이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
개발 보안 프로세스 수립 경험은 아직 초기 단계이지만, 인턴 시절 위협 모델링(Threat Modeling) 세션에 참관했습니다. STRIDE 프레임워크를 기반으로 각 기능 모듈에서 어떤 위협이 발생할 수 있는지를 식별하는 과정을 지켜봤습니다. 이 경험을 통해 보안은 코드 작성 후가 아니라 설계 단계부터 같이 고려해야 비용이 낮다는 것을 이해했습니다. 코드 리뷰 단계에서는 `SAST 도구`를 파이프라인에 연동해 정적 분석 결과를 자동으로 검토하도록 설정하는 방식을 배웠습니다. 릴리즈 전에는 외부 접점이 있는 기능에 대한 보안 테스트를 별도로 수행하는 것이 중요합니다. 개발 보안 프로세스의 핵심은 개발자에게 부담이 아닌 자동화된 안전망으로 느껴지게 만드는 것이라고 생각합니다. 보안 문화가 정착되어야 프로세스가 지속됩니다.
인턴 프로젝트에서 기능 구현이 어느 정도 완료된 뒤에 보안 요건이 추가된 경험이 있습니다. 기존 코드 구조와 맞지 않는 인증 로직을 끼워 넣어야 했고, 보안 코드가 특정 지점에 집중된 상태가 됐습니다. 처음부터 보안을 설계에 포함했다면 더 자연스럽게 구조에 녹아들었을 것이라는 것을 이해하게 됐습니다. 이후에는 설계 단계에서 어떤 데이터가 민감한지, 어떤 경로가 인증을 거쳐야 하는지를 먼저 정리하는 방식을 배웠습니다. 보안은 기능에 추가하는 것이 아니라 설계부터 함께 짜야 구조적으로 안전한 코드가 됩니다.
이 경험이 이후 개발 프로젝트 시 보안 요건을 설계 초기에 포함하는 기준이 됩니다. 개발 보안 프로세스의 핵심은 보안 검토를 마지막 단계에 추가하는 것이 아니라 설계 시점부터 보안 요건을 함께 정의하는 것이라는 원칙을 지킵니다.
위협 모델링 세션에 참관하면서 같은 시스템을 설계자 관점과 공격자 관점으로 동시에 보는 방식을 처음 접했습니다. 설계자는 기능이 잘 작동하는지를 보지만, 공격자는 기능의 경계와 예외 경로를 봅니다. STRIDE 모델을 통해 위장·변조·비인가 노출·부인·서비스 거부·권한 상승 각 유형이 어떤 지점에서 발생할 수 있는지를 체계적으로 보는 방식을 배웠습니다. 이 시각이 생기니 코드를 볼 때 기능 동작보다 입력 검증과 권한 경계가 먼저 눈에 들어오기 시작했습니다. 보안은 나중에 검토하는 것이 아니라 설계 단계부터 다른 시각으로 보는 훈련이 필요하다는 것을 그 참관 경험에서 배웠습니다.
이 관점이 이후 개발 보안 프로세스 참여 시 위협 모델 수립 단계를 설계 초기에 포함하는 기준이 됩니다. 개발 보안 프로세스의 출발점은 코드 리뷰가 아니라 설계 단계에서 위협 모델을 함께 만드는 것에 있다는 원칙을 지킵니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 카카오모빌리티 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.