기업 채용 분석/토스

[토스뱅크] Security Researcher 공고 분석

오픈소스 반입·배포 정책과 SBOM·SCA 기반 취약점 관리 체계를 만들고 인프라·웹·모바일 취약점 진단과 침투테스트도 맡는, 토스뱅크 Security Division Security Red Team의 Security Researcher(오픈소스 보안) 공고입니다. 공고는 서류검토와 인터뷰에서 후보자의 전문성에 따라 합류 후 업무 비중을 조정해, 인프라·모의해킹 진단에 집중할 수도 오픈소스 보안 체계 구축에 더 집중할 수도 있다고 적었습니다. 연차 조건은 없고 오픈소스 반입·활용 관리 경험을 첫 자격 요건으로 들었습니다.

이 공고 분석은 2026년 10월 27일에 이뤄졌습니다. 이후 채용이 종료되었을 수 있습니다.

이 자리가 왜 생겼을까요

2025년 11월 토스 커리어 아티클은 토스뱅크 Cybersecurity Tech Team의 Security Researcher들이 외주의 도움 없이 취약점 관리의 A to Z를 이끌고 있다고 소개했습니다. 2026년 3월 같은 채널의 인터뷰에서 토스뱅크 Head of Technology 박준하 님은 금융 시스템에 선례가 없다는 반대에도 모바일 서비스 개발에 다양한 오픈소스를 도입했고, 지금도 많은 오픈소스를 안정적으로 활용하고 있다고 말했습니다. 이 공고는 Security Division의 Red Team에서 오픈소스 반입·배포 정책과 SBOM, CI/CD 파이프라인의 SCA 스캔 자동화를 맡기고, 합류 후 업무 비중은 후보자의 전문성에 따라 조정한다고 적었습니다. 오픈소스를 많이 쓰는 개발 조직과 보안 기준을 맞춰 본 경험이 있다면 도입 속도를 늦추지 않으면서 리스크를 걸러 낸 방법이 지원서의 중심이 됩니다.

토스가 지금 어떤 사업에 집중하고 있는지는 토스 채용 분석에서 이어서 볼 수 있습니다.

1하게 될 업무

  • 오픈소스 반입·배포 정책을 수립하고 사내 가이드라인을 운영합니다.

    이렇게 볼 수 있어요

    토스뱅크 Head of Technology는 출범 때부터 다양한 오픈소스 도입을 주장했고 지금도 많은 오픈소스를 안정적으로 활용하고 있다고 소개했습니다. 정책을 새로 세우는 일이 첫 업무라, 반입 심사 기준이나 허용 버전 정책을 만들어 본 경험이 있다면 기준을 정한 근거와 적용 범위가 첫 업무의 출발점이 됩니다.

  • 신규 서비스 보안성심의·검토 프로세스에 오픈소스 반입 항목을 포함해 사용 오픈소스의 보안 리스크를 식별·검토합니다.

    이렇게 볼 수 있어요

    기존 보안성심의 절차에 오픈소스 항목을 더하는 일입니다. 출시 전 심의에서 오픈소스 때문에 일정이나 구성이 바뀐 사례를 겪었다면 어떤 리스크로 무엇을 바꿨는지 꺼낼 수 있습니다.

  • SBOM을 생성·관리하고, Nexus IQ 등 SCA 도구 기반으로 CVE·취약점을 스캔하고 조치를 트래킹합니다.

    이렇게 볼 수 있어요

    도구 이름까지 업무에 적혀 있고 우대 사항에는 Nexus IQ를 포함한 SCA 툴 다섯 가지가 있습니다. 써 본 도구 이름과 함께 몇 개 서비스·저장소의 SBOM을 관리했고 조치율을 어떻게 추적했는지 숫자로 보여 줄 수 있습니다.

  • CI/CD 파이프라인에 SCA 스캔 자동화를 통합해 오픈소스 취약점을 개발 초기 단계에서 조기 탐지·차단하는 Shift Left 체계를 구축합니다.

    이렇게 볼 수 있어요

    스캔 결과로 빌드를 막는 지점이 생기므로 개발 조직과 기준을 맞춰야 하는 업무입니다. 차단 기준을 정하고 예외를 처리해 본 경험이 있다면 오탐이나 개발 일정과 어떻게 조율했는지가 이 업무의 사례가 됩니다.

