정보보안기사 준비하는 방법, 비전공자도 길 잃지 않게 시작하려면
처음엔 과목 이름부터 낯설 수 있어요
얼마 전 지인이 정보보안기사 시험을 준비한다고 책을 샀는데, 첫 장을 넘기자마자 “이거 네트워크 시험이야, 법 시험이야?”라고 묻더라고요. 사실 정보보안기사는 한 분야만 깊게 파는 시험이라기보다 보안 업무에 필요한 기본기를 넓게 확인하는 자격증에 가깝습니다. 시스템, 네트워크, 애플리케이션, 정보보호 일반, 관련 법규까지 범위가 꽤 넓어요.
그래서 처음부터 모든 내용을 완벽하게 이해하려고 하면 금방 지칩니다. 특히 비전공자라면 리눅스 명령어, TCP/IP, 암호 알고리즘, 접근통제 같은 단어가 한꺼번에 튀어나와서 부담이 커질 수 있어요. 근데 시험 준비 관점에서는 순서를 잡으면 훨씬 덜 막막합니다. 먼저 자주 나오는 개념을 익히고, 그다음 기출문제로 표현 방식에 익숙해지는 식이 효율적입니다.
정보보안기사 시험 구조를 먼저 잡아두기
정보보안기사는 필기와 실기로 나뉩니다. 필기는 객관식이고, 실기는 주관식과 서술형 성격이 섞여 있어 단순 암기만으로는 버거운 편입니다. 필기에서 배운 개념이 실기에도 이어지기 때문에 필기 공부를 대충 넘기면 실기에서 다시 고생할 가능성이 큽니다.
필기 과목은 보통 다음 흐름으로 이해하면 편합니다. 시스템 보안은 운영체제와 서버 보안, 네트워크 보안은 TCP/IP와 장비·공격 기법, 애플리케이션 보안은 웹 취약점과 개발 보안, 정보보호 일반은 암호와 보안 관리, 법규는 개인정보보호와 정보통신망 관련 내용을 다룹니다.
- 시스템 보안: 리눅스, 윈도우, 계정 관리, 로그, 접근권한
- 네트워크 보안: OSI 7계층, 방화벽, IDS, VPN, 공격 유형
- 애플리케이션 보안: SQL 인젝션, XSS, 세션 관리, 시큐어 코딩
- 정보보호 일반: 암호화, 인증, 위험관리, 보안 정책
- 법규: 개인정보보호법, 정보통신망법, 전자서명 관련 개념
각 과목을 따로따로 외우기보다 “회사에서 서비스를 운영할 때 어디에 필요한 내용인가”를 떠올리면 기억이 오래갑니다. 예를 들어 웹사이트 로그인 기능을 생각하면 계정 관리, 세션, 암호화, 개인정보 처리, 로그 관리가 한 번에 연결됩니다.
초보자는 기출문제를 너무 늦게 보면 손해예요
정보보안기사 준비를 시작한 사람들 중에는 이론서를 다 보고 기출문제를 풀겠다는 경우가 많습니다. 솔직히 그 방식은 시간이 넉넉할 때나 괜찮습니다. 범위가 넓기 때문에 이론서를 처음부터 끝까지 읽는 데만 몇 주가 지나가고, 막상 문제를 보면 “분명 읽었는데 왜 모르겠지?”라는 느낌을 받을 수 있어요.
추천하는 방식은 1회독을 얇게 가져가는 겁니다. 처음 2주 정도는 과목별 기본 개념을 빠르게 훑고, 바로 최근 기출문제를 풀어보는 편이 낫습니다. 점수가 낮게 나와도 괜찮습니다. 이 단계의 목적은 실력 평가가 아니라 출제자가 어떤 단어를 좋아하는지 확인하는 데 있습니다.
예를 들어 네트워크 보안에서 스니핑, 스푸핑, 세션 하이재킹은 비슷하게 느껴질 수 있지만 문제에서는 구분 포인트가 반복됩니다. SQL 인젝션과 XSS도 둘 다 웹 공격이지만 입력값이 어디서 실행되는지, 피해가 누구에게 발생하는지에 따라 답이 갈립니다. 이런 차이는 책을 읽을 때보다 문제를 풀고 오답을 남길 때 훨씬 선명해집니다.
공부 시간은 얼마나 잡아야 할까
기초가 있는 전공자나 실무자는 6~8주 정도로도 필기 합격권에 접근하는 경우가 있습니다. 반대로 비전공자라면 10~12주 정도를 잡는 편이 마음이 편합니다. 하루 2시간씩 주 5일 공부한다고 하면 한 달에 약 40시간입니다. 3개월이면 120시간 정도가 나오는데, 이 정도면 기본서 1회독과 기출 반복을 병행할 수 있습니다.
다만 시간보다 중요한 건 반복 간격입니다. 주말에 10시간 몰아서 공부하는 것보다 평일에 1시간 30분씩 자주 보는 쪽이 용어에 익숙해지기 쉽습니다. 보안 용어는 처음엔 외국어처럼 느껴지지만, 여러 번 보면 어느 순간 문장 안에서 의미가 잡힙니다.
