면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
보안 요구사항은 서비스가 다 만들어진 뒤가 아니라 기획 단계에서부터 함께 정의해야 한다고 배웠습니다. 전공 프로젝트에서 팀이 서비스 기획서를 작성할 때 저는 보안 담당으로서 로그인 방식과 데이터 저장 방식에 대한 요구사항을 미리 제시했습니다. 이렇게 초기 단계에 개입한 덕분에 나중에 구조를 바꾸는 큰 수정 없이 보안 요건을 반영할 수 있었습니다.
컴플라이언스 관련 수업에서 금융 서비스를 가정한 프로젝트를 진행하며, 관련 규제가 요구하는 최소 보안 기준을 조사해 체크리스트로 정리한 경험이 있습니다. 이 과정에서 규제 문서가 방대해 처음에는 어려움을 겪었지만, 핵심 요건만 추려 우리 서비스에 적용 가능한 형태로 재구성했습니다. 이 경험으로 규제 리뷰는 문서를 그대로 나열하는 것이 아니라 서비스에 맞게 해석하는 작업이라는 것을 배웠습니다.
보안 요구사항을 정의할 때는 발생 가능성이 높고 영향이 큰 위험부터 우선 반영해야 한다고 생각합니다. 동아리 활동으로 만든 웹 서비스에서 사용자 인증 부분이 가장 큰 위험이라고 판단해 이를 최우선 요구사항으로 정리했고, 이후 실제 구현에도 반영되도록 개발 담당자와 지속적으로 확인했습니다. 리뷰는 결과 보고로 끝나는 것이 아니라 실제 반영까지 확인해야 의미가 있다고 생각합니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.