면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
IAM 플랫폼 설계에서 저는 역할별로 필요한 최소한의 권한만 부여하는 구조가 가장 중요하다고 생각합니다. 학부 프로젝트에서 사내 문서 관리 시스템을 설계할 때, 초기에는 로그인한 사용자 전체에게 동일한 권한을 부여했습니다.
이후 관리자·일반 사용자·게스트로 역할을 나누고, 각 역할이 접근할 수 있는 문서 범위를 제한하는 방식으로 재설계했습니다. 이 과정에서 실제로 게스트 계정이 삭제 권한까지 갖고 있던 설계 결함을 발견해 수정할 수 있었습니다.
이 경험으로 권한 설계는 처음부터 세분화해두지 않으면 나중에 구조를 바꾸기 어렵다는 것을 배웠습니다.
동아리 CTF 활동에서 모의 해킹 훈련에 참여한 경험이 있는데, 저는 그때마다 허가된 시스템 범위를 벗어나지 않는 것을 가장 중요한 원칙으로 삼았습니다. 실제 서비스가 아닌 훈련용 환경이었지만, 그 원칙을 지키는 습관 자체가 중요하다고 생각했습니다.
취약점을 찾을 때는 공격자의 관점에서 인증 우회나 권한 상승이 가능한 지점을 먼저 가정하고 접근했습니다. 실제로 세션 토큰 검증 로직의 허점을 발견해 팀 내에서 공유한 적이 있습니다.
이 경험으로 모의 해킹은 기술력만큼이나 허가된 범위를 지키는 윤리 의식이 함께 필요하다는 것을 배웠습니다.
IAM 플랫폼에서 저는 보안 수준을 높이는 것이 항상 사용자 경험을 해치는 것은 아니라는 관점을 중요하게 생각합니다. 프로젝트에서 다단계 인증을 도입했을 때, 매번 인증을 요구하니 사용자 불만이 있었습니다.
저는 위험도가 낮은 요청(단순 조회)은 기존 인증을 유지하고, 민감한 작업(정보 수정·삭제)에만 추가 인증을 요구하는 방식으로 차등을 뒀습니다. 이후 사용자 불만은 줄고 보안 수준은 유지할 수 있었습니다.
이 경험으로 IAM 설계는 모든 곳에 동일한 보안 수준을 적용하기보다 위험도에 따라 차등화하는 것이 효과적이라는 것을 배웠습니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.