정보관리기술사/컴퓨터응용기술사/빅데이터분석/ADsP

막연하게 높게만 보이던 벽이,

사실은 누구나 넘을 수 있는 계단이라는 것을 알려드리고 싶습니다.

오늘은 2025년 컴퓨터시스템응용기술사 통계를 통해 진짜 비밀을 풀어보겠습니다.

데이터를 천천히 따라오시다 보면, "어? 생각보다 해볼 만한데?"라는 자신감이 생기실 겁니다.

실무에서 매일 부딪히며 치열하게 고민해 온 여러분이라면 이미 절반은 결과를 받은거나 다름없습니다.

📊 1. 2025년 필기시험, 11.4% 합격률의 진짜 의미

2025년 한 해 동안 총 99명이 접수하고 79명이 실제 시험장에 들어섰습니다.

그중 당당히 결과의 기쁨을 누린 분은 9명으로, 합격률은 11.4%였습니다.

10명 중 1명 이상이 결과를 받는 시험이라면, 철저한 훈련만으로 능히 도달할 수 있는 목표입니다.

성별을 보면 남성이 접수자의 87.9%(87명)로 다수였습니다.

남성 70명 응시에 8명 합격(11.4%),

여성 9명 응시에 1명 합격(11.1%) 이었으며,

여성 응시자 수가 적어 세부 비교는 어렵지만, 성별과 무관하게 열정만 있다면 결과는 공평하다는 뜻입니다.

👥 2. 100% 직장인! 바쁠수록 유리한 시험

"저는 직장인이라 공부할 시간이 너무 없어요"라고 걱정하시나요?

통계를 보면 안심하셔도 좋습니다.

합격자 9명 전원이 현재 취업자(직장인)였습니다.

전체 응시자의 88.6%(70명)가 취업자였고,

이들의 합격률은 12.9%에 달했습니다.

연령대 역시 실무 중심의 40대가 접수자의 40.4%로 가장 많았습니다.

30대(28.3%), 40대(40.4%), 50대(24.2%)가 접수자의 92.9%를 차지했고,

모두 이 구간에서 나왔습니다.

30대 13.0%(3명), 40대 12.5%(4명), 50대 9.5%(2명)의 고른 결과를 받았습니다.

(20대 응시 1명, 60대 응시 2명은 모수가 적어 통계상 제외되었습니다.)

🎯 3. 왜 도전하고, 어떻게 공부했을까?

수험생들의 가장 큰 목표는 '업무수행능력 향상'(36명 접수)과 '자기개발'(30명 접수)이었습니다.

두 목적을 합하면 전체 접수자의 66.7%이며, 무려 7명이 이 그룹에서 탄생했습니다.

자격증 스펙 자체보다는 본인의 진짜 실력을 높이려는 순수한 열정이 결과를 이끌어냅니다.

준비 경로를 살펴보면 접수자의 42.4%(42명)가 학원을 선택했습니다.

출판물(25명 접수), 온라인(22명 접수, 1명 합격) 등 다양한 길이 있지만, 합격자 9명 중 8명이 학원 경로였습니다.

수험자 수가 적어 섣부른 단정은 어렵지만, 체계적인 피드백을 받는 것이 실력 향상의 지름길임을 보여줍니다.

(승진 목적 4명 중 1명 합격, 이직 목적 7명 중 1명 합격 등의 기록도 있었습니다.)

⏱️ 4. 준비 기간의 비밀: 버티면 열리는 합격의 문

멘티님들이 가장 걱정하시는 준비 기간에 대한 부담을 덜어드리겠습니다.

데이터를 보면 3년 이상 장기 준비자(25명 접수)와 1~2년 준비자(23명 접수)가 주축이었습니다.

비율상 1~2년 준비 집단의 합격률이 19.0%(21명 응시, 4명 합격)로 가장 높게 나타났습니다.

단순히 1~2년을 채워야 한다는 것이 아니라, 6개월 이상의 기초 공사만 튼튼히 마치면 누구에게나 길이 활짝 열린다는 뜻입니다.

처음 6개월의 적응기만 포기하지 않고 잘 버텨내시면, 여러분도 금방 답안 작성의 감을 잡고 합격권에 진입하실 수 있습니다.

🚀 5. 2026년, 138회 2명 → 140회 12명! 폭발하는 기회

마지막으로 가장 가슴 뛰는 소식을 전해드리겠습니다.

2026년에 놀라운 변화가 2026년에 시작되었습니다.

제138회(26년 3월 발표)에서 2명이었던 필기 합격자가,

제140회(26년 10월 발표)에서는 12명으로 6배나 크게 증가했습니다!

멘티 여러분, 막연한 두려움은 이제 내려놓으셔도 됩니다.

여러분이 현업에서 겪은 그 소중한 경험들을 답안지에 쏟아낼 수 있도록, 조금만 다듬는 훈련을 시작해 보세요.

여러분의 자랑스러운 선배가 되어, 끝까지 곁에서 응원하겠습니다! 화이팅! 🚀

IT 기술사 학습 전략 설명회(매월 진행)

•  IT 기술사 학습 설명회(매월 1회) AI시대, 생존 전략! (무료, 온/오프라인 진행)

합격 후기

• 139회 정보관리 최종 패스, 포기를 넘어선 위대한 피날레, 윤성남 기술사 후기
• 정보관리기술사 합격후기, 육아와 학습을 이어간 김성식 PE의 도전

오늘은 많은 예비 기술사님들이 궁금해하시는 2025년 시험의 상세한 통계와 수험자 동향을 분석해 보려고 합니다.
(이 글은 큐넷의 수험자 동향분석을 참고해서 작성 되었습니다.)

단순한 숫자의 나열을 넘어, 데이터 속에 숨겨진 합격자들의 진짜 패턴을 읽어내는 것이 중요합니다.

2025년 한 해 동안 어떤 분들이 도전했고, 어떤 학습 경로를 통해 목표를 달성했는지 꼼꼼하게 정리했습니다.

여기에 2026년 폭발적으로 증가한 합격자 트렌드와 AI 시대 기술사의 역할까지 모두 담았습니다.

지금부터 저와 함께 실증적인 데이터를 바탕으로 확실한 방향을 설정해 보겠습니다.

📊 1. 2025년 필기시험 응시 및 합격 현황

데이터를 보면 남성이 전체 접수자의 78.7%를 차지하며 수험층의 주류를 이루고 있음을 알 수 있습니다.

합격률 면에서는 여성 응시자가 3.3%로 조금 더 높게 나타났으나, 이는 단편적인 수치입니다.

성별 자체보다는 개개인의 실무 경력과 학습 몰입도가 결과를 결정한다고 보는 것이 타당합니다.

👥 2. 30·40대 직장인 주도, 자기개발 열풍

정보관리기술사는 확실한 실무 경험이 뒷받침되어야 하는 만큼, 수험생 연령대도 명확한 특징을 보입니다.

통계에 따르면 30대와 40대가 전체 응시자의 79.0%를 차지하고 있습니다.

합격자 역시 30대 16명(2.1%), 40대 18명(2.7%)으로 전체 합격자의 82.9%에 달합니다.

기타 연령대에서는 20대 응시 39명(1명 합격), 50대 응시 335명(6명 합격), 60대 응시 9명(0명 합격)으로 나타났습니다.

특히 합격률 면에서 40대가 2.7%로 가장 높은 성과를 보여, 풍부한 현장 경험이 긍정적으로 작용함을 알 수 있습니다.

자영업자(43명 응시/1명 합격), 구직자(85명 응시/1명 합격), 주부(4명 응시/1명 합격), 학생(8명), 군인(13명) 등의 참여도 있었습니다.

결과적으로 기술사 시험은 일과 학습을 병행하는 직장인들의 끊임없는 성장 무대임이 입증되었습니다.

바쁜 업무 속에서도 꾸준하게 학습 시간을 확보하는 것이 핵심 경쟁력입니다.

⏱️ 3. 학습 경로와 최적의 준비 기간

많은 분들이 가장 궁금해하시는 준비 방법은 어땠을까요?

학원 수강을 선택한 비율이 접수자의 60.6%로 가장 많았고, 실제 합격자 41명 중 31명(합격률 2.7%)이 이 경로를 거쳤습니다.

그 외에 출판물/서적(396명 응시, 5명 합격)과 온라인 커뮤니티(203명 응시, 4명 합격)를 활용한 사례도 눈에 띕니다.

