이 자리가 왜 생겼을까요
2026년 7월 사보는 미국 국방부가 국방 조달 계약에 CMMC 인증을 의무화하는 규정을 2025년 11월 10일부터 단계적으로 시행하고 있다고 설명하며, 현황 진단부터 인증 심사 대응까지 지원하는 삼정KPMG CMMC 전담팀이 앞으로 '전문 인력 양성'과 국내 환경에 맞춘 대응 방법론 고도화를 추진한다고 전했습니다. 이 공고는 Digital본부 Cyber팀에서 CMMC를 포함한 국내외 인증 대응, 모의해킹, 산업보안, 침해사고 대응 등 여덟 분야의 경력직 컨설턴트를 뽑습니다. 해외 거래처나 공급망의 요구로 보안 인증을 준비해 본 경험은 이 가운데 인증 분야와 산업보안 분야 양쪽에 걸쳐 있습니다.
삼정KPMG가 지금 어떤 사업에 집중하고 있는지는 삼정KPMG 채용 분석에서 이어서 볼 수 있습니다.
1하게 될 업무
정보보호 컴플라이언스 및 국내외 인증 대응(ISMS-P / ISO보안 표준 / TISAX / SOC / CMMC / 전자서명인증평가 등)을 맡습니다.
이렇게 볼 수 있어요
국내 인증(ISMS-P·전자서명인증평가)과 해외 기준의 인증(TISAX·SOC·CMMC)이 한 분야에 함께 있고, CMMC는 미국 국방부가 방산 공급망에 요구하는 인증입니다. 인증 컨설팅을 해 봤다면 인증 이름별로 맡은 단계(현황 진단·보호대책 수립·심사 대응)를 나눠 적으면 인증 분야 안에서 해 온 일의 폭이 보입니다.
보안 취약점 진단 및 모의해킹(Web/APP/Device 등)을 맡습니다.
이렇게 볼 수 있어요
진단 대상에 Device가 있고 자동차·선박·위성·드론 보안 분야가 따로 있어 웹·앱뿐 아니라 임베디드 장비나 IoT 기기를 점검한 경험도 쓸 곳이 있습니다.
신기술 보안성 검토(Cloud, IoT, Connected CAR 등)를 맡습니다.
이렇게 볼 수 있어요
검토 대상의 Connected CAR는 자동차·선박·위성·드론 보안 분야와 대상이 같습니다. 클라우드 전환이나 커넥티드카·IoT 서비스의 보안 요건을 출시 전에 검토해 봤다면 검토한 서비스와 적용한 기준을 밝힐 수 있습니다.
보안 전략, 아키텍처, 거버넌스, 정책 자문을 맡습니다.
이렇게 볼 수 있어요
기술 진단과 달리 고객사 보안 조직·경영진과 함께 보안 체계를 세우는 분야입니다. 보안 마스터플랜이나 정책·지침 체계를 수립한 프로젝트는 고객 규모와 만든 문서의 범위를 밝히면 기술 진단 경력과 따로 설명하기 쉽습니다.
AI보안, OT보안, ICS보안 자문을 맡습니다.
이렇게 볼 수 있어요
2026년 6월 한국경제 보도에 따르면 삼정KPMG 신임 파트너 명단에 '화이트해커 출신의 AI·사이버보안 전문가'가 포함됐습니다. AI 모델·서비스의 보안 점검이나 공장 제어망 보안 진단을 해 본 경험이 있다면 대상 시스템과 적용한 기준이 이 분야와 직접 연결됩니다.
국가핵심기술 및 산업기밀보호 자문을 맡습니다.
이렇게 볼 수 있어요
2026년 7월 사보는 CMMC 전담팀이 미국 규정과 '국내 방위산업기술 보호제도를 함께 고려한 통합 접근 방법론'을 쓴다고 소개했습니다. 국가핵심기술이나 방산기술 보호 체계를 점검해 본 경험은 이 분야와 인증 분야의 CMMC 업무 양쪽에서 꺼낼 수 있습니다.
Cyber 침해사고 대응 및 Forensics를 맡습니다.
이렇게 볼 수 있어요
침해사고 대응 경험이 있다면 사고 유형, 맡은 분석 단계, 고객에게 낸 보고서의 범위를 사고별로 정리할 수 있습니다. 모의해킹 분야가 공격을 재현하는 일이라면 이 분야는 남은 흔적에서 사고 경로를 추적하는 일이라, 두 경험이 모두 있다면 어느 쪽 비중이 큰지 따져 지원할 분야를 정할 수 있습니다.
자동차/선박/위성/드론 등 Cyber 보안을 맡습니다.
