 난이도가 높은 Honors 과목이나 AP 과목에는 추가점을 주어 weighted GPA를 보는 학교도 있다. GPA는 기본적으로 학생이 얼마나 성실하게 학교 생활을 했는지와 얼마나 똑똑한지를 동시에 보여주는 척도가 된다. 또한 어떤 과목들을 들었는지 과목별 요구사항이 있기도 하고 (가령 수학, 영어는 4년간 필수로 들어야 한다는 식이며 과학, 사회도 4년 필수 혹은 3년이 필수이나 4년 권장, 제2외국어도 같은 언어로 4년 권장 등 학교마다 다 다르다.), 또 얼마나 어려운 과목들을 들었는지가 중요한 평가 요소이다.
• 표준화 시험 점수 - 수능에 해당하는 SAT나 ACT 시험 점수이다. 다만 수능처럼 국가 주도의 시험이 아니고 업체가 제공하는 것이며, 원하는 만큼 여러번 볼 수 있다. GPA는 학교마다 교육 수준이나 grade 매기는 편차가 클 수 있기 때문에, 수준을 비교하기 위해 표준화된 시험 점수가 도움이 되는 것이다. 그러나 이러한 표준 시험 점수가 학생의 가정 경제 수준에 비례한다는 비판도 있어 왔고, 특히 코로나 기간에 물리적으로 시험장에 모여서 시험을 치르는 것이 불가능해짐으로 인해서 대부분의 대학이 표준화 시험 점수를 필수가 아닌 선택 사항으로 변경했었다. 최근에는 MIT, 예일, 브라운 등 주요 대학을 필두로 SAT/ACT 점수를 다시 필수 제출로 변경하는 학교들이 생겨나고 있다. AP 과목을 수강하고 AP 시험을 봐서 받은 점수(학점 아님)를 표준화 시험 점수로 인정하기도 한다.
• 과외 활동 (Extracurricular Activities, 줄여서 EC) - 학과목 이외의 모든 활동을 통칭하는 것으로, 학교에서 하는 동아리 활동, 운동, 음악, 봉사활동, 수상 경력 등을 의미한다. 아이비리그 등 명문 대학교들의 경우, 대부분의 지원자들이 성적은 다 뛰어나기 때문에 이러한 EC 요소들이 당락을 좌우하는 큰 역할을 한다. 즉 단순히 성적만 놓고 SAT 1점, GPA 0.1점 차이로 당락이 결정되는 것이 아니라, 가령 SAT 50점이나 GPA 0.3점이 더 낮더라도 더 인상적인 EC 활동이 있는 학생이 합격할 수 있다는 것이다. 이러한 활동들은 학생의 인성, 사회성, 리더십, 시간 관리 능력을 보여주며, 학생이 얼마나 스마트한지도 보여준다. 즉 하루종일 공부만 해서 간신히 A를 받은 학생보다 하루에 두시간씩 운동하고 일주일에 10시간 이상씩 학생회 활동과 봉사활동도 해가면서 A를 받은 학생이 더 똑똑하다고 보는 것이다.
• 에세이 - 에세이는 단순히 자기소개서가 아니다. 기본적으로는 어떤 질문들에 답하는 것이다. 인생에서 어떤 어려움을 겪었고 이를 어떻게 이겨냈는지 쓰라는 자기소개에 가까운 에세이도 있지만, 사회 문화에 대한 통찰력을 요구하는 에세이도 있고, 창의성을 요구하는 에세이도 있다. 에세이는 하나만 쓰는 것이 아니며, 여러가지 주제에 대해 많은 에세이를 요구하는 학교들도 있다.
• 추천서 - 대학 입학에 왜 추천서가 중요한지는 모르겠지만, 미국 문화에서는 추천서를 중요하게 여긴다. 기본적으로 고등학교의 입시 카운슬러의 추천서와 학교 선생님 두 분의 추천서가 필요하다. 그 외에 추가 추천서는 자유인데, 심지어 미국 대통령의 추천서를 받는 학생도 있다고 한다.