  • 발견된 취약점(인프라·오픈소스 공통)의 조치를 이행하기 위해 여러 팀 담당자와 협업해 개선 활동을 합니다.

    이렇게 볼 수 있어요

    취약점을 찾는 데서 끝나지 않고 조치까지 따라갑니다. 2025년 11월 커리어 아티클은 토스뱅크 Security Researcher들이 외주의 도움 없이 취약점 관리의 A to Z를 이끈다고 소개했습니다. 조치를 미루는 팀과 일정을 합의해 마감까지 끌고 간 사례가 있다면 합의한 일정과 실제 조치 결과를 함께 적을 수 있습니다.

  • 개발자 대상 오픈소스 보안 정책 교육을 운영하고, 인증심사(OpenChain 등 금융권 규제 대응) 관련 오픈소스 항목의 기술 검토를 지원합니다.

    이렇게 볼 수 있어요

    교육과 인증 대응이 함께 있습니다. 우대 사항의 OpenChain(ISO/IEC 5230, ISO/IEC 18974) 실무 경험이 이 업무와 이어지고, 개발자를 대상으로 보안 교육을 운영해 본 경험은 이 업무의 교육 부분과 같습니다.

  • 시스템에 대한 정기 및 비정기 인프라(서버, 네트워크, DBMS, 정보보호솔루션 등) 취약점 진단을 수행합니다.

    이렇게 볼 수 있어요

    오픈소스 보안과 별도로 인프라 진단도 업무입니다. 진단한 자산 종류와 주기, 직접 만든 진단 스크립트가 있다면 이력서 안내가 요구한 '취약점 진단 스크립트를 개발하고 이를 개선한 경험'과 함께 보여 줄 수 있습니다.

  • 웹/모바일/침투테스트 등 다양한 관점에서 취약점 진단을 수행하고, 소스코드 레벨에서 취약점을 발견해 실제 위협인지 테스트합니다.

    이렇게 볼 수 있어요

    소속이 모의해킹을 맡는 Red Team입니다. 소스코드에서 찾은 취약점을 실제로 악용할 수 있는지 재현해 본 경험이 이 업무와 이어지고, 그 과정은 SCA로 찾은 CVE의 조치 우선순위를 정할 때도 꺼낼 수 있습니다.

2자격 요건

  • 오픈소스 반입·활용 관리 경험이 필요합니다. 오픈소스 사용 현황 파악, 반입 심사, 버전/취약점 관리, 사내 가이드라인 운영 등 정책·프로세스 운영 경험도 포함되고, SCA 도구를 활용한 CVE 스캔·조치 트래킹 등 기술적 경험이면 더 좋습니다.

    이렇게 볼 수 있어요

    정책 운영 쪽 경험은 반입·배포 정책과 보안성심의 업무로, 도구 쪽 경험은 SBOM 관리와 파이프라인 자동화 업무로 이어집니다. 두 쪽을 다 해 봤다면 정책으로 정한 기준을 도구에서 어떻게 강제했는지가 이 팀이 만들려는 체계와 같은 모양의 사례입니다.

  • CVE·취약점 관리 프로세스에 대한 기본 이해가 필요합니다.

    이렇게 볼 수 있어요

    발견한 취약점의 조치를 여러 팀과 이행하는 업무가 있습니다. 심각도 판단과 조치 기한, 예외 승인처럼 발견 뒤의 절차를 어떻게 운영했는지를 예로 들 수 있습니다.

  • 기본적인 IT 및 보안 인프라 환경에 대한 이해가 필요합니다.

    이렇게 볼 수 있어요

    업무에 서버, 네트워크, DBMS, 정보보호솔루션 진단이 있습니다. 진단해 본 인프라 자산의 종류를 구체적으로 밝혀 두면 인터뷰에서 인프라·모의해킹 진단 쪽 업무 비중을 정할 때 근거가 됩니다.

  • 다양한 팀과 원활하게 협업하기 위해 '탁월한' 커뮤니케이션 능력이 필요합니다.

    이렇게 볼 수 있어요

    Red Team은 제품 조직, 그리고 Legal & Compliance, Platform Engineering, Internal Audit 조직과 협업한다고 팀 소개에 적혀 있습니다. 보안 요구를 개발 조직이 받아들이게 만든 사례가 있다면 이력서 안내의 '다양한 조직과 복잡한 문제를 해결해본 경험'으로 쓸 수 있습니다.

