이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
인턴 때 내부 IT 지원팀에서 ServiceNow를 기반으로 한 티켓팅 시스템을 사용했습니다. 요청이 들어오면 카테고리별로 분류해서 담당자에게 자동 할당되는 구조였고, SLA 기준 내 처리 여부를 대시보드로 모니터링했습니다. GRC 관련해서는 컴플라이언스 점검 체크리스트를 시스템에 연동해서 점검 주기와 결과를 티켓으로 추적하는 방식을 본 적이 있습니다. 수작업으로 관리하던 항목을 시스템에 넣자 누락이 줄고 증적 관리가 훨씬 쉬워지는 것을 실제로 확인했습니다.
GRC 도구는 규정 준수를 관리하는 것이 아니라 증명하는 수단이라는 걸 그때 이해했습니다. 앞으로도 티켓팅 시스템을 증적 관리 도구로 활용하는 방식을 유지하겠습니다. GRC 도구는 규정을 지키는 것이 아니라 지켰다는 것을 증명하는 수단입니다. 수작업 항목을 시스템에 넣을 때 누락이 줄고 감사 대응이 쉬워지는 효과를 직접 확인했습니다.
티켓 없이 처리된 요청은 나중에 추적이 안 됩니다.
취약점 스캐닝 결과를 Jira Service Management로 관리한 경험이 있습니다. 보안팀 인턴으로 합류했을 때, 취약점 보고서를 그냥 이메일로 넘기던 방식을 티켓 기반 추적 시스템으로 바꾸는 작업을 보조했습니다. CVE 심각도 등급을 기준으로 우선순위 레이블을 붙이고, SLA 기한을 각 티켓에 연결하자 처리 지연 현황이 한눈에 보이기 시작했습니다. GRC 관점에서는 보안 통제 항목마다 해당 티켓 링크를 증적으로 연결하는 방식이 특히 효과적이었습니다. 감사 준비 때 이 통제를 언제 누가 처리했냐는 질문에 티켓 ID 하나로 답할 수 있었습니다.
실무자가 시스템을 신뢰해야 데이터가 쌓인다는 걸 그때 깨달았고, 그래서 티켓 생성 자동화에 집중했습니다. 수동 입력 비율이 줄자 누락도 따라 줄었습니다. 티켓이 안 만들어진 취약점은 나중에 추적이 불가능합니다.
팀 내에서 내부 감사 준비를 지원하면서 GRC 도구의 실제 쓰임을 가까이 봤습니다. 당시 감사팀은 ISO 27001 통제 항목별로 증적을 모아야 했는데, 통제마다 담당자가 달라 수집 작업이 산발적이었습니다. 저는 스프레드시트로 관리하던 통제 목록을 티켓팅 시스템에 연동해 담당자별 요청 티켓을 자동 생성하는 방안을 제안했고, 팀장이 시범 운영을 허락해줬습니다.
증적 제출 기한을 티켓 마감일로 연결하자 누가 어디까지 제출했는지가 대시보드에서 바로 보였습니다. 기존에 이메일로 요청하던 방식보다 미제출 항목이 절반 이하로 줄었습니다. GRC 도구는 규정을 지키기 위한 도구이기 전에 증거를 체계적으로 쌓는 인프라라는 걸 그 경험에서 이해했습니다.
통제 항목과 티켓을 연결하는 구조가 감사 대응 시간을 단축시켰습니다. 증적 없는 통제는 실행된 것으로 인정받기 어렵습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 쿠팡 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.