이렇게 볼 수 있어요
CMMC 전담팀 사보는 미국 국방 공급망에 참여하는 '국내 방산·조선업체와 관련 IT 서비스 기업'이 보안 체계를 정비해야 한다고 적었습니다. 선박·드론·차량의 제어 시스템이나 통신 보안을 다뤄 봤다면 인증 분야의 업무와 묶어 설명할 수 있습니다.
2자격 요건
주요업무별로 해당 사항에 대한 업무 경험이 필요하고, 지원자격 및 보유기술 2년 이상 경력자여야 합니다.
이렇게 볼 수 있어요
원문 머리 문구가 '주요업무 별 하기 해당 사항에 대한 업무 경험 보유자'라서, 아래 기술진단·컴플라이언스·산업보안 경험은 지원하는 분야에 맞는 것을 갖추라는 뜻으로 볼 수 있습니다. 접수구분이 '신입'이어도 2년 이상 경력을 적었으니, 지원 분야에서 해 온 프로젝트를 기간과 함께 정리하는 것이 출발점입니다.
시스템 인프라(OS/WEB/WAS/DBMS) 기술진단 경험이 필요합니다.
이렇게 볼 수 있어요
OS·WEB·WAS·DBMS 진단은 보통 주요정보통신기반시설 취약점 분석·평가 기준 같은 항목표로 서버와 DB의 설정을 하나씩 점검합니다. 공격을 재현하는 모의해킹과는 성격이 다른 경력입니다. ISMS-P 인증 기준에도 정기 취약점 점검과 조치가 들어 있어 이 진단 경험은 업무 목록의 인증 대응 분야와도 이어집니다. 진단해 본 계층과 대상 서버 규모, 근거로 쓴 기준을 함께 밝히면 인프라 진단 경력이 모의해킹 경력과 따로 드러납니다.
AI/클라우드/네트워크/보안시스템 기술진단 경험이 필요합니다.
이렇게 볼 수 있어요
이 요건의 AI·클라우드·네트워크·보안시스템 기술진단 가운데 AI와 클라우드는 업무 목록의 신기술 보안성 검토(Cloud·IoT)와 AI보안 분야에서도 다룹니다. 클라우드 설정이나 방화벽 같은 보안시스템 정책을 점검한 경험은 그 두 분야의 진단 대상을 미리 다뤄 본 것입니다.
기술진단 checklist 및 script 작성 경험이 필요합니다.
이렇게 볼 수 있어요
컨설팅 현장의 인프라 진단은 고객 서버에 도구를 설치하기 어렵습니다. 그래서 설정을 모으는 쉘·PowerShell 스크립트를 돌리고 결과를 체크리스트로 판정하는 방식이 흔합니다. 업무 목록의 Cloud·IoT·Connected CAR 보안성 검토나 AI보안은 기존 인프라 항목표만으로 다 덮기 어려운 분야입니다. 기준이 아직 적은 AI보안에서는 특히 고객 환경에 맞게 점검 항목부터 새로 짜는 일이 생기기도 합니다. 진단 수행과 별도로 항목과 스크립트를 만든 경험이라면 체크리스트의 대상 시스템과 근거 기준, 스크립트로 줄인 점검 시간을 정리해 면접에서 보여 주면 좋습니다.
정보보호 컴플라이언스 대응 및 국내외 인증 컨설팅 경험이 필요합니다.
이렇게 볼 수 있어요
기업 보안 조직에서 ISMS-P 인증을 받는 쪽을 맡았던 경험도 인증 대응 분야의 일을 반대편에서 해 본 경험입니다. 컨설팅을 했다면 인증 종류와 고객 수를, 받는 쪽이었다면 심사에서 나온 결함을 어떻게 고쳤는지를 쓰면 됩니다.
산업제어시스템 및 DCS 관련 업무 등 산업보안 경험이 필요합니다.
이렇게 볼 수 있어요
이 경험은 OT·ICS 보안 자문 분야와 바로 이어지고, 제어 시스템을 쓰는 선박·위성 보안 분야와도 연결될 수 있습니다. 발전소·플랜트·공장의 DCS나 제어망을 다뤄 봤다면 보안 담당이 아니었더라도 제어망 구조를 아는 경험으로 함께 적을 수 있습니다.
3우대 사항
정보보안기사, CISA, CISSP, ISMS인증심사원, CEH, Cloud, RPO 등 관련 자격 보유자를 우대합니다.