미국 대학의 학비는 어느 정도나 되나?

미국 대학의 학비는 살인적인 수준이다. 왠만한 사립대학의 1년 학비는 보통 6만불이 넘어가며 매년 오르고 있다. 또한 기숙사비와 식비, 그외 보험료나 책값 등 여러 비용을 모두 합쳐 COA (Cost Of Attendance)라고 하는데, 보통 8만불에서 9만불 정도 된다. 연간 1억원이 훌쩍 넘는 금액이다. 주립대는 해당 주의 주민들에게는 In-state라 하여 학비가 저렴하지만, 타주 학생들이나 유학생들은 OOS(Out-of-State) 학비를 내야 하는데 이것도 만만치 않다. 캘리포니아 주립대인 UC Berkeley의 OOS 1년 학비는 4만5천불 수준이다. 사립대학교보다는 싸지만, 여전히 COA는 7만불에 육박한다. 미시건 주립대의 OOS 1년 학비는 무려 5만5천불이다. 물론 플로리다 주립대(학비 약 3만불)처럼 저렴한 주립대도 있다. 저렴한 주립대라 해도 COA는 여전히 한국 돈으로 연간 6천만원에 달한다. 한국 대학 등록금과는 비교하기 어려울 정도로 큰 차이가 난다.

다행인 것은, 모든 학생들이 이 돈을 다 내고 학교에 다니는 것은 아니라는 것이다. 많은 학교들이 실제로는 많은 학생들에게 장학금과 재정 지원 명목으로 훨씬 저렴한 비용으로 학교를 다닐 수 있도록 해준다. 우리는 흔히 장학금이라고 구별없이 사용하지만, 미국대학들은 Merit-based Scalarship과 Need-based Financial Aid를 명확히 구분하고 있다.

• Merit-based Scalarship (성적 우수 장학금): 성적 우수라고 번역했지만 사실 성적 이외에 운동 특기나 리더십 등 다른 EC 측면에서의 장점을 모두 고려해서 대상자와 액수를 선정한다. 액수는 아주 적을 수도 있고 많을 수도 있으며, 학생의 가정 형편은 고려하지 않으므로 집이 재벌이어도 받을 수 있다.
• Need-based Financial Aid (재정 지원): 학생의 가정 형편에 따라, 대학을 다니기 위해 필요한 액수를 지원해 주는 것이다. Grant라는 것은 조건없이 깎아 주는 금액이고, Loan은 대출, Work-study는 학생이 학교에서 아르바이트를 해서 벌어야 하는 돈이다. 가령 학교의 COA는 9만불이지만 가정의 소득과 지출을 고려한 가정 형편상 학비로 연간 2만불밖에 낼 수 없다고 하면, 나머지 7만불을 재정 지원을 통해 보조해 준다. 하버드의 경우 가정 소득이 연간 8만5천불 이하이면 COA 전액을 지원해준다.

재정 지원이란 게 좋아 보이지만, 당연히 대학의 재정에도 한계가 있으므로 모든 학생이 원하는 만큼 재정 지원을 받을 수는 없다. 다행히 기부금으로 조성된 재정이 풍부한 학교들은 학생을 뽑을 때 재정 형편을 고려하지 않는 Need-blind 정책을 시행하고 있으나, 아쉽게도 이런 혜택은 미국 시민권자나 영주권자에게만 주어지고 유학생에게는 주어지지 않는 경우가 대부분이다. 현재 미국 내에 총 100여개의 학교가 Need-blind 정책을 시행하고 있으나, 유학생에게도 Need-blind를 적용하는 학교는 총 8개에 불과하다. (하버드, 예일, 프린스턴, 다트머스, MIT, 앰허스트, 보든칼리지, 브라운)

Need-blind가 아닌 학교들은 Need-aware라고 하는데, 이는 입시 사정 과정에서 학생이 얼만큼의 재정 지원을 필요로 하는지를 보고, 이를 학생을 뽑는데 고려한다는 뜻이다. 학교 입장에서는 특출나게 우수한 학생이라면 재정 지원을 해서라도 뽑고 싶을 것이지만, 비슷한 수준의 학생이라면 학비를 full로 낼 수 있는 학생을 뽑는 것이 이익일 것이다. 그러므로 아무래도 재정 지원을 필요로 하는 학생은, 특히 유학생은 이런 학교들에 지원할 때는 어느 정도의 불이익을 감수해야 한다.

