이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
보안 리스크를 평가할 때 가장 먼저 참고하는 지표는 CVSS 점수입니다. 취약점의 심각도를 수치로 표현한 기준으로, 9.0 이상이면 즉시 대응이 필요한 수준이고 낮을수록 우선순위를 조정할 수 있습니다. 하지만 CVSS 점수만으로 판단하면 서비스 맥락을 놓칩니다.
두 번째로 중요하게 보는 것은 공격 노출도입니다. 외부 인터넷에 직접 노출된 서비스의 취약점과, 내부 네트워크에서만 접근 가능한 시스템의 취약점은 위험도가 다릅니다. 인터넷 노출 여부와 인증 없이 접근 가능한지를 함께 보면 우선순위가 더 현실적으로 잡힙니다.
세 번째는 재발 이력입니다. 같은 유형의 취약점이 반복해서 발견된다면 절차나 코드 패턴에 구조적 문제가 있다는 신호입니다. 재발 이력을 추적하면 단발 대응이 아닌 근본 원인 해결로 접근할 수 있습니다.
보안 리스크 평가에서 CVSS 점수 같은 지표를 그대로 쓰는 것과 조직 맥락에 맞게 해석하는 것은 다른 결입니다. 공개된 취약점의 CVSS 점수가 높더라도, 우리 시스템에 해당 공격 경로가 없으면 실제 위험도는 낮을 수 있습니다.
학습 중에 배운 건 시스템 노출도와 공격 가능 경로를 CVSS 점수와 함께 보는 방식이었습니다. 동일한 취약점이라도 시스템 구성에 따라 위험도가 달라지는 결이 있습니다. 지표를 읽는 것보다 그 지표가 우리 환경에서 의미하는 것을 해석하는 것이 더 중요한 결입니다. 맥락 없는 점수는 판단의 기준이 되기 어렵다는 걸 이해하고 있습니다.
맥락 해석이 리스크 평가를 완성시키는 결이라고 생각합니다.
보안 리스크 평가 지표를 학습했지만, 실제 운영 환경에서 어떤 지표가 실질적으로 더 유용한지는 직접 경험해봐야 알 수 있는 자리가 있습니다. 같은 지표라도 팀이 어떻게 활용하느냐에 따라 가치가 달라집니다.
특히 자산 가치 평가처럼, 어떤 시스템이 얼마나 중요한지를 숫자로 표현하는 것은 조직마다 기준이 다릅니다. 이 부분은 학습 자료보다 실제 조직의 우선순위를 이해해야 잡을 수 있는 결입니다. 지표를 아는 것이 시작이고, 그것을 실제 판단에 쓰는 것은 경험이 더해져야 합니다. 어떤 지표가 이 조직에서 더 의미 있는지를 파악하는 것이 입사 초반의 과제입니다.
지표 활용 역량은 현장에서 완성되는 결이라고 봅니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 삼성물산 리조트부문 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.