하지만 학원을 다닌다고 자동 합격하는 것은 아니며, 개인의 절대적인 학습량과 체화 과정이 반드시 필요합니다.

데이터가 말해주는 정답은 수험 기간이 길어질수록 무조건 유리한 것은 아니라는 점입니다.

가장 최적의 효율을 낸 집단은 1년~2년 사이의 집중 학습자들이었습니다.

재응시 경험을 바탕으로 학습 강도를 최대로 끌어올린 시점에 성과가 나온 것으로 분석됩니다.

🚀 4. 2026년 변화와 AI 시대 기술사의 새 임무

2025년의 동향을 바탕으로 2026년(제138~140회)의 결과를 보면 놀라운 도약이 있었습니다.

응시자 1,876명 중 무려 150명이 필기에 합격하여 합산 8.00%를 기록했습니다.

(제138회 21명, 제139회 42명, 제140회 87명 합격)

이러한 변화가 단순히 AI 시대 도래 때문만은 아니겠지만, IT 패러다임이 급변하며 전문가의 수요가 확장되고 있음은 분명합니다.

기술을 도입하는 단계를 넘어, 결과를 검증하고 안전성을 책임질 최고급 인력의 필요성이 커지고 있는 것이죠.

현장 경험과 더불어 기술적 판단력을 두루 갖춘 전문가의 가치는 앞으로 더욱 빛날 것입니다.

자신의 현장 경험을 논리적이고 체계적인 글로 풀어내는 연습을 꾸준히 하시기 바랍니다.

통계는 그저 데이터일 뿐, 올바른 방향으로 나아간다면 다음 합격자 명단의 주인공은 바로 여러분입니다.

예비 기술사님들의 빛나는 도전과 값진 성취를 항상 곁에서 응원하겠습니다!

망분리 규제 해제 '시동'…기술적 난제·프레임워크 부재는 과제

금융당국이 반복되는 해킹과 유출에 대응해 AI 기반 신 보안체계 구축에 나선다. 핵심은 기존 규제를 완화하고, 데이터 중요도에 따른 보호와 제로트러스트·AI 탐지체계를 결합하는 방향으로 보안 구조를 전환하는 것이다.

■ 기사 핵심 요약

– 9월30일~11월3일 금융권에서 37개사·40건 침해사고, 데이터 유출 약 47만건·자금탈취 약 10억원 발생

– 금융당국은 기존 내부망·외부망 separtion 중심에서 AI 탐지·데이터 등급·제로트러스트 기반 보안체계로 전환 추진

– 규제 완화와 별개로 물리·논리적 separation은 일부 필요하며, 이를 연결할 특화 보안 프레임워크 마련이 과제

■ 기사 주요 내용 정리

◎ 망분리 규제 전면 재검토

– 금융위는 망분리 규제 전면 해제를 위한 TF를 가동하고 AI 기반 공격 탐지·차단 역량 강화 추진

– 데이터 중요도에 따른 보호체계와 모든 접근을 지속 검증하는 Zero Trust 도입이 핵심

◎ 기술적 분리는 여전히 필요

– 업계는 규제 완화가 곧 망분리 기술 자체의 제거를 의미하지는 않는다고 지적

– 장애·침해 확산을 막기 위해 일부 영역에서는 물리적·논리적 분리와 연계 통제가 계속 필요

◎ 금융 특화 프레임워크 필요

– 미국은 NIST CSF·RMF, 금융권은 CRI Profile 등을 활용해 위험관리 기준을 체계화

– 국내도 금융보안 수준 검증 체계는 존재하지만 데이터 분류·제로트러스트를 통합한 기준은 부족

→ 향후 핵심은 망분리 중심 컴플라이언스 → 위험 기반·지속 검증형 보안 프레임워크로의 전환

[망분리(Network Separation) 제도 개요]

[한계점]

개보위, 연내 개인정보 제도 혁신 방안 마련

AI가 대화 이력과 외부 서비스 데이터를 결합해 활용하는 환경이 확대되면서 기존 사전 동의 중심 개인정보 보호체계의 한계가 제기되고 있다.

■ 기사 핵심 요약

– 토론회 참가자의 89.7%가 AI 시대에 맞춰 개인정보 제도 변화가 필요하다고 응답

– 반복적인 사전 동의보다 알기 쉬운 사전 고지와 언제든 거부·삭제할 수 있는 권리를 강화해야 한다는 의견 우세

– 개인정보 위험도에 따라 보호수준을 차등화하고 기업의 위험관리 책임·정부의 감독 책임을 강화하는 방향 제시

■ 기사 주요 내용 정리

◎ 형식적 동의제도의 한계

– 온라인 사전토론 참가자 1333명 중 88%가 반복되는 동의를 형식적으로 처리한 경험이 있다고 응답

– 94%는 사전 동의 자체보다 쉽게 이해할 수 있는 고지와 언제든 거부할 수 있는 권리가 더 중요하다고 답변

→ AI Agent 환경에서는 일회성 동의보다 지속적 통제권 확보가 중요하다는 의견 확대

◎ 위험 기반 개인정보 보호

– 유출 시 피해가 큰 정보는 엄격하게, 위험이 낮은 정보는 유연하게 관리해야 한다는 의견에 90%가 찬성

– 25개 분임 중 20개(80%)가 개인정보가 필요한 서비스에서 ‘미리 알리고 언제든 멈추기’ 방식을 선호

– 반면 4개 분임(16%)은 유출·남용 우려와 기업·AI에 대한 신뢰 부족을 이유로 매번 사전 동의 방식을 선택

◎ 기업·정부 책임 강화

– 안전한 개인정보 활용을 위한 핵심 역할로 기업의 위험 점검·보호 책임 75.4%, 정부의 기준 마련·감독 74.9%가 선택

→ 향후 제도는 형식적 동의 → 투명한 고지·실질적 거부권·위험 기반 보호·책임 강화 방향으로 논의될 전망

– 토론회 결과를 반영해 2026년 내 개인정보 제도 혁신 방안을 마련할 계획

기업의 LLM 접근 권한을 탈취해 인공지능 모델을 무단 사용하거나 재판매하는 LLM Jacking 공격이 확산되고 있다. API Key·Service Account·Login Session 등이 탈취되면 짧은 시간에도 대규모 사용료가 발생할 수 있어 인공지능 자원 접근통제와 사용량 모니터링이 중요해지고 있다.

■ 기사 핵심 요약

– 공격자는 계정·세션·공개 GitHub의 API Key·Credential을 탈취해 기업 LLM 자원에 무단 접근

– 탈취 권한을 LLM Mixer에 연결해 다시 제공하거나 대량 API 호출로 하루 10만달러 이상, 누적 100만달러 피해 사례 발생

– MFA·최소권한·Secret Scanning·사용량 감시와 함께 Shadow AI·단기 Service Account 관리 필요

■ 기사 주요 내용 정리

◎ LLM 자원 탈취

– LLM 재킹은 피해 기업의 인공지능 인프라와 비용을 이용해 공격자가 직접 인프라를 구축하지 않고 수익을 얻는 방식

– 탈취한 API Key를 불법 중계 서버에 연결해 저가 서비스로 다시 제공하며 비용은 피해 기업에 전가

◎ 대규모 호출과 추적 회피

– 한 사례에서는 약 7시간 동안 50만건 이상 API 호출 발생

– 수명이 짧은 Service Account를 반복 생성·삭제하는 Burn-and-Rotate 방식으로 호출 한도와 추적을 회피

◎ 인공지능 보안 관리 범위 확대

– Agentic AI와 Shadow AI 확산, 과도한 API 권한, 장기간 유지되는 Credential이 위험을 확대

– MFA·API 최소권한·Secret Scanning·비용 모니터링·Threat Hunting을 병행

→ 핵심은 LLM 자체 보안뿐 아니라 Identity·Credential·사용량·비용을 하나의 통제체계로 관리하는 것

[LLM Jacking(거대언어모델 재킹) 개요]

[新테크용어] 로봇에 범용 AI 두뇌 심는다…RFM이란

로봇 파운데이션 모델(RFM, Robot Foundation Model)은 다양한 로봇의 행동·환경·센서 데이터를 대규모로 사전 학습해 새로운 작업과 환경에도 적응하도록 설계된 범용 AI 모델이다. 개별 로봇마다 별도의 인공지능을 개발하던 방식에서 벗어나 하나의 기반 모델을 여러 로봇과 작업에 적용하는 것이 핵심이다.