3우대 사항

  • Nexus IQ, FOSSA, Black Duck, Snyk, OWASP Dependency-Check 등 SCA 툴 운용 경험을 우대합니다.

    이렇게 볼 수 있어요

    업무에 Nexus IQ가 이름으로 나옵니다. 다른 SCA 툴을 썼다면 그 툴로 운영한 규모와 정책을 설정해 본 경험을 함께 소개할 수 있습니다.

  • OpenChain(ISO/IEC 5230, ISO/IEC 18974) 등 오픈소스 국제 인증 실무 경험을 우대합니다.

    이렇게 볼 수 있어요

    업무에 OpenChain 등 인증심사의 오픈소스 항목 기술 검토가 있습니다. 인증을 준비하며 맡은 역할과 심사에서 지적받은 항목을 어떻게 고쳤는지가 인증 기술 검토 업무에서 그대로 필요한 경험입니다.

  • 오픈소스 커뮤니티 기여 경험 또는 OSPO·컴플라이언스 유사 직무 경험을 우대합니다.

    이렇게 볼 수 있어요

    OSPO는 회사의 오픈소스 사용 정책을 운영하는 조직이라 이 공고의 반입·배포 정책 업무와 같은 종류의 일입니다. 커뮤니티 기여 경험이 있다면 기여한 프로젝트에서 취약점 보고나 보안 패치에 참여했는지를 밝힐 수 있습니다.

  • 금융권 규제(망분리, 전자금융감독규정 등)에 대한 이해를 우대합니다.

    이렇게 볼 수 있어요

    업무의 인증심사 지원이 '금융권 규제 대응'으로 적혀 있습니다. 망분리 환경에서 외부 패키지를 내부망으로 들이는 절차를 운영해 봤다면 반입·배포 정책 업무를 금융권 망분리 조건에서 이미 다뤄 본 것입니다.

  • CISSP, 보안기사, OSCP, CREST 등 보안 관련 자격증을 우대합니다.

    이렇게 볼 수 있어요

    관리 쪽 자격(CISSP)과 공격 실무 쪽 자격(OSCP, CREST)이 함께 들어 있어, 보유한 자격을 근거로 업무 비중을 오픈소스 체계와 진단 가운데 어디에 둘지 설명할 수 있습니다.

4기타 사항

  • 게시일 : 2026년 9월 9일
  • 고용형태 : 정규직
  • 근무지 : 서울특별시 강남구 테헤란로 131, 13층 (역삼동, 한국지식재산센터) (추정)
  • 경력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
  • 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.

쓰는 기술

공고 본문에 적힌 기술만 모은 목록입니다.

  • SBOM
  • SCA
  • Nexus IQ
  • FOSSA
  • Black Duck
  • Snyk
  • OWASP Dependency-Check
  • CI/CD

전형과 지원

토스커뮤니티는 합류 여정을 한 페이지로 공개해 두었습니다. 공통 골격은 같지만 계열사와 공고에 따라 단계가 더해지거나 빠지므로, 공고 페이지에 적힌 단계를 함께 확인해야 합니다.

  • 기본 다섯 단계

    지원서 접수, 직무 인터뷰, 문화적합성 인터뷰, 레퍼런스 체크, 처우 협의와 합류 결정 순입니다. 안내에는 '포지션에 따라 사전 과제/ 전화 인터뷰 등의 전형이 추가될 수 있어요'라고 적혀 있습니다.

    이렇게 볼 수 있어요

    공고마다 앞 단계가 다르므로 일정을 잡을 때 공고 페이지를 먼저 봐야 합니다. 같은 계열사 안에서도 사전 과제가 붙은 공고와 없는 공고가 섞여 있습니다. 토스뱅크 Customer Success Specialist(계약직)와 토스 Financial Data Analyst (FP&A) 공고는 레퍼런스 체크와 처우 협의 없이 문화적합성 인터뷰 뒤 바로 최종 합격으로 갑니다. 토스씨엑스 B2C 패션몰 단순문의 상담원 공고는 서류접수 뒤 단순 화상 인터뷰 한 번을 거쳐 최종합격으로 갑니다. 둘 중 하나만 빠진 공고도 있습니다. 토스증권 Executive Assistant 공고는 레퍼런스 체크 뒤 처우 협의 없이 최종 합격으로 갑니다. Category MD (신선식품 Unit Leader - 과일, 채소), Category MD (뷰티), Category MD (가공식품), Category MD (생활 - 가구/홈데코/주방용품), Search Quality Operations Manager, 토스인슈어런스 Commission Manager 공고는 처우 협의가 레퍼런스 체크보다 먼저 옵니다.

