이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
정보보호 정책을 수립할 때 가장 중요한 것은 '무엇을 지켜야 하는가'를 먼저 정의하는 것입니다. 모든 정보를 같은 수준으로 보호하려고 하면 오히려 정책이 흐릿해지기 때문입니다. 정보 자산 목록을 만들고, 각각의 민감도와 노출 시 피해 수준을 평가하여 우선순위를 정해야 합니다. 그다음으로 중요한 것은 정책이 실제로 지켜질 수 있는가입니다. 아무리 엄격한 정책도 운영자가 따르지 않으면 의미가 없습니다. 내부 교육과 모니터링 체계가 정책과 함께 설계되어야 하며, 정책은 주기적으로 위협 환경 변화에 맞춰 업데이트되어야 합니다.
지켜지는 정책이 강한 정책입니다. 우선순위와 실행 가능성, 이 두 가지가 정책 설계의 핵심입니다.
정보보호 정책을 만들 때 법적 요건과 실제 업무 흐름 사이의 균형이 중요해요. 규정 준수만 앞세우면 현장에서 정책을 우회하게 되거든요. 저는 정책 수립 시 현업 담당자의 업무 방식을 먼저 파악하고, 그 흐름 안에 보안 통제를 자연스럽게 녹이는 방향을 선호해요.
접근 권한 최소화, 암호화, 로그 기록은 기본 원칙이지만, 적용 수준은 정보의 중요도에 따라 달라져야 해요. 너무 촘촘하면 업무가 막히고, 너무 느슨하면 사고가 나요. 정책의 실효성은 준수율로 측정돼야 하고, 그 수치가 낮으면 정책이 아니라 환경을 바꿔야 해요. 균형을 잡는 감각이 정책 설계자의 핵심 역량이에요.
정보보호 정책은 예방만으로 완성되지 않아요. 사고가 났을 때 어떻게 탐지하고, 보고하고, 대응하는지까지 설계되어야 해요. 저는 정책을 수립할 때 예방-탐지-대응-복구의 네 단계를 모두 포함해야 한다고 생각해요. 예방 위주의 정책은 사고가 났을 때 혼란이 커져요. 또 정책이 문서로만 존재하는 게 아니라, 정기적인 모의 훈련과 감사를 통해 실제 효과를 점검하는 게 중요해요. 정보보호는 한 번 만들면 되는 게 아니라 위협 환경과 함께 진화하는 체계예요. 그 인식이 정책의 품질을 결정해요.
훈련이 없는 정책은 종이 위의 약속이에요. 사고 시나리오를 미리 경험한 조직이 더 빠르고 침착하게 대응해요.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 삼성웰스토리 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.