■ 기사 핵심 요약

– RFM은 영상·센서·로봇 행동·사람의 시연 데이터를 학습해 환경 인식→명령 이해→행동 계획→제어 수행

– 대표 구현인 VLA(Vision-Language-Action)는 시각 정보와 언어 명령을 실제 로봇 행동으로 연결

– 제조·물류·휴머노이드 등 적용 확대가 기대되지만 학습 데이터·정교한 동작제어·안전성 검증이 주요 과제

■ 기사 주요 내용 정리

◎ 기존 로봇 인공지능과의 차이

– 기존 산업용 로봇은 특정 작업과 환경에 맞춰 개별 프로그래밍·추가 학습 필요

– RFM은 대규모 사전학습 후 특정 로봇·작업에 Fine-tuning해 새로운 환경에 대한 적응성 강화

→ 로봇별 AI 개발 부담과 신규 작업 학습시간 감소

◎ Physical AI 핵심 모델

– LLM이 텍스트 이해·생성에 초점을 둔다면 RFM은 현실 공간에서 물체와 상호작용하며 행동하는 능력을 학습

– 핵심 구조는 시각·센서 입력 → 환경 이해 → 행동 계획 → Robot Action

◎ 대표 기술과 활용

– NVIDIA는 휴머노이드용 Isaac GR00T, Google DeepMind는 Gemini Robotics를 개발

– 제조·물류·가정용 서비스·휴머노이드 로봇 등 다양한 분야 적용 기대

→ RFM은 로봇이 현실을 스스로 인식·판단·행동하는 Physical AI의 기반 기술로 확장

[Robot Foundation Model(RFM, 로봇 파운데이션 모델) 개요]

AI 에이전트가 업무 수행을 넘어 금융거래·시스템 접근까지 맡으면서 AI Agent Identity가 새로운 보안·거버넌스 핵심 기술로 부상하고 있다. 사람과 AI의 신원을 분리하고 에이전트별 권한·자격증명·행동이력을 통제하는 것이 핵심이다.

■ 기사 핵심 요약

– AI Agent Identity는 에이전트별 고유 신원을 부여하고 Owner·Role·Permission·Credential을 관리하는 체계

– IBM·Microsoft는 단기 Credential, 최소권한, 활동 추적, 실시간 권한 회수 등 관련 기능을 제품화

– AI 에이전트가 독립적 업무 주체로 확대되면서 기존 IAM 관리 범위가 Human에서 에이전트 까지 확장

■ 기사 주요 내용 정리

◎ AI Agent를 독립된 신원으로 관리

– 어떤 Agent가 누구를 대신해 어떤 목적과 권한으로 행동하는지를 식별

– Agent ID와 Owner를 연결하고 Authentication·Authorization·Least Privilege 기반으로 System·Data·Tool 접근을 통제

→ 에이전트 생성부터 권한 부여·활동·변경·폐기까지 Identity Lifecycle 관리가 핵심

◎ 단기 자격증명과 실시간 통제

– 장기간 Credential을 사용하는 기존 계정보다 Short-lived Credential을 작업별로 발급

– 활동 종료 또는 이상행동 발생 시 권한을 만료·회수하고 Agent별 Activity Log를 기록

→ 공유 계정·과도한 권한·Agent 탈취에 따른 피해 범위를 축소

◎ IBM·Microsoft 적용 확대

– IBM Agent Identity는 Agent 등록·소유자·권한 관리와 HashiCorp Vault 연계를 통한 Credential 회수 지원

– Microsoft Entra Agent ID는 사람과 Agent Identity를 분리하고 데이터 유출 예방·네트워크 정책 적용을 검증

◎ AI 거버넌스의 필수 계층

– 가트너는 Agent Identity를 2027년 주요 전략 기술로 제시

– 기사에 따르면 2028년 포천 500대 기업의 평균 AI Agent 운용 규모가 15만개 이상으로 확대될 전망

→ 핵심 원칙은 Identity + Least Privilege + Short-lived Credential + Audit + Revocation

[에이전트 아이덴티티 개요]

기존 IAM과 비교

Agent Identity 주요 내용

민간투자형 SW사업 문턱 낮춘다…3.0 가이드 개정

과기정통부가 AI 등 빠른 기술 변화에 대응해 민간 자본과 기술을 공공 SW사업에 활용하는 민간투자형 SW사업 추진가이드 3.0 개정 방향을 공개했다. 핵심은 소규모 사업의 진입 문턱을 낮추고 임대형 사업의 협약·성과평가·재정 절차를 구체화하는 것이다.

■ 기사 핵심 요약

– 구축사업비 20억원 미만 사업의 적격성 조사 간소화와 정식 신청 전 사업계획 사전검토 지원

– 임대형 사업의 재정 요구, 성과평가, 정부지급금 차등, 표준실시협약 등 실무 절차 구체화

– 민간 선투자 후 수익형·임대형으로 회수하며 개발부터 운영·고도화까지 민간 기술·자본 활용 범위 확대

■ 기사 주요 내용 정리

◎ 민간투자형 SW사업 구조

– 「소프트웨어 진흥법」 제40조를 근거로 민간이 자금·기술을 선투자해 공공 정보시스템을 구축

– 수익형은 이용료·광고 등 사업수입으로, 임대형은 공공기관의 임대료·운영대가로 투자비를 회수

◎ 가이드 3.0 주요 변화

– 20억원 미만 소규모 사업의 적격성 조사 절차를 간소화하고 신청 전 사전검토 지원

– 임대형 사업의 한도액 요구, 성과평가위원회 운영, 평가항목, 정부지급금 차등 기준 등을 보강

– 표준실시협약과 비용 조정, 사업계획 변경 절차도 구체화

→ 2.0 사업 전주기 체계에서 절차 효율화와 실무 실행성 강화로 발전

◎ 공공서비스 적용 확대

– 공공시설 예약에 광고·리워드·지역상품의 거래를 결합하는 수익형 모델 검토

– 학습이력·디지털배지를 연계하고 민간이 선투자한 뒤 공공이 분할 지급하는 임대형 모델 검토

→ 가이드 3.0은 현장 의견을 반영해 2026년 12월 최종 배포 예정

[민간투자형 SW사업 추진가이드 3.0 현황]

[가이드 2.0 → 3.0 주요 변화]

스마트 글래스는 도수 렌즈를 장착해 일반 시력 교정용 안경처럼 사용할 수 있는 단계까지 발전했다.

다만 무게·배터리·개인정보 보호·사회적 수용성 문제로 인해 아직 기존 안경을 완전히 대체하기에는 한계가 있다는 평가다.

■ 기사 핵심 요약

– 레이밴 메타 등 일부 스마트클래스는 도수 렌즈 장착을 지원해 일상용 안경과 병행 가능

– 일반 안경보다 무겁고 배터리가 평균 3~5시간 수준이라 하루 종일 인공지능 기능을 사용하기에는 제약 존재

– 카메라·마이크·클라우드 전송에 따른 사생활 침해와 기밀정보 유출 위험이 가장 큰 확산 장애요인

■ 기사 주요 내용 정리

◎ 도수 렌즈 장착 가능

– 스마트클래스는 일반 안경과 유사한 구조로 제작돼 시력 교정용 렌즈 적용 가능

– 레이밴 메타는 처방전을 제출하면 도수 렌즈가 장착된 제품을 주문할 수 있도록 지원

◎ 무게·배터리 한계

– 일반 안경은 약 20~30g 수준인 반면 스마트 안경은 최대 80g에 달할 수 있어 장시간 착용 부담 증가

– 인공지능 기능 사용시간은 평균 3~5시간으로, 하루 종일 활용하려면 중간 충전 필요

→ 배터리가 소진돼도 안경 기능은 유지되지만 인공지능 기능은 사용할 수 없음

◎ 개인정보 보호가 핵심 문제

– 카메라뿐 아니라 오디오·실시간 번역 기능도 대화 내용을 외부 서버로 전송할 가능성이 있어 정보유출 우려 존재

– 법원·학교·기업 등에서 스마트클래스 착용을 제한하는 사례가 증가

– 메타는 일부 촬영 콘텐츠를 사람이 검토할 수 있다고 밝혀 데이터 처리와 프라이버시 논란도 지속

◎ 일상 안경 대체는 아직 제한적

– 기술적 기능은 빠르게 개선되고 있지만 착용 편의성과 개인정보 보호, 사회적 인식 문제가 남아 있음

→ 현재 스마트클래스는 기존 시력 교정용 안경의 완전한 대체보다는 보조적 스마트 디바이스에 가까운 단계

[스마트글래스 개요]

北 사이버 인해전술에 AI 가세…해킹 전 과정 고도화

북한 사이버 공격이 전산망 파괴와 정보 탈취를 넘어 가상자산 탈취·산업기술 확보·공급망 침투까지 확대되고 있다. 최근에는 AI를 표적 조사·피싱·악성코드 개발·침투 자동화에 활용하면서 공격 준비와 실행 속도를 높이는 양상이다.