비자 그리고 미국 대학 졸업 후에는?

미국에서 살고 싶다고 아무나 그냥 갈 수 있는 것은 아니며, 그에 필요한 비자 등을 발급받아야 한다. 미국에서 학교를 다니기 위해서는 F-1 비자를 발급받아야 한다. 학교에 입학이 확정되면 학교에서 I-20라는 서류를 발급해 주고, 이를 기반으로 주한 미국대사관에서 F-1 비자를 받게 된다. 이 비자는 비이민비자이기 때문에, 학업을 마치고 다시 한국으로 돌아올 것이라는 보증이 필요하다. 따라서 학업을 마칠 수 있는 충분한 재정이 있는지, 한국으로 확실히 돌아올 것인지를 입증할 수 있는 부모의 소득 증명, 통장 잔고 증명 등을 필요로 한다. 이 F-1 비자는 학업을 위한 것이므로, 학교 내에서의 아르바이트나 별도의 CPT(Curricular Practical Training)를 발급받아 가능한 인턴십 외에는 다른 경제 활동을 할 수 없다.

사실 미국 대학에 진학하는 이들 중 상당수가 이후 미국에 남아서 취업을 원할텐데, 이를 위해서는 취업 비자가 필요하다. 우선 학교를 졸업하면 OPT(Optional Practical Training)라고 해서 1년간 미국에서 일할 수 있는 자격을 받을 수 있다. 이걸 근거로 미국 회사에 취업을 해서 일을 시작하고, OPT가 만료되기 전에 적법한 다른 비자를 받으면 된다. 그러나 실제로 대표적인 취업 비자인 H-1B는 매년 신청자 수가 비자 개수를 훨씬 웃돌기 때문에 추첨으로 대상자를 결정하며, 회사에서 채용, H-1B 준비와 신청, 추첨, 심사 및 비자 발급에 소요되는 시간을 고려했을 때 (3월 말에 추첨, 10월부터 근로 시작 가능) 한번에 추첨에 당첨된다 해도 1년으로 시기를 맞추기가 쉽지 않다. 게다가 추첨에 떨어지기라도 하면 그대로 한국으로 돌아와야 한다. 따라서 미국 기업들 입장에서는 어지간히 채용하고 싶은 인재가 아니고서야 이런 risk를 안고 있는 외국인을 굳이 채용해야 할 이유가 없다.

이러한 과정에서 전공이 매우 중요한 역할을 하게 되는데, STEM(Science, technology, engineering, and mathematics) 분야의 경우 1년이 아닌 3년짜리 OPT를 받을 수 있기 때문이다 (1년 후 2년 연장 가능). 추첨을 통해 H-1B를 받아야 하는 것은 변함이 없지만, 3년이라는 기간이 주어지므로 1년에 비해 확률은 크게 올라가게 되고 기업들의 risk도 그만큼 줄어들게 된다. 따라서 채용 가능성도 높아진다. 또 한가지 중요한 사실은 H-1B 비자 신청을 위해서는 석사나 학사 학위가 필요한데, 기업에서 하게 되는 업무와 관련된 전공 학위가 있어야 한다는 것이다. 그러므로 미국 대학 유학을 갈 때에는, 어떤 전공을 택해 어떤 직업을 얻을 수 있을지, 이를 통해 H-1B를 받을 수 있을 것인지 미리 조사를 해야 한다.

