침투 테스트를 진행한 경험이 있다면, 그 과정에서의 주요 배운 점은 무엇이었나요?

솔직히 실제 침투 테스트를 현장에서 해 본 경험은 없습니다. 그래서 단계 이름을 외워 늘어놓기보다, 제가 지킬 핵심 원칙만 말씀드리고 싶습니다. 제가 가장 중요하게 보는 건 두 가지입니다. 하나는 기술 단계 이전에, 어디까지 해도 되는지 합의가 먼저라는 것입니다. 합의 없는 시도는 테스트가 아니라 공격이기 때문입니다. 다른 하나는 마지막 보고가 절차의 목적이라는 것입니다. 침투 테스트는 뚫는 게 아니라 막을 길을 알려 주려는 일이라, 보고가 없으면 앞 단계가 무의미하기 때문입니다. 그 사이의 정보 수집·약점 점검·통제된 시도는 합의된 범위를 넘지 않고, 확인되면 더 깊이 들어가지 않는 절제가 원칙입니다. 더 깊은 도구나 기법은 제가 단정할 자리가 아니라고 봅니다. 다만 합의가 출발이고 보고가 목적이며 그 사이는 절제한다는 원칙은 분명히 짚을 수 있습니다. 단계를 외우기보다, 왜 그 순서인지 원칙을 아는 게 맞다고 생각합니다. 핵심은, 아는 경계를 두되 합의 출발·절제·보고 목적이라는 원칙을 짚는다는 점입니다.