면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
ISMS-P 인증을 유지하기 위해서는 매년 진행되는 사후 심사에 대비해 분기별 내부 점검을 정례화하는 것이 중요하다고 생각합니다. 학습 과정에서 접한 사례로, 인증 취득 이후 관리가 느슨해져 갱신 심사에서 다수의 지적을 받은 경우를 보았는데, 이는 유지 관리를 소홀히 한 결과라고 판단했습니다. 저는 분기별로 주요 통제 항목을 스스로 점검하고 기록하는 습관을 통해 이런 문제를 예방하고 싶습니다.
인증을 유지하려면 조직 구조나 시스템이 변경될 때마다 관리체계 문서와 실제 운영이 일치하는지 다시 점검하는 절차가 필요하다고 생각합니다. 신규 시스템이 도입되면 그 시스템도 인증 범위에 포함되는지, 새로운 위험 요소는 없는지 확인해야 합니다. 이런 변화 관리를 놓치면 문서와 현실의 괴리가 쌓여 갱신 심사에서 큰 문제로 드러날 수 있다고 배웠으며, 그래서 시스템 변경 시마다 인증 범위를 재검토하는 절차를 함께 두고 싶습니다.
ISMS-P와 PCI-DSS를 함께 유지해야 하는 경우, 두 인증의 갱신 주기와 요구사항이 다르다는 점을 고려해 별도의 일정표로 관리하는 것이 중요하다고 생각합니다. 학습 과정에서 두 인증의 갱신 주기를 비교해 본 적이 있는데, 겹치는 통제 항목은 통합 점검하고 개별 요구사항만 따로 관리하면 중복 업무를 줄일 수 있다는 것을 확인했습니다. 이렇게 체계를 정리해 두면 여러 인증을 유지하는 부담을 줄일 수 있습니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.