이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
보안 정책을 수립할 때 가장 어려웠던 점은 기술 부서와 비기술 부서 간의 온도 차이였습니다. 보안 담당 입장에서는 당연한 제약이 현업 팀에는 업무 방해로 느껴지는 경우가 있었습니다. 인턴 시절 내부 보안 정책 초안 작성을 보조하며, 정책이 왜 필요한지 이유를 함께 설명하지 않으면 형식적으로만 따르는 결과가 나온다는 것을 알았습니다. 이 문제를 극복하기 위해 정책 초안을 만들기 전에 주요 부서의 의견을 먼저 수렴했습니다. 어떤 업무 방식이 제약을 받는지를 미리 파악하면, 현실적인 예외 조항을 설계할 수 있습니다. 완벽한 정책보다 실제로 지켜지는 정책이 더 가치 있다는 점을 이 경험에서 배웠습니다. 정책은 배포하는 것이 아니라 설득하는 것이라고 생각합니다.
보안 정책을 수립해 배포했는데 현업 부서 반발로 실질적인 운영이 되지 않은 경험을 사례로 봤습니다. 보안 케이스 분석에서 기술팀 중심으로 수립한 정책이 현업 업무 흐름을 과도하게 제한해 일부 팀이 정책 적용 예외를 지속적으로 요청하는 상황이 된 경우가 있었습니다. 정책의 존재와 준수는 다른 문제였습니다. 이해관계자 없이 만든 정책은 적용 단계에서 저항을 만든다는 것을 배웠습니다.
보안 정책은 기술적으로 완벽해도 현업이 준수할 수 있어야 효과가 있습니다. 이를 반영해 정책 수립 시 초안 작성 후 현업 부서 대표자와 검토 세션을 진행해 업무 제약 수준을 조율하는 방식을 제안했습니다. 이 사례가 이후 보안 정책 수립 시 초안 완성 전 현업 검토를 선행 단계로 두는 기준이 됐습니다. 보안 정책의 효과는 기술 완성도보다 현업이 실제로 준수할 수 있는 구조에서 나옵니다.
보안 정책을 신규 입사자 입장에서 생각해본 경험이 있습니다. 처음 입사했을 때 보안 정책 문서가 방대해서 어디서 시작해야 할지 모르고, 업무를 하면서 자연스럽게 규칙을 하나씩 위반하다가 뒤늦게 알게 되는 경우가 있었습니다. 신규 입사자 입장에서는 어떤 행동이 금지되는지 한눈에 보이는 요약이 전체 문서보다 훨씬 실용적입니다. 이 경험으로, 보안 정책의 가시성은 문서 완성도만큼 입문자가 빠르게 핵심을 파악할 수 있도록 구조화하는 것이 중요하다는 것을 배웠습니다. 이를 반영해 전체 정책과 별개로 새 구성원을 위한 보안 핵심 10개 요약 카드를 만들어 온보딩 패키지에 포함하는 방식을 제안했습니다.
이 관점이 이후 정책 수립 시 전문가용 전체 문서와 실무자용 요약본을 분리 작성하는 습관을 만들었습니다. 보안 정책의 실효성은 문서 완성도만큼 대상자가 읽고 기억할 수 있는 가독성에 달려 있습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 그래비티랩스 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.