면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
정보보안 동아리에서 가상의 스타트업을 가정해 ISMS 인증 준비 시뮬레이션을 진행했습니다. 먼저 인증 범위를 서버 인프라와 고객 데이터 처리 시스템으로 한정하고, 자산 목록을 만든 뒤 각 자산의 위협 요소를 평가해 우선순위를 매겼습니다. 이 과정에서 범위를 처음부터 너무 넓게 잡으면 통제항목 적용이 끝없이 늘어난다는 것을 직접 체감했습니다. 관리체계는 범위 설정부터 신중해야 한다는 것을 배웠습니다.
보안 관련 교육 과정에서 정보보호 정책서와 절차서를 직접 작성하는 실습을 했는데, 처음엔 실제로 지켜지지 않을 것 같은 이상적인 규정을 그대로 옮겨 적었습니다. 강사님 피드백으로 현실적으로 실행 가능한 수준으로 조정해야 심사에서도 실효성을 인정받는다는 것을 배운 뒤, 절차서를 현업 담당자 인터뷰를 반영해 다시 작성했습니다. 관리체계 문서는 이상이 아니라 실행 가능성이 기준이라는 것을 배웠습니다.
캡스톤 프로젝트로 학교 정보시스템 보안 취약점을 진단하며 자산별 위험도를 발생가능성과 영향도로 나눠 점수화하는 방식을 사용했습니다. 처음엔 모든 자산에 동일한 기준을 적용했다가, 개인정보를 다루는 시스템과 그렇지 않은 시스템의 위험 기준이 달라야 한다는 것을 지도교수님 피드백으로 확인했습니다. 이후 데이터 민감도를 반영한 가중치를 추가해 재평가했습니다. 위험평가는 자산 특성에 맞춘 기준이 필요하다는 것을 배웠습니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.