미국 대학 입시 전략

어떤 대학이든 학비를 full로 내는데 어려움이 없는 집안이라면 그냥 가장 좋은 대학, 가고 싶은 대학을 골라서 그곳에 들어가기 위한 입시 전략을 세우면 그만이다. 혹은 시민권자나 영주권자라면 장학금이나 재정 지원을 받는 것도 훨씬 수월하고, In-state 학비를 적용받아 주립대에 가면 학비 부담도 적다. 또 졸업 후에 미국에서 취업하는 데에 아무런 제약이 없다. 

그러나 유학생 신분이고 금수저 집안이 아니라면 졸업 후 진로와 비자 문제도 미리 고민해야 하고, 학비에 대한 고민도 필요하다. 아이가 하나가 아니라 둘 이상이라면 더 그럴 것이다. 따라서 유학생 신분으로 미국 대학의 입시 전략은 단순히 최고의 대학을 고르는 문제가 아니라 "어떻게 비용을 덜 들이면서, 졸업 후 취직이 가능한 좋은 대학에 갈 것이냐"라는 조금 더 복잡한 문제가 된다. 어떤 전공이 취업이 유망한지, 어떤 전공을 해야 H-1B 취업비자 가능성이 높은지, 어떤 학교가 인턴십 기회가 많은지, 어떤 대학이 학비가 싼지, 어떤 대학이 성적 우수 장학금을 잘 주는지, 어떤 대학이 유학생에게도 재정 지원을 해주는지, 이런 모든 정보를 적극적으로 파악하고 조사해서 전략을 세워야 한다.

파이썬을 이용한 네이버 카페 업무 자동화 2

지난 글에서 네이버 카페 특정 레벨의 회원 아이디 리스트 얻기와 찾아진 명단으로 게시글 검색하는 내용까지 다루었다. 실제 해야 하는 작업은 검색 결과를 바탕으로 회원 레벨을 조정하는 것. 이제 이 마지막 작업을 자동화할 단계이다.

회원 레벨 조정은 어느 메뉴에서든 할 수 있지만, 관리 메뉴의 전체 멤버 관리 화면이 아이디로 검색해 원하는 멤버를 찾아 레벨 조정하기 편리하게 되어 있어 그걸 이용하기로 했다.

준비 과정은 동일하게 셀레늄을 import하고 크롬 드라이버를 띄운다. 이제 브라우저 화면의 원하는 자리에 원하는 값을 넣고 원하는 버튼을 누르는 작업을 파이썬으로 한줄씩 코딩해 넣으면 된다. 물론 아이디 목록이 들어있는 파일을 읽어와서 이 작업을 반복하는 for 루프 하나 만들고.

원하는 자리나 원하는 버튼을 찾아내는 것은 지난 글에서 쓴 대로, 크롬 브라우저에서 마우스 우클릭 후 맨 아래 "검사(N)" 메뉴를 클릭하면 된다. 오른쪽에 창이 열리면서 해당 element가 반전되어 보이는데, 먼저 반전된 element에 마우스 우클릭하여 copy - copy element를 눌러보자. 메모장 등에 붙여넣어보면 element 내용을 확인할 수 있는데, 여기 id나 name 등이 포함되어 있어야 find_element_by_id(), find_element_by_name() 등으로 찾을 수가 있다. 어떤 버튼은 copy element로 보면 별다른 정보가 없는데, 이때는 copy - copy xpath를 선택하고 find_element_by_xpath()를 이용해서 찾으면 된다.

가령 (2)번 버튼의 경우 copy element로 해서 보면 "<span>검색</span>" 이렇게밖에 안 나오지만, copy xpath로 보면 "//*[@id="frmSearch"]/div/div/div[1]/a[1]/span"로 나온다.

한단계 한단계 찾아나가는 과정에서는 파이썬 쉘을 띄워놓고 한 줄씩 실행해 보고 잘 되면 코드에 넣고 그런 식으로 하면 된다.