■ 기사 핵심 요약

– 북한 사이버 공격은 전산망 마비에서 수조원대 가상자산 탈취까지 목적과 공격 대상을 지속 확대

– AI를 표적 분석·위장 신분·피싱 문서·악성코드·SW 공급망 공격에 활용해 기존 공격 생산성과 자동화 수준 강화

– 대응도 서버 중심 방어에서 MFA·최소권한·협력사 관리·개발환경 보호·제로트러스트 기반 다층 방어로 확대 필요

■ 기사 주요 내용 정리

◎ 전산망 공격에서 자산 탈취로 확대

– 2011년 농협 전산망 장애, 2013년 3·20 사이버테러, 2014년 소니픽처스·한수원 정보유출 등 파괴·정보수집 공격을 지속

– 2016년 방글라데시 중앙은행 8100만달러 탈취 이후 가상자산이 핵심 자금 확보 수단으로 부상

– FBI는 로닌 네트워크·바이비트·최근 바이낸스 사건 등을 북한 연계 조직 활동으로 지목

→ 공격 목적이 파괴 → 정보수집 → 금융·가상자산 탈취로 다변화

◎ 조직별 공격 목적 전문화

– 트레이더트레이터는 가상자산, 김수키는 외교·안보 정보, 안다리엘은 방산·항공우주·원자력 기술을 주요 표적으로 활동

– 탈취 자산은 체인 호핑·믹싱·DEX·필 체인 등을 통해 여러 지갑과 블록체인으로 분산돼 추적과 회수 난도가 증가

◎ AI를 공격 생산성 향상에 활용

– MS 분석에서는 북한 연계 조직이 AI에 공격 전체를 맡기기보다 기존 공격의 속도·효율을 높이는 도구로 활용

– AI로 맞춤형 피싱 문서를 대량 생성하고 악성코드·RAT·내부 이동 스크립트 제작과 수정까지 지원

– 개발자 SW 저장소와 AI 코딩 환경을 변조해 백도어를 삽입하는 공급망 공격 정황도 확인

◎ 방어 범위도 조직 전체로 확대

– 외부 서버뿐 아니라 임직원 계정·개발환경·협력업체 시스템까지 공격표면으로 관리 필요

– MFA·최소권한·이상 로그인 탐지·협력사 접근통제·개발환경 보호를 함께 강화

→ AI 기반 보안 자동화와 Zero Trust 기반 다층 방어로 공격자의 내부 이동과 피해 확산을 제한하는 것이 핵심

차세대 문자메시지 기술 RCS(Rich Communication Services)가 단순 알림·OTP 전달에서 AI 기반 예약, 쇼핑까지 지원하는 기업 메시징 플랫폼으로 확장되고 있다.

별도 앱 설치 없이 기본 메시지 앱을 활용할 수 있다는 점과 기업 인증·양방향 상호작용이 핵심 경쟁력으로 꼽힌다.

■ 기사 핵심 요약

– 전 세계 RCS 메시지는 하루 약 32억건, 도입 증가율은 올해 25%·내년 38% 전망

– AI 비서와 결합해 예약·쇼핑·업무처리를 지원하는 대화형 기업 메시징으로 발전

– 글로벌 확산을 위해 기기·통신망·국가 간 상호운용성·표준화·기업 인증 확보가 핵심 과제

■ 기사 주요 내용 정리

◎ SMS에서 대화형 메시징으로 전환

– RCS는 사진·영상·파일·선택형 답변·기업 인증을 지원하며 기본 메시지 앱에서 이용 가능

– IHG·유나이티드항공·네스프레소는 고객지원·항공편 재예약·상품 탐색·반복 쇼핑 등에 활용

◎ AI Agent와 결합

– AI가 고객 질문을 이해하고 업무를 처리하며 RCS는 기업과 고객을 연결하는 인증된 실행·소통 채널 역할

– SK텔레콤은 AI Agent가 예약·결제를 수행할 때 RCS로 사용자의 최종 승인을 받는 방식을 제안

→ AI 자율성을 확대하면서도 Human-in-the-Loop 형태 사용자 통제권 확보 가능

◎ 확산의 핵심은 상호운용성

– RCS 미지원 이용자에 대한 SMS 전환, 기기·통신사·국가 간 호환성 확보가 필요

– GSMA는 링크·복사·대화 제어 기능 등 Universal Profile 개선 추진

→ 향후 경쟁력은 기능 자체보다 표준화와 통신사업자·플랫폼 간 협력에 좌우될 전망

[RCS(Rich Communication Services)개요]

Universal Profile : 서로 다른 통신사·단말·OS 간 RCS 호환성을 보장하기 위한 GSMA의 공통 기술 표준

금융당국 보안점검에도 또 뚫려…美연준은 서드파티까지 감독

금융권 해킹이 본사 핵심망보다 외주 시스템·업무지원 웹 등 서드파티 접점을 우회하는 방식으로 확대되면서 기존 서면 중심 외주점검의 한계가 부각되고 있다. 기사에서는 미국 연준의 제3자 리스크 관리 방향을 사례로 들어 위험 기반·지속적 공급망 통제로의 전환 필요성을 제시한다.

■ 기사 핵심 요약

– 기존 금융권 외주관리가 보안서약·단말통제·연 1회 점검 등 정적 컴플라이언스 중심이라는 문제 제기

– 고위험 Cloud·AI·Core System 공급업체는 위험도에 따라 Continuous Monitoring하고 금융사가 최종 책임을 부담해야 한다는 방향

– 국내도 Zero Trust·SBOM·실시간 모니터링을 기반으로 외주 IT 공급망 전체를 관리하는 체계로 전환 필요

■ 기사 주요 내용 정리

◎ 공격 지점이 서드파티로 이동

– 공격자는 방어가 강화된 핵심 계정보다 대출모집인 시스템·외주 개발자용 웹·모바일 업무포털 등 상대적으로 관리가 약한 외부 접점을 활용

– AI 기반 침투도구와 웹 취약점을 이용해 권한 검증 허점을 지속적으로 탐색하는 공격 방식이 제시됨

◎ 제3자 리스크 관리 방식 변화

– 모든 공급업체에 동일한 점검표를 적용하기보다 위험도에 따라 관리 수준을 차등화

– Cloud·AI·핵심 외주사 등 중요 공급망은 일회성 점검이 아닌 실시간·지속적 감시 대상으로 관리

→ 외주 사용시, 보안·리스크 관리 책임은 금융회사에 유지

◎ 국내 금융 보안의 전환 방향

– 망분리와 연례 점검표 중심 체계에서 Zero Trust·공급망 통제·지속적 모니터링 중심으로 전환 필요

– 외주 SW·서비스 구성요소를 파악할 수 있도록 SBOM 관리와 공급업체 보안상태 지속 점검 필요

→ 핵심은 “외주업체를 점검했는가”가 아니라 “현재 위험을 지속적으로 통제하고 있는가”로 감독 기준을 바꾸는 것

인증 없이 서버 제어권을 탈취할 수 있는 PHP2Shell 공개 이후 정부와 보안업계가 경보 발령, 체크도구, WAF 차단 규칙 등을 잇달아 배포하고 있다. 다만 이러한 조치는 위험을 줄이는 보완책이며, 핵심 대응은 취약한 PHP 버전을 공식 보안 버전으로 신속히 업데이트하는 것이다.

