직무별 가이드 / 보안 엔지니어 이력서 작성법
보안 엔지니어 이력서 작성법
보안 엔지니어 이력서는 '무엇을 막았는가'보다 '어디까지 책임졌고, 같은 일이 다시 생기면 잡히는 구조를 만들었는가'를 보여줘야 해요. 웹 진단·인프라·클라우드·인증 심사처럼 영역이 넓은 직무라서, 내가 맡은 범위의 경계를 첫 줄에서 그어 주는 게 중요해요. 그리고 보안 이력서는 그 자체로 보안 감각을 보는 시험지라서, 내부 구성이나 취약점 세부를 얼마나 절제해서 썼는지도 함께 읽혀요.
보안팀 리더가 이력서에서 먼저 확인하는 것
- 1
담당 범위의 경계
웹 애플리케이션 진단, 인프라·네트워크, 클라우드 설정·IAM 점검, 관리체계(정책·인증) 중 어디를 주도했고 어디는 협업이었는지요. '보안 업무 전반'은 범위가 없는 말로 읽혀요.
- 2
인증·심사 대응에서의 역할
ISMS-P, ISO 27001, 전자금융 관련 점검 같은 이름보다, 내가 맡은 통제 영역과 결함을 어떻게 조치했는지를 더 궁금해해요.
- 3
탐지 체계를 만든 경험
룰 작성과 튜닝, 오탐 관리 방식, 탐지에서 차단·보고까지 이어지는 대응 플레이북을 직접 설계했는지 봐요.
- 4
개발 조직과 일하는 방식
취약점을 찾는 것보다 '조치되게 만드는 것'이 어려워요. 조치 기한, 예외 승인 절차, 시큐어코딩 가이드처럼 개발팀이 따라올 수 있는 장치를 만들었는지가 차이를 만들어요.
보안 업무는 결과가 '아무 일도 없었다'로 끝나는 경우가 많아요. 그래서 사건 수보다 체계(주기·기준·담당·측정 방법)를 문장에 넣어야 평가할 거리가 생겨요.
보안 엔지니어 이력서에서 자주 보이는 실수
Burp Suite, Nmap, Wireshark, Splunk 활용 경험 보유
Burp Suite로 결제·회원 API 18개를 수동 진단해 권한 우회(IDOR) 2건을 찾고, 재발 방지를 위해 API 게이트웨이 단의 리소스 소유권 검증 로직을 개발팀과 함께 설계
💡 도구는 수단이에요. 무엇을 대상으로 어떤 유형을 찾았고, 그 뒤 구조가 어떻게 바뀌었는지가 실력의 증거예요.
OO은행 내부망 10.x 대역 방화벽 정책 오류로 관리자 페이지 외부 노출 건 발견
금융권 고객사 내부망 점검 중 관리자 페이지의 외부 노출 경로를 찾아 접근 정책 재설계를 제안하고, 같은 유형을 다시 보도록 진단 체크리스트에 항목 추가
💡 고객사명, IP 대역, 미조치 취약점의 세부는 쓰는 순간 감점이에요. 보안 직무에서는 무엇을 숨길 줄 아는지도 평가 대상이에요.
신입과 경력 보안 엔지니어는 무엇으로 증명할까요
| 항목 | 신입 | 경력 |
|---|---|---|
| 핵심 증거 | CTF 풀이 기록, 워게임 진행 단계, 직접 쓴 취약점 분석 리포트 | 운영 중인 서비스에서의 진단·탐지·대응 이력과 그 결과 |
| 강조할 범위 | 관심 분야 하나를 깊게(웹 해킹, 리버싱, 클라우드 보안 중 택1) | 맡았던 영역의 경계와 개발·인프라·법무와의 협업 범위 |
| 숫자를 쓰는 법 | 푼 문제 수보다 한 문제를 어떻게 파고들었는지의 깊이 | 조치 기한 준수율, 탐지 소요 시간, 심사 결함 조치 결과 |
| 자격·교육 | 정보보안기사, 보안 교육 과정 수료(과정명과 실습 내용까지) | ISMS-P 인증심사원·CISSP 등은 실제 심사·설계 경험과 짝지어 기재 |
보안 이력서에 붙일 증거와 빼야 할 정보
- CTF·워게임 참가 기록과 대표 문제 라이트업(공개가 허용된 대회만)
- 버그바운티 제보 이력 — 프로그램 정책상 공개 가능한 범위에서 취약점 유형과 심각도 위주로
- CVE 등록 번호가 있다면 번호와 본인이 맡은 역할
- 직접 만든 탐지 룰·자동화 스크립트 저장소(내부 환경 정보를 지운 버전)
- 정보보안기사·ISMS-P 인증심사원 등 자격과 취득 시기
- 빼기: 고객사명, 내부 IP·호스트명, 아직 조치되지 않은 취약점의 재현 방법
- 빼기: 진단 보고서 원문 캡처 — 요약 표와 본인 기여만 따로 정리하세요
보안 면접에서 이어질 질문
면접관: 탐지 룰을 재분류하면서 오탐을 줄였다고 하셨는데, 그러다 정탐까지 놓친 적은 없었나요?
지원자: 그게 걱정돼서 임계값을 바꾼 룰은 2주 동안 이전 룰과 병행 운영하며 결과를 대조했어요. 실제로 한 건이 새 기준에서 빠져서 조건을 다시 넣었어요.
면접관: 개발팀이 고위험 취약점의 조치 기한을 못 지키겠다고 하면 어떻게 하세요?
지원자: 예외 승인 절차를 따로 두었어요. WAF 룰 같은 임시 완화 조치와 만료일을 함께 받아서, 기한은 늘리되 위험이 열린 채로 방치되지는 않게 했어요.
필수 항목 체크리스트
- 취약점 분석/침투 테스트
- 보안 프레임워크
- 성과 수치
- 보안 사고 대응(권장)
- 클라우드 보안(권장)
강조 키워드
좋은 성과 문장 예시
- ✦SIEM 탐지 룰 120여 개를 MITRE ATT&CK 기술 단위로 재분류해 오탐을 줄이고, 계정 탈취 의심 이벤트의 탐지~차단 시간을 수 시간에서 15분 이내로 단축
- ✦ISMS-P 최초 인증 심사의 보호대책 영역 실무를 맡아 통제항목별 증적 체계를 만들고, 심사에서 받은 결함 3건을 보완 조치 기한 안에 모두 완료
- ✦CI 파이프라인에 SAST·오픈소스 의존성 검사를 붙이되 고위험 항목만 빌드를 막도록 기준을 조정해, 배포 속도를 유지하면서 취약 라이브러리 유입을 배포 전 단계에서 차단
바로 보안 엔지니어 이력서를 만들어 보세요
무료 · 경력 몇 줄이면 시작
지금 무료로 이력서 만들기 →