버튼을 클릭했을 때 팝업창이 뜨는 경우가 있다. 예를 들어 등급을 선택하고 (5)번 변경 버튼을 누르면 대상자를 확인하고 코멘트를 입력하는 팝업이 뜬다. 이때는 팝업창 쪽으로 포커스를 전환해 줘야 팝업 창에서 필요한 작업을 수행하고 팝업을 닫을 수 있게 된다. 이때 필요한 명령은 driver.switch_to_window()다. 먼저 handle = driver.window_handles 처럼 해서 현재 떠 있는 창들의 핸들값을 얻은 다음, 필요한 창으로 전환하면 된다. 메인 윈도우의 핸들은 handle[0]에, 팝업창의 핸들은 handle[1]에 저장된다. driver.switch_to_window(handle[1])로 포커스를 팝업창으로 전환하면 된다.

팝업창에서 코멘트 넣고 확인 버튼을 누르면 이번엔 경고창 (alert)이 뜬다. 확인 눌러서 닫으면 되는데 이것도 처리해줘야 한다. driver.switch_to.alert.accept() 명령으로 간단하게 처리 가능. 그리고 나면 팝업창은 닫히는데, 그렇다고 해서 핸들이 메인 윈도우로 저절로 돌아가지는 않으므로 driver.switch_to_window(handle[0])로 다시 포커스를 돌려줘야 한다.

사실 노하우는 이게 거의 전부다. 문제는 이렇게 해서 돌려보니 자꾸 오류가 나는데, 그건 버튼을 누른 후 해당 웹페이지를 가져올 때까지 기다린 후 다음을 진행해야 하는데 기다리는 시간이 충분치 않아서이다. 쉘에서야 한 줄씩 차례차례 실행하니 문제가 없지만 다 짜서 돌리면 딜레이를 주지 않으면 값을 읽어오지 못한다. 게다가 이 딜레이는 인터넷 상황, 서버 로딩에 따라 매우 유동적이다. 코딩 후 테스트시에는 각 단계에서 1초의 딜레이만으로 아무 문제없이 잘 돌았는데, 막상 실제 등급 조정 작업을 120명 걸어놓고 돌려보니 단계별 3초 딜레이로도 충분치 않은 경우가 있었다. 그렇다고 무작정 길게 할 수도 없는 것이고, 확실히 로딩이 된 걸 확인하고 넘어갈 수 있는 방법이 필요하다. 아래는 총 정리된 파이썬 코드.

향후 개선 방향은 현재 아이디만 추출하게 되어 있는 것을 아이디와 별명을 함께 추출하여 사람이 보기 좋게 적절히 포맷 만들어 저장하는 것, 단계별 막연히 3초 정도 딜레이 준 것을 try - catch 문으로 1초씩 딜레이 늘려가며 로딩 확실히 될 때까지 루프 돌다가 넘어가게 하는 것이다. 그러나 내가 원래 하려던 등급 조정 작업은 이미 끝났으므로, 이 개선 작업은 과연 언제 하게될지 기약이 없다. 아마 올 연말에나 다시 하게 되지 않을까?

스마트폰 잠금에 대한 설명

1. 스마트폰 화면잠금은 필수!

스마트폰을 왜 잠궈야 할까? 물론 내 스마트폰이 남의 손에 들어갈 일이 절대로 발생할 리가 없다면, 잠그지 않아도 괜찮다. 그러나, 도난, 분실의 우려는 물론이고, 잠시 부주의한 사이 누군가 내 스마트폰을 만질 수도 있다. "내 폰에는 중요한 게 없어서 잠그지 않아도 괜찮다."고 하는 분들이 있는데, 이분들은 한국 사회에서 "신원확인"의 대부분을 휴대폰으로 한다는 사실이 무엇을 의미하는지 진지하게 생각해 보지 않아서 그렇다. 휴대폰 소액결제는 물론이고, 고가의 유료 통화, 문자, 게임 아이템 구매 등 휴대폰 만으로 직접 돈을 쓸 수 있는 방법만도 수없이 많다. 게다가 휴대폰으로 신원 확인을 통해 대출을 받거나 할부로 물건을 구매하는 등 예상할 수 있는 피해는 한계를 정하기 어렵다.