■ 기사 핵심 요약

– CVE-2026-109618·109619는 CVSS 9.2의 PHP 엔진 RCE 취약점으로 로그인 없이 서버 명령 실행 가능

– 정부·KISA는 PHP 자산 파악, 긴급 패치, 서비스 재시작, 로그 점검·인증정보 교체 등 대응수칙 전파

– 진단 스캐너·WAF·IPS·가상패치가 확산됐지만 근본 해결책은 PHP 공식 업데이트이며 신규 취약점 점검도 필요

■ 기사 주요 내용 정리

◎ 정부·KISA 긴급 대응

– PHP 개발팀은 8.2.35·8.3.36·8.4.27·8.5.12를 배포했으며 PHP 8.1 이하는 공식 업데이트 대상에서 제외

– KISA는 약 2만8000개 CISO 신고기업과 주요정보통신기반시설 111곳에 긴급 전파

– 실제 서버 기준 PHP 사용현황 확인 → 노출 서버 우선 패치·재시작 → 로그 점검 → 인증정보 교체 순으로 대응 권고

◎ 추가 취약점과 개인정보 위험

– 24일 CVE-2026-115560이 기존 업데이트만으로 해결되지 않는 것으로 안내돼 별도 설정 변경과 Worker 재시작 권고

– 개인정보위는 PHP 침해 시 연결된 DB까지 접근할 수 있어 phpMyAdmin 외부 접근 제한과 DB 최소권한 적용을 강조

◎ 민간 보안업계 대응 확대

– PHP Guard 등 URL 기반 스캐너부터 서버·컨테이너·이미지까지 점검하는 도구가 잇달아 공개

– WAF·IPS·가상패치도 공격 패턴 차단에 활용되지만 설정 문제나 우회 가능성 때문에 공식 패치를 대체할 수 없음

→ 안랩은 패치 전 기준 국내 취약 추정 PHP 호스트가 약 11만건이라고 분석

◎ 핵심 대응 방향

– 외부 노출 서버뿐 아니라 외주·테스트 서버·관리화면·컨테이너 이미지까지 점검 범위에 포함

→ 자산 식별 → 패치 → 재시작 → 침해점검 → 인증정보 교체를 하나의 긴급 대응 절차로 운영하는 것이 핵심

구글 딥마인드, '피지컬 AI 두뇌' 월드모델 지니4 프리뷰 공개

구글 딥마인드가 최신 월드모델(World Model) 지니4를 연구용 프리뷰로 공개했다. 사용자의 행동과 프롬프트에 따라 화면과 소리를 실시간 생성하고, 제미나이와 결합해 영화·게임 제작은 물론 로봇 행동을 가상환경에서 검증하는 방향으로 활용 범위를 넓히고 있다.

■ 기사 핵심 요약

– 지니4는 사용자 입력에 따라 장면·오디오·대화·환경을 실시간 생성하는 상호작용형 월드모델

– 영화 촬영 구상·게임 프로토타입·교육·로봇 훈련 등에서 실제 제작·운영 전 시뮬레이션 도구로 활용 가능

– 제미나이가 작업을 계획·검증하고 지니4가 가상세계를 생성하는 구조로 AI Agent·Physical AI 검증환경으로 확장

■ 기사 주요 내용 정리

◎ 실시간 상호작용형 월드모델

– 완성 영상을 사용하는 방식이 아니라 이동·카메라 방향·날씨·인물 추가 등 사용자 입력에 맞춰 다음 장면을 실시간 생성

– 바람·파도·음악·대화 등 화면 상황에 맞는 오디오도 함께 생성하며 최대 2분 동안 장면 일관성을 유지

→ AI가 현실의 공간·시간·인과관계를 이해하고 결과를 시뮬레이션하는 World Model로 발전

◎ 영화·게임 제작 프로토타이핑

– 영화 제작자는 촬영 전 카메라 각도·조명·대사·인물 동작을 가상환경에서 비교 가능

– 게임 개발자는 코드 작성 전 공간·질감·상호작용 방식을 바꾸며 초기 아이디어를 탐색

→ 콘텐츠 제작의 기획→검증→시제품 제작 단계를 단축하는 도구로 활용 가능

◎ 제미나이와 결합한 로봇 시뮬레이션

– 제미나이가 목표를 단계별로 분해하고 지니4가 생성한 화면을 보며 진행상황을 확인·수정

– 휴머노이드 로봇 아폴로의 체커 게임 등 실제 로봇 투입 전 행동을 가상환경에서 시뮬레이션

→ AI 추론 + 월드 시뮬레이션 결합이 Physical AI와 로봇 학습의 핵심 구조로 확대◎ 한계와 향후 확대

– 장시간 실행이나 반복 수정 시 물체 위치·형태의 일관성이 떨어질 수 있으며 복잡한 물리현상·공간관계·텍스트 표현은 추가 개선 필요

– 향후 Google AI Ultra, Gemini API, AI Studio 파트너로 공개 범위를 확대하고 생성물에는 SynthID 적용 예정

[월드 모델/ LWM]

World Model = 세계를 이해·예측하는 모델

→ LWM = 이를 대규모·범용화한 모델

→ Physical AI = 이를 활용해 현실에서 행동하는 AI 시스템

위협 현실화…사이버 방어도 AI가 필수

인공지능이 취약점 탐색부터 공격 실행까지 자동화하면서 AI 사이버공격이 실제 기업 보안위협으로 확대되고 있다. 공격자의 시간과 비용은 줄어드는 반면 피해기업의 대응비용은 증가하면서 방어 역시 AI·자동화를 활용한 다층 보안체계로 전환해야 한다는 요구가 커지고 있다.

■ 기사 핵심 요약

– IBM 조사에서 악의적 침해사고 중 인공지능 활용 비중은 25%, 전년 대비 9%포인트 증가

– 인공지능 활용 데이터 유출 평균 비용은 600만달러, 반대로 AI·자동화 방어 조직은 비용 193만달러·대응기간 65일 감소

– ASM·CTEM·EDR/XDR·제로트러스트 등을 연결해 탐지→차단→내부 확산 예방의 다층 방어체계 구축 필요

■ 기사 주요 내용 정리

◎ AI가 공격 속도·규모 확대

– 인공지능이 취약점 탐색과 공격 실행에 필요한 시간·전문성을 낮춰 적은 자원으로 다수 기업을 동시에 공격할 수 있는 환경 형성

– 국내 금융권에서도 인공지능 기반 침투테스트 도구를 활용한 공격 정황이 확인되며 현실적 위협으로 부상

◎ AI 방어 도입 효과

– 보안 운영에 AI·자동화를 광범위하게 적용한 조직은 미적용 조직보다 비용이 평균 193만달러 감소

– 탐지·차단 시간도 65일 단축돼 대규모 보안정보 분석과 위협 선별에서 효과 확인

◎ 다층 방어체계로 전환

– ASM·CTEM·AI 침투검증으로 외부 노출 자산과 취약점을 선제적으로 탐색

– EDR·XDR과 AI 보안관제로 이상징후를 연계 분석하고, 제로트러스트·접근통제로 침투 이후 내부 확산을 제한

→ 특정 솔루션의 탐지율에 의존하기보다 여러 방어선을 구성해 공격자의 시간·비용을 높이고 피해 범위를 최소화하는 전략이 핵심

※ 인공지능 오탐이 정상 업무에 영향을 줄 수 있어 중요한 차단·조치에는 사람의 감독 병행 필요

[ICT시사용어] 그리드코드(Grid Code)

AI 데이터센터의 전력 사용량이 GPU 연산량에 따라 짧은 시간에도 크게 변하면서 기존 전력망 안정성에 새로운 부담으로 떠오르고 있다. 정부는 이에 대응해 AI 데이터센터 전용 그리드코드(Grid Code) 마련에 착수하고 ESS·UPS 등을 활용한 전력 변동 완화 방안도 검토하고 있다.

