대규모 업무환경에서의 보안 솔루션 구축 경험에 대해 말씀해 주실 수 있나요?

인프라를 처음부터 설계하는 경험은 없었지만, 기존에 운영 중인 서비스의 보안 상태를 점검하고 개선 우선순위를 정하는 과정에 참여한 적이 있습니다.

오픈소스 취약점 스캐닝 도구(OWASP ZAP)를 활용해 팀 프로젝트의 보안 점검을 진행했는데, 예상보다 훨씬 많은 항목이 취약점으로 분류되었습니다. 모든 항목을 한꺼번에 수정하는 것은 현실적으로 불가능했기 때문에, 심각도와 공격 가능성을 기준으로 우선순위를 정하는 방식을 선택했습니다.

그 과정에서 배운 점은 보안 작업은 완료 상태가 없다는 것입니다. 하나를 수정하면 연결된 다른 부분에 영향이 생기는 경우가 있었고, 패치 이후 회귀 테스트가 반드시 필요하다는 걸 직접 경험했습니다.

또 하나는 스캐너가 탐지한 것이 전부가 아니라는 점입니다. 자동화 도구가 잡지 못하는 로직 취약점(인가 우회, 과도한 데이터 노출)은 직접 요청을 만들어 확인해봐야 했습니다. 이 경험 이후 보안을 점검할 때 도구와 수동 검토를 함께 사용하는 습관이 생겼습니다.