물론 휴대폰이 잠시 내 손을 떠난게 겨우 5분이라면 그 사이에 누군가 내 명의로 대출을 완료하기는 어렵겠지만, 그정도 시간이면 누군가 내 폰에 악성 앱을 설치하기에는 충분한 시간이다. 악성 앱은 장기적으로 내 주소록과 사진은 물론, 카메라와 마이크를 원격 조정해 내 생활을 모두 감시하거나 모바일 뱅킹을 할 때 비밀번호, 공인인증서 비밀번호 등을 모두 훔쳐낼 수 있다.

그리고 분실, 도난이 내가 조심한다고 100% 막아지는 일인가? 휴대폰과 지갑을 같이 분실한다면? 그 휴대폰에 잠금이 안 걸려 있다면? 나는 이런 상황은 상상조차 하고 싶지 않다. 혹자는 휴대폰 잠금 걸어봐야 다 풀어낸다고도 하지만, 그 잠금을 푸는 데 걸리는 시간을 벌 수 있다면 그 사이에 통신사에 연락해 번호를 정지시킬 수 있다. 잠금이 안 걸려 있다면, 누군가 내 폰을 손에 넣는 순간부터 내가 그 사실을 인지하는 순간까지 내 인생은 완전히 다른 누군가의 손에 맡겨져 버리는 셈이다. 그 폰으로 내가 목숨보다 사랑하는 내 가족에게 전화를 해서 사기를 친다면? 그들의 생명을 위태롭게 한다면?

자, 만약 당신의 스마트폰에 화면잠금이 설정되어 있지 않다면 지금 당장 설정 메뉴에 들어가서 설정하도록 하자. 단순 패턴이라도 없는 것보다 낫다. 물론 패턴에서 기역자나 니은자, N이나 Z 이런 패턴은 두세번만 시도해 보면 바로 풀리니 이런 것보다는 어려운 걸로 설정해야 한다. 네자리 PIN 설정에 0000이나 1234 이런 걸 쓰지 말아야 하는 것처럼. 보다 길고 어려운 패스워드로 설정하는 사람도 있지만 사실 휴대폰 키보드로 매번 패스워드를 입력하는 것은 매우 불편하고 오타의 위험도 높으니 패스워드는 오히려 권장하지 않는다.

2. 휴대폰 전원 켤 때 잠금

휴대폰 전원 켤 때 잠금 메뉴는 일반 화면잠금과는 다른 것인데, 제대로 이해하고 사용하는 사람이 많지 않다. 사실 이해하기가 아주 쉽지는 않다. 잠금 설정할 때 이걸 선택해야 할지 고민하는 분들을 위해 이게 뭐하는 기능인지, 어떤 장점이 있고 또 어떤 위험성이 있는지 설명하려 한다. 휴대폰 전원 켤 때 잠금은 먼저 화면잠금 설정이 되어 있어야 추가로 설정 가능한 기능이다. 두 상황에서 같은 패스워드를 사용한다.

이 기능을 이해하려면, 먼저 "암호화"라는 것을 이해해야 한다. 이 기능은 데이터 암호화와 직접 관련되어 있는 기능이기 때문이다. 우리말로 암호라는 말이 두가지 의미로 쓰여 혼동이 되기 때문에, 이 글에서는 영어로 encryption은 "암호화"로, password는 "패스워드"로 구분해 사용하겠다. 그리고 안드로이드는 화면잠금에 패턴, PIN, 패스워드 세가지를 지원하는데 (LG 휴대폰은 노크코드도 지원한다), 편의상 이걸 통틀어 패스워드로 부르겠다.

아무튼 암호화란, "암호키"를 사용해 데이터를 알아볼 수 없는 형태로 바꾸고, 오직 암호키를 가진 사람만 본래 형태로 복호화하여 데이터를 알아볼 수 있게 하는 기능이다. 본래 안드로이드의 데이터 암호화는 원하는 사용자가 설정 메뉴에서 직접 "암호화하기" 버튼을 눌러 수동으로 하게 되어 있었는데, 이게 안드로이드 6.0 마쉬멜로우부터 기본 암호화로 바뀌었다. 즉 출시 시점부터 마쉬멜로우를 탑재하고 나온 안드로이드폰이라면 내가 폰을 사는 시점에 이미 데이터 저장 영역은 암호화가 설정되어, 내가 저장하는 모든 데이터는 자동으로 암호화되어 저장된다.