■ 기사 핵심 요약

– 그리드코드는 전압·주파수·전력품질 등 전력설비의 계통 접속·운영 기준을 정해 전력망 안정성을 확보하는 기술 기준

– AI 데이터센터는 1㎳ 단위로 MW급 전력 변동이 발생할 수 있어 별도 계통 대응 기준 필요성 확대

– 정부는 ESS·UPS 등을 활용한 변동 완화와 전용 기준을 검토하며, 향후 사업자의 설비·비용 부담에도 영향 예상

그리드코드 개념

■ 기사 주요 내용 정리

◎ 그리드코드의 역할

– 발전소·ESS 등 전력설비가 전력망에 연결될 때 필요한 성능과 운전조건을 규정

– 전압·주파수 변동 대응, 고장 발생 시 운전 유지 조건과 대응 절차 등을 포함

→ 핵심은 개별 설비의 안정성보다 전력계통 전체의 안정적 운영 확보

◎ AI 데이터센터가 새로운 적용 대상

– 대규모 GPU는 학습·추론 부하 변화에 따라 소비전력이 급격히 변동

– 정부에 따르면 AI 데이터센터에서는 0.001초 단위로 MW급 전력 변화가 발생 가능

→ 기존 발전설비 중심의 계통 기준을 대규모 전력 소비시설까지 확대할 필요성 부상

◎ 전용 기준과 대응 설비 검토

– 정부는 8월 AI 데이터센터 연구회를 출범해 국내 전력망 환경에 맞는 전용 그리드코드 마련 착수

– ESS와 무정전전원장치(UPS)를 활용해 급격한 전력 사용 변화를 완화하는 방안도 검토

→ 향후 기준에 따라 데이터센터 사업자의 추가 설비 투자·부지 확보·구축비용이 달라질 전망

Node2Shell은 Node.js가 사용하는 Brotli Decoder의 메모리 경계 처리 오류로 발생하는 런타임 계층 취약점이다. 조작된 Brotli 데이터가 취약한 Decoder까지 도달하면 서비스 장애와 메모리 손상은 물론 조건에 따라 원격코드실행(RCE)까지 이어질 수 있다.

◎ 공격 조건과 영향

– 단순히 Node.js 서버가 외부에 노출됐다고 공격되는 것은 아니며 조작된 Brotli 데이터가 실제 Decoder까지 도달해야 함

– node:zlib, 압축 Body 처리, fetch() 등 Brotli 해제 경로가 주요 점검 대상

– 영향은 Process Crash·DoS·Memory Disclosure 및 조건 충족 시 RCE

◎ 보안 업데이트와 대응

– 보안 버전은 22.23.4 / 24.22.1 / 26.12.1 이상

– 패치 전에는 Brotli 입력 차단을 임시 적용하고 외부 노출 Node.js·Container·API Runtime 버전을 우선 점검

→ Node2Shell과 PHP2Shell 모두 Application Security를 넘어 Runtime Security까지 관리 범위를 확대해야 한다는 점이 핵심

[참고]

“AI 무기 탑재한 북한 해킹조직 온다”…‘대공습 예고’ 초비상

치명적인 PHP 취약점 PHP2Shell을 활용해 한국을 포함한 주요국 정부·금융기관을 겨냥한 대규모 공격을 준비하는 정황이 포착됐다. 특히 폐쇄형 네트워크에서 한국어로 공격을 조율하고 AI로 공격 우선순위와 PoC를 검증한 흔적이 확인돼 대응이 강화되고 있다.

■ 기사 핵심 요약

– CYFIRMA가 I2P에서 라자루스 생태계와 연계된 것으로 분석되는 세력의 PHP2Shell 공격 준비 정황 포착

– 공격자는 공개 PoC와 AI 기반 분석·시뮬레이션을 활용해 정부·금융·제조·물류·항공 등 핵심 분야를 표적으로 선정

– 북한 연계 가능성이 제기됐지만 직접적 귀속은 확정되지 않았으며, 정부는 경보 발령과 긴급 패치 적용을 권고

■ 기사 주요 내용 정리

◎ PHP2Shell 기반 공격 준비

– CVE-2026-109618·109619는 인증 없이 조작된 웹 요청으로 원격코드실행(RCE)이 가능한 PHP Core 취약점

– 공격 세력은 공개된 공격코드를 수집하고 AI를 이용해 표적 우선순위 선정과 사전 검증을 수행한 것으로 분석

→ AI가 취약점 탐색과 공격 준비의 속도·자동화 수준을 높이는 수단으로 활용

◎ 핵심 인프라 중심 표적화

– 한국·미국·일본·호주의 정부기관과 금융기관이 우선 표적으로 거론

– 제조·물류·해운·공항·항공·온라인 거래 플랫폼까지 공격 대상에 포함

◎ 북한 연계 판단과 한계

– 한국어 지시, 라자루스 계열에서 사용해온 웹셸 전술, 정부·금융기관 중심 표적 등이 연계 정황으로 제시

※ 다만 라자루스 고유 악성코드나 인프라가 직접 일치한 사실은 기사에서 확인되지 않아 공격 주체 확정에는 신중할 필요

◎ 긴급 보안 대응

– PHP 개발팀은 10월 21일 긴급 패치를 배포했고 정부·KISA는 22일 관련 취약점에 ‘주의’ 경보 발령

→ 인터넷에 노출된 PHP 서버는 공격 여부와 관계없이 최신 보안 버전 적용과 침해 여부 점검을 우선 수행할 필요

🏆 139회 정보관리기술사 김재원, 묵묵히 그 자리를 지킨 사람

기술사 공부를 시작할 때,

화려한 필력부터 걱정하시나요?

여기서 점수가 갈립니다.

제가 기억하는 김재원 님은 언제나 그 자리에서,

조용히 자신의 몫을 다하던 멘티입니다.

처음부터 글씨의 가독성이 좋거나,

지면 구성이 일정했던 것은 아닙니다.

표현의 정돈과 형식의 일관성에는,

분명히 보완할 부분이 있었어요.

하지만 부족한 점을 마주하는 태도에는,

늘 한결같은 꾸준함이 있었습니다.

배운 것을 받아들이고 다시 써보며,

자신의 것으로 만들기 위해 최선을 다했습니다.

무엇보다 기억에 남는 것은 겸손함과 배려입니다.

함께하는 사람을 존중하면서도,

자신이 해야 할 일을 놓지 않는 모습이 인상 깊었습니다.

이번 합격후기에서 함께 나누고 싶은 것도,

바로 그 지점입니다.

눈에 띄는 장점만으로 설명하기보다,

부족함을 하나씩 채워 온 과정에 주목하고 싶습니다.

단번에 크게 뛰어오른 곡선은 아닙니다.

조금씩 쌓인 변화가,

마지막에 합격선으로 이어졌습니다.

저는 이 숫자에서 단순한 결과뿐 아니라,

그 사이를 묵묵히 버틴 시간을 함께 보게 됩니다.

이게 진짜 핵심입니다.

📚 기본과정, 낯선 내용을 따라가며 기초를 세우다

🔑 136회 준비: 2025년 2월~5월

처음 접한 기본과정은 쉽지 않았습니다.

교재에는 모르는 내용이 많았고,

다른 사람이 빠르게 메모하는 모습조차 낯설게 느껴졌습니다.

주어진 분량이 감당할 수 있는 수준인지,

생각이 들 때도 있었습니다.

그때 힘이 된 것은 앞서 준비한 사람들의 모습이었습니다.

선배들이 실제로 써내는 과정을 보며,

자신도 해볼 수 있다는 마음을 다졌습니다.

이 시기에는 기본적인 구성과 흐름을 익히고,

주요 토픽을 접하며 시간의 우선순위를 바꿔 갔습니다.

직장인 기술사 준비에서 확보한 시간을,

어디에 먼저 쓸지 정하는 일은 중요한 출발점입니다.

첫 시험에서는 수업에서 들어 본 문제가 눈에 들어왔습니다.

그러나 익숙함을 온전한 설명으로 옮기기에는,

아직 준비가 부족했습니다.

더 공부했으면 좋았겠다는 아쉬움을 남긴 채,

다음 회차를 준비했습니다.

✍️ 읽기 중심에서 직접 써내는 방식으로 바꾸다

🔑 137·138회 준비: 2025년 5월~2026년 2월

기본과정을 마친 뒤,

무식반에 합류하면서 방법을 바꿨습니다.

이전에는 교재를 읽고 시간을 보내면,

공부했다고 생각하기 쉬웠습니다.

심화과정에서는 그 방식만으로,

매주 주어진 문제를 소화하기 어려웠습니다.

그래서 도메인별 주간 출제 문제를 먼저 확인하고,

관련 부분을 찾아보는 순서로 전환했습니다.

무엇을 설명해야 하는지 정한 뒤 읽으니,

집중할 대상이 분명해졌습니다.

장소도 집에서 가까운 스터디카페로 옮겼습니다.

비용을 들여 마련한 공간에서,

정해진 시간을 더 집중해서 사용했습니다.

업무와 병행하는 만큼,

한 시간이라도 몰입할 수 있는 환경이 필요했던 것이죠.

50분 쓰기 역시 중요한 훈련이었습니다.

