이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
신규 서비스 오픈 전 개인정보 보안성 검토는 설계 단계에서 시작하는 것이 가장 중요하다고 생각한다. 개발이 완료된 뒤 보안 이슈를 수정하는 건 비용이 너무 크기 때문이다. 구체적으로는 먼저 수집하는 개인정보 항목이 서비스 목적에 최소화돼 있는지 확인하는 것에서 출발한다. 다음으로 데이터 흐름도를 그려 어느 구간에서 개인정보가 이동하고 저장되는지 파악하고, 각 구간에 암호화·접근 제어·로깅이 적용돼 있는지 체크한다. 위험 요소 분석은 OWASP Top 10을 기준으로 서비스 특성에 맞는 항목을 추려 우선순위를 정한다. 개인정보보호법 적용 범위를 법무팀과 사전에 협의하고, 처리방침 문서와 실제 구현이 일치하는지 대조 검토도 진행한다. 팀 내 보안 담당자가 없을 경우 외부 취약점 점검을 오픈 전에 요청하는 게 현실적인 안전망이 된다.
신규 서비스 보안성 검토에서 Privacy by Design 원칙이 가장 실용적인 기준이라고 생각합니다. 서비스 기능을 설계할 때부터 '이 기능에서 개인정보가 어느 경로로 흐르는지'를 함께 설계하는 방식입니다. 데이터 흐름도(DFD)를 그려서 개인정보가 수집·저장·전송·폐기되는 각 지점에서 통제 수단이 있는지를 확인하는 것이 보안 검토의 실질적 내용입니다. 특히 외부 API나 제3자 서비스로 데이터가 나가는 지점은 DPA 체결 여부와 함께 검토해야 합니다.
설계 단계 검토가 사후 수정 비용을 크게 낮춥니다. 데이터 흐름 가시화가 보안 검토의 시작입니다. DFD가 통제 공백을 드러냅니다. Privacy by Design이 보안을 기능에 내재화합니다.
신규 서비스 오픈 전 보안성 검토를 개인정보 보호 영향 평가(PIA) 항목으로 체계화하는 것이 가장 효과적이라고 생각합니다. 수집 항목의 최소화, 보관 기간 정의, 파기 절차 설계, 제3자 제공 시 동의 기반 확인, 보안 취약점 점검까지를 오픈 전 체크리스트 형태로 만들어 개발팀과 공유하면 검토 항목이 누락되는 경우를 방지할 수 있습니다. 특히 민감정보나 고유식별정보가 포함된 경우 암호화 여부와 접근 권한 설계를 별도로 확인해야 합니다.
체크리스트가 검토 일관성을 보장합니다. PIA 항목이 보안 검토를 구조화합니다. 민감정보는 별도 기준이 적용됩니다. 체크리스트가 빠짐없는 검토를 만듭니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 쿠팡 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.