이게 왜 유용한 기능이냐 하면, 이렇게 암호화되어 저장된 데이터는 그 상태로 폰이 꺼져 있거나 메모리가 폰에서 분리된 상태로 누구의 손에 들어간다 해도 암호키를 모른다면 복호화할 수 없기 때문이다. 물론 보안에서 "절대 불가능한" 것은 없고, 암호를 푸는데 충분히 오랜 시간이 걸린다고 하는 것이 더 정확하겠다. 아무튼 현존하는 가장 강력한 컴퓨터로 수십년 이상의 시간이 걸린다면 충분히 안전하다고 봐도 좋을 것이다.

그런데 이렇게 암호화되어 있어도, 폰을 사용하려면 암호키를 사용해 데이터를 복호화해야 한다. 그럼 그 암호키는 어디서 오는 것일까? 당연히 어딘가에 저장되어 있다. 그러나 암호키를 그대로 어딘가에 저장해둔다면, 해커는 그 암호키를 읽어낼 수 있을 것이다. 따라서 암호키를 그대로 저장하면 안되고, 암호키를 다시 암호화해서 저장해야 한다. 마치 금고 열쇠를 안전한 곳에 두기 위해, 금고 열쇠를 저장하는 또 다른 금고를 마련하는 식이다. 그럼 이 두번째 금고 열쇠, 즉 암호키를 암호화하는데 쓰는 두번째 암호키는 또 어떻게 보호하는 걸까?

이 두번째 암호키가 바로 휴대폰 전원 켤 때 잠금 메뉴와 관련이 있다. 이 메뉴를 활성화하면, 사용자의 패스워드를 이 두번째 암호키를 만드는 데 사용하는 것이다. 이렇게 설정해 놓으면, 폰을 켜면 부팅이 진행되기 전에 사용자의 패스워드를 먼저 묻고, 사용자가 입력한 패스워드를 이용해 두번째 암호키를 얻어낸다. 이걸로 금고를 열어 첫번째 암호키를 꺼내고, 이걸로 사용자의 데이터를 복호화해 폰을 정상적으로 부팅시키게 된다. 반대로 이 메뉴를 활성화시키지 않으면, 사용자의 패스워드 대신 단말기에서 생성해 낸 "기본 암호키"를 이용하기 때문에 사용자의 패스워드 입력 없이도 폰이 정상적으로 부팅이 된다.

자 이제 휴대폰 전원 켤 때 잠금 메뉴를 활성화한 경우의 장단점을 설명해 보자. 이 모드의 장점은, 내가 패스워드를 입력해야만 그걸로 두번째 암호키를 얻어낼 수 있으므로, 패스워드를 모른다면 그 누구도 데이터를 복호화해 낼 수 없다는 것이다. 따라서 폰을 분실하거나, 도난당하거나, 파손되거나, 어떤 상황에 처하더라도 내 데이터는 안전하다는 것이 보장된다. 그리고 당연하게도, 데이터를 복호화할 수 없으니 내 폰의 전원이 꺼져 있다면 내가 아닌 그 누구도 내 폰을 켜서 사용할 수 없다. 그 어떤 화면잠금 해제 툴이나 루팅 툴도 모두 무용지물이다. 반면 단점은, 역시 그 누구도 데이터를 복호화낼 수 없다는 것이다. 즉 내가 패스워드를 잊어버린다면, 세상 그 누구도 데이터를 복호화낼 수 없게 된다. 제조사 서비스센터도, 구글도 데이터를 복호화해낼 수 없다.