한 시간을 공부해도 실제로 표현할 시간을 남기려면,

조금 더 빠르게 읽고 연습해야 했습니다.

일일 점검과 피드백을 통해,

속도와 내용을 함께 다듬었습니다.

다만 빠르게 채우는 것만으로는 충분하지 않았습니다.

반복해서 쓰면서도 문장을 조금씩 줄이고,

핵심을 남기는 방향을 찾아갔습니다.

실제로 적용해보면 이 단계에서 실력이 확 올라갑니다.

🧠 ‘아는 것 같다’에서 ‘꺼내 쓸 수 있다’로

137회에서는 알고 있는 듯하지만,

명확하게 풀어낼 수 있는 주제가 많지 않았습니다.

읽은 경험과 시험장에서 꺼내 쓰는 능력 사이에,

분명한 간격이 있었던 것입니다.

이후 앞선 합격자의 경험에서 중요한 기준을 찾았습니다.

대략 아는 수준에 머무르지 않고,

도움 없이 인출할 수 있는지를 확인하기 시작했습니다.

키워드 암기에 더 시간을 썼고,

별도의 암기장을 만들었습니다.

잘 외워지지 않는 부분은 캡처해 메신저에 저장하고,

이동 중에도 수시로 확인했습니다.

138회에서는 분량을 부족하지 않게 채울 수 있었습니다.

하지만 내용의 깊이는 여전히 보완해야 했습니다.

익숙한 분야에 치우쳐 읽다 보니,

전체 범위를 고르게 다루지 못한 아쉬움도 있었습니다.

ISO 42001을 선택하지 못했던 일,

해설을 읽으며 CAT 2.0을 익숙한 개념과 연결하지 못했던 경험도 남았습니다.

가독성은 나아졌지만,

지식의 범위와 정확도를 함께 끌어올려야 했습니다.

제가 이 과정에서 짚고 싶은 기술사 공부법은 분명합니다.

읽은 내용을 확인하는 데서 멈추지 않고,

자료를 덮은 상태에서도 설명할 수 있는지 점검해야 합니다.

이 부분은 절대 놓치면 안 됩니다.

🚀 139회, 익숙해진 토대 위에서 부족한 곳을 채우다

🔑 2026년 2월~5월의 집중

시작한 지 1년이 지난 시점에는,

처음 세운 목표를 돌아보며 집중력을 높였습니다.

성실하게 Big&Up 과정을 따라오면서 교재의 여러 주제가 익숙해졌고,

이제 부족한 영역에 더 힘을 쏟을 수 있었습니다.

표현의 가시성은 주간 문제와 일일 쓰기를 통해 계속 다듬었습니다.

피드백을 반영한 답안 작성을 이어가고,

개인 회독과 토요일 활동으로 빠진 부분을 메우려 했습니다.

시험 당일 1교시를 마쳤을 때는 가능성을 느꼈지만,

2·3·4교시를 치른 뒤에는 다음 회차를 더 준비해야겠다는 마음도 들었습니다.

최선을 다했지만 결과에 대한 확신은 없었습니다.

60.08점이라는 성적에는,

수업에서 자주 쓰고 살펴본 토픽들이 힘을 보탰습니다.

익숙한 영역에서 확보한 점수가,

부족한 부분을 안정적으로 보완해 주었습니다.

반복해서 다뤄 본 경험이 실제 시험에서 의미를 가진 순간입니다.

🏃 꾸준함을 이어 준 구체적인 도구와 습관

✔️ 매일 확인하고, 주말에는 인출하기

일일 셀프테스트에서는 피드백을 받으며,

표현과 구조화 틀을 매일 점검했습니다.

토요일 활동은 단순한 참석 자체보다,

기억에서 꺼내는 연습 시간으로 활용했습니다.

모범 예시도 적극적으로 참고했습니다.

도형, 구성, 핵심어, 분량, 템플릿을 살피며,

필요한 부분을 자신의 연습에 가져왔습니다.

영어 공책에 쓰는 방식도 활용해,

부담 없이 반복할 수 있도록 했습니다.

✔️ 다시 볼 내용을 모은 서브노트

시험과 모의고사 전에 집중해서 확인할 내용을,

A5 크기 포스트잇에 정리했습니다.

반드시 알고 들어가야 할 사항을 골라 붙이고,

계속해서 내용을 갱신했습니다.

서브노트의 역할은 모든 내용을 옮겨 적는 데 있지 않았습니다.

마지막까지 확인할 대상을 모아두는 도구였습니다.

글씨가 반듯하지 않아도,

필요한 지식을 찾고 되짚는 기능은 충분히 할 수 있었습니다.

✔️ 도메인별 문제 모음과 반복 회독

132회부터의 주간 문제를 도메인별로 묶고,

중복과 누락을 줄이는 방향으로 정리했습니다.

교재를 읽기 전후에 활용했고,

시간이 부족한 금요일에도 빠르게 훑었습니다.

어디에서 무엇이 나올지 알 수 없기에,

반복 회독도 꾸준히 이어갔습니다.

특정 주제에 치우쳤던 경험을 돌아보며,

범위를 넓히려는 노력이었습니다.

✔️ 텔레그램으로 이동 시간을 연결하기

재확인할 토픽, 암기할 장표, 쓰기 기록 등을,

텔레그램 채널별로 모았습니다.

출퇴근길에 틈틈이 열어보며,

부족한 시간을 알차게 보충했습니다.

도구 자체보다 다시 볼 자료가,

항상 손에 닿는 곳에 있다는 점이 핵심입니다.

🌱 루틴을 함께 버틸 힘으로 연결하다

회사 업무와 종교 활동 외에는,

대부분의 시간을 기술사 준비에 배분했습니다.

특별한 이유를 기다리기보다,

하루하루 습관처럼 이어갔습니다.

어느 날의 큰 의욕보다,

지속할 수 있는 루틴이 중심에 있었습니다.

그 시간을 혼자서만 버틴 것은 아닙니다.

동료들과 서로 위로하고 토요일을 함께 보내며,

식사와 커피를 나누고 경험을 공유했습니다.

조장으로 함께한 시간에도,

고마움과 미안함을.. 결국은 자신의 몫을 다하려 했습니다.

아내와 아이들의 이해,

멘토들의 걱정과 조언·격려도 큰 힘이었습니다.

기술사의 세계로 이끌어 준 인연과 기본반 자기소개에서 다시 만난 기억,

교재 뒤 사진 속 선배들을 향한 동경도 여정에 함께했습니다.

찬양과 애니메이션·영화의 대사를 들으며,

흔들리는 마음을 다잡기도 했습니다.

수기의 시작에서는 하나님께 영광을 돌렸고,

끝에서는 함께해 준 사람들에게 감사를 전했습니다.

제가 기억하는 겸손함과 배려가 그 감사에도 담겨 있습니다.

🙏 멘토로서 전하고 싶은 말, 오늘의 최선을 이어가세요

김재원 님의 정보관리기술사 도전은,

시작부터 정돈된 글씨와 일정한 형식으로 완성된 과정은 아니었습니다.

읽는 순서를 바꾸고 공간을 옮기고,

외우고 직접 쓰며 부족함을 채워 왔습니다.

그 중심에는 늘 같은 자리에서,

최선을 다하는 태도가 있었습니다.

자신의 부족함을 인정하면서도 해야 할 일을 놓지 않았고,

함께한 사람들을 향한 감사도 잊지 않았습니다.

지금 표현이 매끄럽지 않더라도,

오늘 고칠 한 가지를 찾으셨으면 합니다.

읽었다면 직접 꺼내 써보고,

피드백을 받았다면 다음 지면에 반영해 보세요.

이 부분만 잡아도 결과가 많이 달라집니다.

저는 재원 님을 떠올리며,

조용히 이어 온 노력이 얼마나 묵직한 힘을 가질 수 있는지 다시 생각합니다.

139회 필기 합격을 진심으로 축하드립니다.

그 성실함과 배려가 앞으로의 길에서도,

좋은 바탕이 되기를 응원합니다.

10년 묵은 PHP 결함, AI가 뚫었다

PHP 핵심 런타임의 메모리 처리 결함을 이용해 인증 없이 서버에서 원격코드를 실행할 수 있는 PHP2Shell 취약점이 공개됐다. 특히 인공지능이 오랫동안 공격 가능성을 입증하지 못했던 결함을 단기간에 분석하면서 인공지능이 보안 연구와 공격 개발의 속도를 동시에 높이는 문제가 부각됐다.

