KIMKYUTAE.COM · ©
OSCP+ CPE란?
얼마 전 OSCP+ 시험에 대해 정리하면서 OSCP와 OSCP+의 차이를 간단하게 언급했다.
OSCP+ 시험에 합격하면 OSCP와 OSCP+를 함께 취득하게 되는데, 두 자격의 가장 큰 차이 중 하나가 유효기간이다.
OSCP는 만료되지 않지만 OSCP+의 ‘+’는 3년의 유효기간이 있다.
여기서 자연스럽게 궁금해지는 부분이 있다.
“그럼 OSCP+는 3년마다 그 힘든 시험을 다시 봐야 하는 걸까?”
꼭 그렇지는 않다.
OffSec은 시험을 다시 보지 않고도 지속적인 보안 교육과 활동을 통해 OSCP+를 갱신할 수 있는 CPE(Continuing Professional Education) 제도를 운영하고 있다.
이번 글에서는 CPE가 무엇인지, OSCP+를 계속 유지하려면 무엇을 해야 하는지 가볍게 정리해보려고 한다.
CPE가 뭘까?
CPE는 Continuing Professional Education, 우리말로 표현하면 지속적인 전문 교육 정도의 의미다.
자격증을 한 번 취득했다고 해서 그때의 지식이 계속 최신 상태인 것은 아니다.
특히 보안 분야는 새로운 취약점과 공격 기법이 계속 등장하고 운영체제나 클라우드, 보안 기술도 빠르게 변한다.
그래서 OSCP+는 자격을 취득한 이후에도 계속 보안 공부를 하고 있다는 것을 CPE라는 점수로 확인한다.
시험을 다시 보는 대신 평소에 공부하고 활동한 내용을 인정받는 방식이라고 보면 이해하기 쉽다.
3년 동안 총 120 CPE가 필요하다
현재 OffSec의 기준은 OSCP+의 3년 유효기간 동안 총 120 CPE를 쌓는 것이다.
여기서 한 가지 주의해서 볼 부분이 있다.
120을 3으로 나누면 1년에 40이지만, 매년 40 CPE를 반드시 채워야 한다는 의미는 아니다.
핵심은 3년의 인증 주기 동안 누적 120 CPE를 충족하는 것이다.
따라서 특정 연도에 활동이 많고 다른 해에는 적을 수도 있다.
다만 예전에 했던 공부를 가져와서 점수를 받을 수 있는 것은 아니다.
기본적으로 OSCP+를 취득한 이후 수행한 활동이어야 하고, 같은 교육이나 실습을 반복했다고 해서 계속 새로운 CPE가 인정되는 것도 아니다.
어떤 활동이 CPE로 인정될까?
CPE라고 하면 OffSec 교육만 들어야 할 것 같지만 범위는 생각보다 넓다.
OffSec의 교육과 실습뿐 아니라 외부 보안 교육, Webinar, 기술 발표, 보안 연구 등의 활동도 CPE로 신청할 수 있다.
외부 과정의 경우에는 수료증이나 참석 증빙 같은 자료가 필요하고, 제출한 활동이 실제로 자신의 자격 분야와 관련된 전문성 향상 활동인지 OffSec의 확인을 받는다.
즉 단순히 “보안 관련 일을 했다”기보다는 무엇을 새롭게 공부하고 경험했는지를 증명할 수 있는 활동이 중요하다.
기술문서나 연구글 역시 조건에 따라 CPE 대상으로 신청할 수 있지만, 일반적인 짧은 블로그 글을 작성했다고 자동으로 CPE가 부여되는 것은 아니다.
나중에 OSCP+를 취득하게 된다면 수료증이나 세미나 참석 기록 같은 증빙자료는 따로 모아두는 것이 좋을 것 같다.
CPE 120점만 모으면 끝일까?
여기서 한 가지 중요한 부분이 있다.
CPE 120점을 채우는 것만으로 OSCP+ 유지 조건이 모두 끝나는 것은 아니다.
OSCP+를 유지하려면 인증 기간 동안 자격 유지 Coverage 역시 관리해야 한다.
현재 OffSec에서는 대표적으로 AMF와 AMP 두 가지 방법을 제공하고 있다.
AMF
Annual Maintenance Fee로 말 그대로 자격 유지에 초점을 둔 방식이다.
현재 기준 비용은 연 $145다.
별도의 실습 환경이나 CPE 콘텐츠 제공보다는 자격 유지 Coverage 자체가 목적이다.
AMP
Annual Membership Program으로 현재 기준 연 $299다.