이 모드는 또 하나의 단점이 있는데, 그건 부팅이 정상적으로 진행되려면 패스워드 입력을 받아야 하고, 패스워드 입력을 받기 전에는 아직 폰이 정상적으로 동작하지 않는 상태라는 것이다. 패스워드 입력을 기다리고 있는 상태에서는 비상전화를 제외하고는 그 어떤 기능도 동작하지 않는다. 알람도 울리지 않고, 전화도 오지 않고, 문자도 오지 않는다. 물론 전화를 걸 수도, 다른 어떤 기능도 사용할 수 없다. 오직 비상전화만 걸 수 있다. 이게 왜 문제냐면 밤에 자동으로 SW업데이트를 걸어놓거나 하면, SW업데이트 후 전원이 꺼졌다 켜지면서 아침에 알람이 울리지 않기 때문이다. 물론 전화도 오지 않으니, 지각은 물론 회사에서 애타게 전화를 해도 전혀 모른채로 꿀잠을 자게 될 수도 있다는 것. 다행히 제조사에서는 이 모드로 설정되어 있는 경우엔 야간 자동 SW업데이트를 하지 않도록 하고 있다.

보안에 도움이 되는 기능이긴 한데, 잘 모르고 사용하면 심각한 상황을 맞을 수 있으니 주의해야겠다. 패스워드를 잊어버리는 경우는 의외로 심심치 않게 자주 발생한다. 더구나 요즘은 지문인식 기능으로 인해 폰을 껐다 켜지 않는 이상 패스워드 입력을 전혀 하지 않고 수일~수주 이상 지나가 버리는 경우가 많아, 이 기능을 설정해 놓고서 까맣게 잊어버리는 경우가 생길 수 있다. 이렇게 패스워드를 잊어버리면 현재로서는 정말로 복구할 방법이 없으니 주의가 필요하다.

3. 원격 잠금

만약 화면잠금이나 휴대폰 전원 켤 때 잠금을 설정하지 않았는데 폰을 잃어버렸다면 어떻게 해야 할까? 일단 당장 시급한 것은 통신사에 연락해 분실 신고하고 번호를 정지시키는 것이다. 이것만으로도 당장 소액결제나 유료전화를 막는 것은 물론, 명의 도용 등의 사고를 막을 수 있다. 그러나 폰에 저장되어 있는 개인정보 유출은 막을 수 없다. 이때 이용 가능한 것이 바로 원격 잠금이다. 원격 잠금을 별도로 제공하는 업체나 통신사업자의 서비스를 이용해도 되지만, 안드로이드 폰이라면 구글에서 기본적으로 제공하므로 이걸 이용하면 된다. 여기에 간략한 설명이 있으니 참고. 당연한 이야기지만, 구글에서 제공하는 서비스이므로 사용하려면 본인의 구글 계정을 알아야 한다. 안타깝게도 우리나라에서 아직도 꽤 많은 사용자가 본인의 구글 계정이 뭔지 모르고 안드로이드 폰을 사용한다. 패스워드를 기억 못하는 경우도 아주 흔하고. 이런 상황이라면 이 기능을 사용하기도 어렵게 된다.

게다가 원격 잠금의 한계는, 단말기가 데이터망이든 와이파이든 접속되어 있어야 한다는 것이다. 서버에서 단말기로 명령을 보내는 것이므로, 단말기가 연결되어 있지 않다면 명령을 보낼 수가 없기 때문이다. 즉 휴대폰 도둑이 명의 도용 등이 목적이 아니라 내 단말기의 개인정보를 빼낼 목적이었다면, 내 폰을 손에 넣은 즉시 비행기모드로 바꾸어 버리면 원격 잠금이 동작하지 않게 된다.

결국 기기 추적이나 잠금, 데이터 삭제 등 원격으로 제어 가능한 방법이 있긴 하지만, 한계가 있으므로 이걸 너무 믿지 말고 평소에 화면잠금을 반드시 걸어두어야 한다. 매번 휴대폰을 쓸 때마다 패스워드를 입력하는 게 귀찮다면 지문인식 기능이 있는 폰을 사도록 하자. 지문의 보안성이 그다지 높지 않다고 하지만, 일상적인 상황에서 내 폰을 보호하는 목적으로는 충분하다.