이렇게 볼 수 있어요
목록 끝의 RPO는 CMMC 제도에서 쓰는 이름입니다. 2026년 7월 사보는 CMMC 전담팀 전문가들이 CyberAB 공식 RPO에 등록돼 'RPA(Registered Practitioner Advanced) 및 RP(Registered Practitioner) 자격'으로 컨설팅한다고 소개했습니다. CMMC 관련 자격(RP·RPA)이나 준비 이력이 있다면 다른 보안 자격과 나란히 적는 것이 좋습니다.
컴퓨터공학, 정보보안 관련 전공자를 우대합니다.
이렇게 볼 수 있어요
자격요건의 기술진단 대상이 OS·WEB·WAS·DBMS와 네트워크라 컴퓨터공학이나 정보보안 전공에서 배우는 시스템 지식이 진단 업무에 직접 필요합니다. 전공이 다르다면 진단해 본 시스템 종류와 다룬 계층을 자세히 적으면 같은 지식을 실무로 보여 줄 수 있습니다.
글로벌 기업 및 해외 클라이언트 대상 프로젝트 참여 경험 보유자를 우대합니다.
이렇게 볼 수 있어요
인증 분야의 TISAX·SOC·CMMC는 해외 기준으로 진행하는 인증입니다. 해외 본사의 보안 감사에 대응했거나 해외 거래처의 보안 평가에 응해 본 경험이 있다면 상대 기관과 적용한 기준을 함께 쓰는 것이 이 우대와 인증 분야를 한 번에 설명하는 방법입니다.
국내/외 해킹대회 수상자 및 버그바운티 신고포상자를 우대합니다.
이렇게 볼 수 있어요
모의해킹 분야와 직접 이어지는 우대입니다. 대회는 이름과 연도를, 버그바운티는 신고한 서비스의 종류와 취약점 유형을 적으면 실력을 확인할 수 있는 기록이 됩니다.
영어 등 외국어 능력 우수자를 우대합니다.
이렇게 볼 수 있어요
사보에 따르면 CMMC 대응은 NIST SP 800-171 기반의 현황 진단으로 시작하므로 영어 원문 기준서를 읽고 통제 항목을 해석하는 일이 따라옵니다. 영어 기준서로 진단하거나 영문 보고서를 써 본 경험이 있다면 그 경험이 이 우대와 연결됩니다.
4기타 사항
- 게시일 : 2026년 10월 15일
- 고용형태 : 정규직
- 근무지 : 삼정KPMG 본사 (서울특별시 강남구 테헤란로 152 강남파이낸스센터 27층) (추정)
- 경력 조건 : 신입
- 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
전형과 지원
삼정KPMG 경력 공고는 공고마다 전형절차가 적혀 있고, 서류전형 뒤 인적성검사와 면접을 거쳐 최종합격 전에 'Risk Management 서류제출' 단계가 있는 공고가 많습니다. 면접 횟수는 공고마다 다르고, 이전에 지원한 이력은 전형에 영향을 주지 않습니다.
공고마다 다른 면접 횟수
공고마다 전형절차가 적혀 있고 기본형은 '서류전형 > 인적성검사 > 1차면접 > Risk Management 서류제출 > 최종합격'입니다. Digital본부와 Lighthouse Center 공고에는 2차면접이 더 있고, Deal Advisory 1본부 재무실사 공고는 3차면접까지 있습니다. 공고 하단 유의사항은 '적합한 인력을 채용 시 본 채용 공고는 조기 마감될 수 있음'이라고 적었습니다.
이렇게 볼 수 있어요
같은 법인 안에서도 지원할 본부에 따라 면접 준비의 길이가 달라집니다. 접수 기간 끝까지 공고가 유지된다고 기대하지 말고, 지원을 정했다면 서류를 미루지 않는 편이 낫습니다.
인성검사는 PC로 약 40분
채용 FAQ는 인성검사를 '면접 대상자에 한하여 개별적으로 수검 안내'하며 'PC로만 수검 가능하며, 모바일로는 응시 불가'이고 소요시간은 약 40분이라고 안내합니다. 지원 뒤 절차를 묻는 문답에는 '서류 전형 합격자에 한하여 인성검사를 실시하여 최종 면접 대상자를 선정'한다고 적었습니다.
이렇게 볼 수 있어요
안내를 받으면 PC가 있는 곳에서 40분을 비워 둬야 합니다. 서류 합격 연락과 인성검사 안내가 이어서 오므로 서류를 낸 뒤 메일을 자주 확인하는 것이 좋습니다.
부문에 따라 프레젠테이션·과제·영어 인터뷰
채용 FAQ는 면접이 '일반적인 질의 응답의 면접 방식'이고 '채용 부문에 따라 프레젠테이션, 사전 과제 브리핑, case 과제 해결, 그룹 면접, 1:1 면접 등' 다른 심사가 있을 수 있으며 '필요 시 영어 인터뷰도 추가될 수 있습니다'라고 안내합니다.