과목별로 이렇게 접근하면 덜 헷갈립니다
시스템 보안은 리눅스 기본 명령어와 권한 구조를 먼저 잡는 게 좋습니다. chmod, chown, passwd, shadow, 로그 파일 위치 같은 내용은 자주 등장합니다. 단순히 명령어 뜻만 외우기보다 “누가 어떤 파일을 읽고 실행할 수 있는가”를 생각하면 문제 풀이가 쉬워집니다.
네트워크 보안은 OSI 7계층과 TCP/IP 흐름이 바탕입니다. 포트 번호를 무작정 외우는 것도 필요하지만, HTTP는 웹, SMTP는 메일, DNS는 이름 해석처럼 서비스 역할과 함께 묶어두면 실전에서 덜 헷갈립니다. 방화벽, IDS, IPS, VPN은 각각 무엇을 막고 탐지하고 암호화하는지 비교표로 적어두면 좋습니다.
애플리케이션 보안은 웹 취약점이 자주 나옵니다. SQL 인젝션은 데이터베이스 질의를 조작하는 공격이고, XSS는 사용자의 브라우저에서 스크립트가 실행되는 공격입니다. CSRF는 사용자가 의도하지 않은 요청을 보내게 만드는 방식이죠. 이름만 외우면 비슷비슷하지만, 공격 위치와 방어 방법을 같이 적으면 훨씬 안정적으로 기억됩니다.
법규 과목은 미루기 쉽지만 점수를 올리기 좋은 영역이기도 합니다. 숫자, 의무, 신고, 책임 주체가 반복해서 나오기 때문입니다. 다만 법은 개정될 수 있으니 최신 수험서나 공식 공지 기준으로 확인하는 습관이 필요합니다. 오래된 요약본만 믿고 가면 애매한 문항에서 흔들릴 수 있어요.
실기는 답을 쓰는 연습이 필요합니다
필기를 통과한 뒤 실기를 준비할 때 가장 많이 하는 실수가 “내용은 아는데 못 쓰는” 상태입니다. 객관식에서는 보기 중에서 고르면 되지만, 실기에서는 용어를 직접 쓰거나 설명해야 합니다. 그래서 개념을 읽는 공부에서 멈추지 말고 짧은 문장으로 답안을 만들어보는 연습이 필요합니다.
예를 들어 “SQL 인젝션 대응 방안”이 나오면 입력값 검증, Prepared Statement 사용, DB 계정 권한 최소화, 에러 메시지 노출 제한처럼 답을 묶어서 써야 합니다. “위험관리 절차”라면 자산 식별, 위험 분석, 대응 방안 수립, 이행, 모니터링 흐름으로 이어갈 수 있어야 하고요.
- 용어는 한 줄 정의로 써보기
- 공격 기법은 원리와 대응 방안을 함께 외우기
- 법규는 주체, 의무, 기한, 처벌 기준을 나눠 보기
- 오답노트는 길게 쓰지 말고 헷갈린 포인트만 남기기
개인적으로는 A4 한 장짜리 과목별 압축 노트를 만드는 방식이 꽤 괜찮다고 봅니다. 시험 직전에는 두꺼운 책보다 내가 자주 틀린 개념만 모아둔 자료가 더 빠르게 들어옵니다. 특히 암호 알고리즘, 인증 방식, 접근통제 모델, 웹 취약점 대응책은 마지막까지 반복할수록 점수 방어에 유리합니다.
현실적인 준비 루틴 만들기
정보보안기사는 이름만 보면 굉장히 어려운 전문가 시험처럼 느껴지지만, 실제 준비는 넓은 범위를 꾸준히 익히는 싸움에 가깝습니다. 처음 1개월은 용어와 구조를 잡고, 다음 1개월은 기출과 오답을 반복하고, 마지막 2~3주는 실전처럼 시간을 재며 푸는 방식이 무난합니다.
공부 자료는 너무 많이 늘리지 않는 편이 좋습니다. 기본서 1권, 기출문제집 1권, 최신 법규 확인용 자료 정도면 충분합니다. 강의를 듣는다면 처음부터 끝까지 수동적으로 보기보다, 이해가 막히는 과목만 골라 듣는 방식이 시간을 아낄 수 있습니다.
그리고 보안 공부는 자격증을 따고 끝나는 분야가 아닙니다. 정보보안기사 준비 과정에서 배운 네트워크, 서버, 웹 취약점, 개인정보보호 개념은 실무나 다른 자격증 공부에도 계속 이어집니다. 시험 합격만 바라보면 지루하지만, 내가 쓰는 서비스가 어떻게 공격받고 보호되는지 떠올리면 생각보다 흥미로운 부분이 많습니다. 처음부터 완벽하지 않아도 괜찮습니다. 매일 조금씩 용어가 익숙해지는 순간부터 공부가 훨씬 덜 낯설어집니다.
