정보보안 정책을 실제로 설계하고 운영한 경험이 있는지, 그 과정에서 기준 설정과 실행 관리, 개선까지 어떤 판단을 했는지 확인합니다.
면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
저는 보안 정책을 수립한 뒤에도 현장 준수율을 정기적으로 확인하는 것이 정책 관리의 핵심이라고 생각합니다. 정책이 문서로만 존재하면 의미가 없어, 실제 준수 여부를 확인하고 미준수 원인을 파악해 개선하는 것이 중요했습니다. 준수율을 확인해 개선한 점이 보안 정책 이해도의 핵심이었습니다.
저는 정책을 만들 때 현업 부서와 사전 협의를 거쳐 실행 가능한 형태로 다듬습니다. 보안 담당자 관점에서만 정책을 만들면 현장에서 우회하는 부작용이 생길 수 있어, 이 협의가 정책과 실행을 연결하는 핵심이었습니다. 현업과 사전 협의한 점이 정책과 실행의 연결력이었습니다.
저는 정책을 한 번 만들고 끝내지 않고, 매 분기 보안 사고 사례를 반영해 재검토하는 절차를 운영했습니다. 환경이 계속 변하는 만큼 정책도 정적으로 두면 안 된다고 생각합니다. 분기별로 재검토한 점이 지속적 개선 감각이었습니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.