자격 유지 Coverage와 함께 Proving Grounds Practice, CPE 대상 콘텐츠와 일부 OffSec 학습·실습 환경 등이 포함된다.
자격 유지가 주목적이고 외부 교육이나 다른 플랫폼을 이용해 CPE를 채울 계획이라면 AMF가 경제적이다.
반대로 OSCP+ 취득 후에도 OffSec의 PG Practice나 관련 실습 환경을 계속 이용할 생각이라면 AMP가 편할 수 있다.
현재 가격이 그대로 유지된다고 단순 계산하면 3년간 AMF는 $435, AMP는 $897이다.
물론 가격과 제공 혜택은 앞으로 변경될 수 있으므로 실제 가입 시점에는 공식 정보를 다시 확인해야 한다.
OSCP+ 갱신 방법은 CPE만 있는 것은 아니다
OSCP+를 유지하는 방법은 CPE 120점을 쌓는 것 하나만 있는 것은 아니다.
현재 OffSec에서는 CPE 외에도 재인증 시험이나 다른 OffSec 자격 취득을 이용한 갱신 방법을 제공하고 있다.
첫 번째는 지금까지 설명한 3년 동안 총 120 CPE를 충족하는 방법이다.
두 번째는 OSCP+ 재인증 시험을 보는 방법이다. 현재 기준으로 만료가 가까워지면 재인증 시험을 통해 ‘+’를 다시 갱신할 수 있다.
세 번째는 OffSec에서 인정하는 다른 자격 시험에 합격하는 방법이다.
현재 OSCP+ 갱신 대상으로 인정되는 자격에는 OSWA, OSEP, OSWE, OSED, OSMR, OSEE, OSAI+ 등이 포함되어 있다.
인정 자격을 취득하면 해당 자격 합격일 기준으로 OSCP+가 3년 연장된다
따라서 OSCP+ 이후에 OSEP 같은 다음 단계의 OffSec 자격을 준비할 계획이라면 CPE만을 목적으로 별도의 활동을 만들기보다는 다음 자격을 준비하는 과정에서 자연스럽게 갱신할 수도 있다.
다만 어떤 방법을 선택하든 자격 유지 Coverage 조건은 별도로 확인할 필요가 있다.
‘+’가 만료되면 OSCP도 없어질까?
이 부분은 기존 OSCP+ 글에서도 언급했지만 다시 짚어둘 필요가 있다.
OSCP+가 만료되더라도 OSCP는 사라지지 않는다.
OSCP는 현재 만료되지 않는 자격이고, OSCP+의 ‘+’ 부분에 3년이라는 유효기간이 적용된다.
따라서 OSCP+를 갱신하지 않았다고 해서 어렵게 취득한 OSCP 자격 자체를 잃는 것은 아니다.
개인적으로는 이 구조가 꽤 합리적으로 느껴진다.
시험에 합격했다는 사실은 계속 인정하면서, 최근까지 관련 기술을 공부하고 있다는 것을 ‘+’로 별도로 표현하는 방식이기 때문이다.
마치며
처음 OSCP+의 유효기간이 3년이라는 것을 봤을 때는 조금 의아했다.
23시간 45분 동안 실기 시험을 보고 보고서까지 제출해서 취득한 자격을 3년마다 다시 갱신해야 한다고 생각하면 부담스럽게 느껴질 수 있다.
하지만 CPE 제도를 살펴보면 꼭 시험을 다시 치러야 하는 구조는 아니다.
자격 취득 후에도 계속 보안 공부와 활동을 이어가면서 3년 동안 총 120 CPE를 쌓고 필요한 유지 조건을 충족하면 OSCP+를 갱신할 수 있다.
자격증 취득이 공부의 끝이 아니라 이후에도 계속 공부하고 있다는 것을 ‘+’로 표시한다는 의미에서는 OSCP+라는 이름과도 꽤 잘 어울리는 제도라는 생각이 든다.
참고한 공식 자료
- OffSec CPE Program and Annual Maintenance Handbook
- OffSec Annual Maintenance Fee (AMF) FAQ
- OffSec Annual Membership Program (AMP) FAQ
- OffSec Recertification Exam FAQ
- Changes to the OSCP
※ 이 글은 2026년 9월 기준 OffSec이 공개한 공식 자료를 바탕으로 작성했다. CPE 인정 기준, 비용, 갱신 대상 자격 및 정책은 변경될 수 있으므로 실제 CPE 등록이나 갱신 시에는 OffSec 공식 문서를 다시 확인하는 것을 권장한다.