■ 기사 핵심 요약

– CVE-2026-109618·109619는 PHP Core 메모리 처리 결함으로 인증 없는 RCE가 가능하며 CVSS 9.2 Critical로 평가

– Wiz는 인공지능 모델과 분석도구를 활용해 수개월 규모의 취약점 분석·공격 검증 작업을 약 일주일 만에 수행

– 패치 공개 전부터 공격 시도가 관측돼 시간 단위 패치 대응과 Runtime·CMS·Plugin 전체 취약점 관리 중요성 확대

■ 기사 주요 내용 정리

◎ PHP Runtime 자체의 치명적 결함

– OOM(Out of Memory)처리 과정의 Memory Corruption과 해제된 메모리를 재사용하는 Use After Free가 핵심 원인

– Application 취약점이 아니라 PHP 자체 문제여서 WordPress·Drupal·Joomla 등 상위 서비스도 영향 가능

→ 로그인·보안 기능 실행 전에도 공격 가능한 환경이 있어 영향 범위가 큼

◎ 인공지능이 취약점 발견 속도 가속

– Wiz는 자체 도구와 Gemini·GPT 계열 인공지능을 활용해 PHP 소스와 공격조건을 분석

– 기존에는 수개월이 필요했던 작업을 단기간에 수행하며 취약점 발견→PoC→공격 검증 속도를 크게 단축

→ 방어자의 연구 생산성은 높아졌지만 공격자의 진입장벽도 함께 낮아지는 Dual-use 위험 확대

◎ 대응 핵심은 즉시 패치

– PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 이상으로 업데이트하고 EOL 버전은 지원 버전으로 전환

– WAF·설정 변경은 임시 보완책이며 근본 대응은 Runtime 패치

→ 앞으로는 주·월 단위가 아닌 시간 단위 Patch SLA와 SBOM 기반 전 구성요소 관리가 중요

공정위, ‘AI 워싱’ 광고 기준 마련…가상후기·딥페이크도 판단 대상

■ 도입부

공정거래위원회가 인공지능 기술을 실제보다 과장하는 AI 워싱과 AI 생성 인물·후기 등을 활용한 광고의 판단 기준을 마련한다. 핵심은 인공지능 적용 여부뿐 아니라 적용 범위·작동 조건·성능 한계·근거 등을 소비자가 오인하지 않도록 명확히 표시하는 것이다.

■ 기사 핵심 요약

– 공정위가 AI 관련 표시·광고 가이드라인 초안을 마련해 4개 유형·16개 사례와 사업자 자가점검 기준 제시

– 단순 보조 기능을 전체 인공지능 기능처럼 광고하거나 작동 조건·성능 한계·시험 조건을 누락하면 부당광고 판단 가능

– AI 생성 인물·후기·딥페이크를 실제 전문가·소비자처럼 활용할 경우 거짓·과장·기만 광고 문제가 발생할 수 있음

■ 기사 주요 내용 정리

◎ AI 워싱 판단 기준 구체화

– 실제 학습·추론·판단 기능이 제품 기능에 활용되는지를 중심으로 AI 적용 여부 판단

– 제3자 AI 기술을 자체 개발한 것처럼 표현하거나 일부 기능만 AI인데 제품 전체가 인공지능으로 작동하는 것처럼 광고하는 행위도 점검 대상

◎ 작동 조건·성능 한계 표시

– 전용 앱 연동 등 특정 조건에서만 인공지능 기능이 작동한다면 해당 조건을 함께 안내

– 작은 물체 인식 제한 등 판단에 영향을 줄 수 있는 성능 한계도 표시 필요

– ‘최고·완벽’ 등 표현은 객관적 근거와 시험 조건을 제시해야 함

◎ AI 생성 광고·딥페이크 규제

– 가상 의료인·전문가·후기를 실제 인물의 의견처럼 제시하면 기만 광고가 될 수 있음

– 딥페이크로 실존 전문가를 사칭하거나 근거 없는 수익률을 강조하면 거짓·과장 광고까지 문제 가능

→ 인공지능 이미지·영상이 실제 제품·사용 결과로 오인될 가능성이 있으면 인공지능 활용 사실을 명확히 표시해야 함

◎ 자가점검과 향후 적용

– 공정위는 실제 인공지능 사용 여부·기술 출처·작동 조건·성능 입증 등을 확인하는 4단계 8개 항목 자가점검표 마련

– 가이드라인 자체는 법적 구속력이 없으며 실제 위법 여부는 표시광고법과 소비자 오인 가능성 등을 종합 판단

– 의견수렴 후 관계부처 협의를 거쳐 최종 가이드라인 확정 예정

가트너, 2027년 10대 전략 기술 발표

車부터 AI 가전까지 정보수집 확대…제품 검증·사후관리 '구멍'

커넥티드카·로봇청소기·스마트홈 카메라처럼 영상·위치·공간정보를 수집하는 IoT 기기가 빠르게 늘고 있지만 국내 보안인증과 사후관리 체계는 이를 충분히 따라가지 못하고 있다. 특히 인공지능 분석과 플랫폼 연계가 확대되면서 제품 제조사뿐 아니라 플랫폼·클라우드까지 포함한 책임체계가 새로운 과제로 떠올랐다.

■ 기사 핵심 요약

– 커넥티드카·AI 가전이 영상·좌표·공간정보까지 수집하면서 IoT 보안 위험과 정보유출 영향 확대

– 최근 5년간 국내 IoT 보안인증은 약 450건, 가전 분야는 10건에 그쳐 자율인증 중심 제도의 실효성 한계

– 제조사·플랫폼·AI 분석사업자가 연결되는 구조로 발전하면서 최소 보안기준·의무인증·사후관리·책임분담 필요성 증가

■ 기사 주요 내용 정리

◎ IoT 기기의 정보수집 범위 확대

– 커넥티드 차량은 카메라·LiDAR·GPS로 영상과 위치·공간정보를 동시에 수집하고 외부망과 연결

– 로봇청소기·스마트홈 카메라도 사람·사물·행동·집안 구조까지 인식하면서 수집 정보의 민감도 증가

→ 국가보안시설이나 주요 공간 정보가 유출될 경우 단순 개인정보를 넘어 시설 위치·구조·장비 배치 정보까지 노출될 가능성

◎ 현행 IoT 보안인증의 한계

– 국내 IoT 보안인증은 제조·수입업자가 신청하는 자율인증 방식으로 미인증 제품도 일반 판매 가능

– 최근 5년간 인증 약 450건 가운데 가전 10건, 통신 분야 7건에 불과

– 2020년 정보통신망법에 제조·수입업자 보호조치 규정이 마련됐지만 최소 보안기준·개선명령·사후관리 절차는 미흡

◎ AI·플랫폼 확산으로 책임구조 복잡화

– SmartThings·Google Home·Apple Home과 Matter 등으로 서로 다른 제조사의 기기와 서비스가 연결

– 기기 제조사/플랫폼 운영사/AI 영상분석 사업자가 다르면 개인정보 처리와 사고 대응 책임이 복잡해질 수 있음

– 온디바이스 AI와 외부 클라우드 분석은 정보유출 위험과 관리 방식도 서로 다름

◎ 위험도 기반 보안체계 필요

– EU는 사이버복원력법(CRA)을 통해 디지털 제품의 보안요건과 제조사 취약점 관리 책임을 강화

– 국내에서도 IoT 전반의 최소 보안기준을 마련하고 개인정보·사회적 피해 위험이 큰 제품부터 단계적으로 인증을 의무화하는 방안 제시

→ 인공지능 가전 시대의 보안은 제품 출시 시점의 인증만이 아니라 개발→판매→업데이트→취약점 대응까지 전 생애주기 관리가 핵심

Gartner 2027 전략 기술 개요

- 인공지능이 단순한 텍스트 생성과 업무 지원을 넘어 수치·음성·물리세계를 이해하고 자율적으로 판단·행동하는 단계로 발전함에 따라 필요한 기술과 통제 체계를 제시

- 핵심은 비텍스트 AI 확장, 자율형 AI Agent 거버넌스, 지속 가능한 IT Architecture 확보

2025년 ~ 2027년 변화 요약

Gartner 2027 세 가지 큰 주제 / 전략

Gartner 2027 전략별 기술요소