이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
금융권 DevSecOps 구축에서 핵심은 보안 검증을 배포 파이프라인에 내재화하는 것이었습니다. 코드 푸시 시 정적 분석 도구로 취약점을 자동 스캔하고, 심각도 높은 취약점이 발견되면 배포를 차단하는 게이트를 파이프라인에 추가했습니다.
의존성 관리도 중요한 과제였습니다. 라이브러리 취약점은 자체 코드보다 서드파티에서 자주 발생하기 때문에, SCA(Software Composition Analysis) 도구로 패키지 취약점을 주기적으로 스캔했습니다. 패치가 나오면 자동 PR이 생성되는 구조로 관리 부담을 줄였습니다.
감사 로그는 규제 대응을 위해 누가, 언제, 무엇을 배포했는지 추적할 수 있도록 구성했습니다. 배포 이력과 승인 기록을 별도 저장소에 보관하니 감사 시 필요한 자료를 빠르게 제출할 수 있었습니다.
CI/CD 파이프라인에 SAST(정적 분석 도구)를 연동하는 작업을 직접 진행했습니다. 빌드 단계에서 자동으로 정적 분석을 실행하고, 심각도(CVSS 7.0 이상) 취약점이 발견되면 파이프라인이 멈추는 게이트를 만들었습니다. 처음에는 오탐(False Positive)이 많아서 실제 보안 취약점이 아닌 케이스도 파이프라인을 멈추게 하는 결이 됐습니다. 분류 규칙을 조정하고 허용 목록을 팀과 함께 검토해 관리하는 절차를 추가했습니다. 오탐 관리가 없으면 개발팀이 경고를 무시하는 결이 생기기 때문에, False Positive 관리 절차가 SAST 도입만큼 중요한 결이 있다는 것을 이 경험에서 배웠습니다.
DevSecOps를 운영하면서 직접 작성한 코드가 아닌 서드파티 라이브러리에서 취약점이 발견되는 경우가 자주 있었습니다. SCA(Software Composition Analysis) 도구를 파이프라인에 추가했더니, 기존에 몰랐던 고심각도 취약점이 의존성 라이브러리에 있다는 것을 발견했습니다. CVE가 발표된 당일 패치 버전이 나오는 케이스도 있었는데, 자동 알림이 없었다면 수주 뒤에야 알았을 결이 됐습니다. 자동 PR을 생성하는 설정을 추가했더니 의존성 업데이트가 제때 이루어지는 구조가 됐습니다.
보안은 코드를 작성하는 시점만이 아니라 의존성을 관리하는 것도 포함하는 결이 있다는 것을 이 경험에서 배웠습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 넥스트증권 인프라/클라우드 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.