이렇게 볼 수 있어요
영어나 외국어를 우대하는 공고라면 면접에서 그 언어로 업무를 설명할 일이 생길 수 있습니다. FAQ가 심사 방식의 예로 프레젠테이션과 case 과제를 들었으므로, 지난 프로젝트 하나를 10분 안팎으로 설명할 수 있게 정리하는 편이 좋습니다.
최종합격 전 Risk Management 서류제출
투명성보고서는 채용 절차를 '엄격한 서류 전형 및 인성검사와 면접 전형'으로 운영하고 '입사 시 독립성 확인 및 독립성 검증 등을 통해 윤리 및 독립성 규정에 위배되지 않도록 특별 관리'한다고 적었습니다.
이렇게 볼 수 있어요
공고의 전형표에는 면접 뒤, 최종합격 바로 앞에 'Risk Management 서류제출' 단계가 있습니다. 투명성보고서는 입사 때 독립성 준수 서약서를 내고 본인(배우자 및 부양가족 포함)의 상장투자내역을 KICS에 입력한다고 적었으므로, 보유한 상장주식과 그 보유자를 미리 정리하면 입사 무렵의 독립성 절차에 바로 쓸 수 있습니다.
제출한 지원서는 수정할 수 없음
채용 FAQ는 '제출 완료된 입사지원서는 수정이 불가합니다'라고 안내합니다. 유효기간이 지난 어학 점수는 기재하지 않아도 되고, 증빙서류는 최종 합격 때 안내해 입사 당일 인사팀에 내면 된다고 적었습니다.
CPA가 없어도 지원할 수 있고 석사학위는 경력으로 따로 인정하지 않음
채용 FAQ는 'CPA 자격증이 없어도 지원이 가능합니다'라며 '모집 부문별 요구하는 자격증(ex. CFA, CISA, FRM, Oracle, SAP 등)이 다르기 때문에' 공고를 확인하라고 안내합니다. 석사학위와 경력을 묻는 문답에는 '석사학위는 별도 인정하지 않으며, 이전 경력은 모집 부문별 업무 특성에 따라 다르게 인정'한다고 답했습니다.
이렇게 볼 수 있어요
회계사 자격을 적지 않은 컨설팅·IT 공고는 자격으로 CISA·CISSP 같은 이름을 들거나 업무 경험을 요건으로 적었습니다. 석사 과정 기간을 경력 연차에 따로 더하지 않으므로, 연차를 셀 때는 실제로 일한 기간과 그 기간의 업무를 중심으로 적는 게 좋습니다.
다시 지원해도 불이익 없음
채용 FAQ는 '기존 지원 여부는 전형에 영향을 미치지 않습니다'라며 채용기준에 맞으면 언제든 지원할 수 있다고 안내하고, '중복지원의 경우 지원한 순서로 검토'한다고 적었습니다.
이렇게 볼 수 있어요
예전에 떨어진 적이 있어도 다시 지원할 수 있습니다. 여러 공고에 함께 지원하면 지원한 순서대로 보므로 가장 원하는 공고에 먼저 지원하는 것이 좋습니다.
이 공고만 다른 점
전형은 '서류전형 > 인적성검사 > 1차면접 > 2차면접 > Risk Management 서류제출 > 최종합격'입니다.
회사 기본 전형보다 면접이 한 번 많습니다. 채용 FAQ는 '필요 시 영어 인터뷰도 추가될 수 있습니다'라고 안내하므로, 외국어를 우대하는 이 공고라면 해외 인증 프로젝트 하나는 영어로도 설명할 수 있어야 합니다.
지원 전 준비할 것
- 1
지원할 보안 분야 정하기
공고는 '각 분야별 경력직 채용'이라고 밝혔습니다. 여덟 분야 가운데 경력이 가장 많은 분야를 정하고 지원서의 경력 요약에 그 분야 이름을 원문 그대로 쓰세요.
- 2
진단·인증 산출물 목록 만들기
직접 만든 체크리스트와 스크립트, 진단 보고서, 인증 심사 대응 문서를 종류별로 정리합니다. 고객사 이름을 밝힐 수 없다면 업종과 규모로 바꿔 적습니다.
- 3
12월 31일 마감 전 경력 기간 맞춰 보기
접수구분은 '신입'이지만 자격요건에는 2년 이상 경력이 있습니다. 채용 FAQ에 따르면 제출한 지원서는 수정할 수 없으므로 프로젝트 기간과 재직 기간이 서로 맞는지 확인한 뒤 2026년 12월 31일 마감 전에 제출합니다.