    토스커뮤니티 합류 여정

  • 문화적합성 인터뷰가 따로 있다

    '인터뷰어는 토스의 핵심가치를 누구보다 잘 이해하고 있는 동료들로 구성되어 있어요'라고 적혀 있고, '지원자를 검증하기 위해 일방적으로 질문을 던지는 것이 아니라, 토스커뮤니티 문화에 대해 서로 진솔한 대화를 나누는 방식으로 진행해요'라고 설명합니다.

    이렇게 볼 수 있어요

    직무 경험만 준비하면 한 단계를 비워 두게 됩니다. 팀 문화 페이지의 열두 항목 가운데 본인 경험으로 이야기할 수 있는 것을 골라 사례를 미리 정리해 두면 이 단계에서 꺼낼 것이 생깁니다. 토스씨엑스 B2C 패션몰 단순문의 상담원처럼 이 단계 없이 단순 화상 인터뷰 한 번으로 끝나는 공고도 있습니다.

    토스커뮤니티 합류 여정

  • 인터뷰는 전부 온라인이다

    '모든 인터뷰는 온라인(Google Meet/ Zoom)으로 진행하고 있어요'라고 적혀 있고 '최대한 1:1 커뮤니케이션을 지향'한다고 밝혔습니다. 인터뷰어는 '합류하신다면 가장 많은 협업을 하게 되실 동료들'입니다.

    이렇게 볼 수 있어요

    이동 시간이 들지 않아 재직 중에도 일정을 잡기 쉽습니다. 안내가 조용한 개인 공간과 이어폰 사용을 권하고 있으므로 환경을 미리 확인해 두는 편이 좋습니다.

    토스커뮤니티 합류 여정

  • 지원서는 자유 양식이다

    '지원자분의 역량을 최우선적으로 검토하기 위해 자유 양식의 지원서를 받고 있어요'라고 적혀 있습니다. 개발 직군은 '기술 숙련도를 파악하기 위해 이력서 상에 기술 스택을 꼭 작성해 주세요'라는 요구가 따로 붙습니다.

    이렇게 볼 수 있어요

    정해진 문항이 없으므로 무엇을 보여 줄지 직접 정해야 합니다. 안내는 경험을 나열하기보다 '임팩트와 러닝 포인트'를 적으라고 했고, 주민등록번호와 자택 주소, 연봉은 필수가 아니라고 밝혔습니다. 제출은 PDF를 권합니다.

    토스커뮤니티 합류 여정

  • 계열사 간 중복 지원이 된다

    '원하는 포지션이라면 계열사 간 중복 지원도 가능해요'라고 적혀 있습니다. 토스, 토스뱅크, 토스페이먼츠, 토스인슈어런스, 토스증권, 토스씨엑스 등이 함께 열거돼 있습니다.

    이렇게 볼 수 있어요

    같은 직무를 여러 계열사가 채용하고 있을 때 하나만 고를 필요가 없습니다. 다만 계열사마다 도메인이 다르므로 지원서의 강조점은 각각 맞추는 편이 낫습니다.

    토스커뮤니티 합류 여정

    • 지원 전 준비할 것

    1. 1

      AI 도구 활용 사례 적기

      이력서 안내가 실제 업무나 프로젝트에서 AI 도구를 쓴 경험이 있다면 어떤 상황에서 왜 썼는지 꼭 적어 달라고 했습니다. 진단이나 취약점 분석에 AI를 쓴 경우를 하나 골라 정리합니다.

    2. 2

      진단 스크립트 개발·개선 이력 정리하기

      직접 만든 진단 스크립트나 자동화 도구를 골라 처음 만든 이유와 개선 전후 달라진 점을 적습니다. 안내는 '단순한 프로젝트 나열식 서류는 통과의견을 받기 어려워요'라고 밝혔습니다.

    3. 3

      원하는 업무 비중 정해 두기

      인터뷰에서 전문성에 따라 인프라·모의해킹 진단과 오픈소스 보안 체계 구축 사이의 비중을 조정한다고 했습니다. 어느 쪽에 무게를 두고 싶은지와 그 근거가 되는 경험을 미리 정리합니다.

    보안 엔지니어 지원을 준비한다면