이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
IT 감사 및 컴플라이언스 관련 실무 경험으로는 인턴 시절 내부 감사 팀의 IT 통제 항목 점검 작업을 보조한 것이 있습니다. 접근 권한 관리, 로그 수집 현황, 백업 정책 준수 여부를 체크리스트 기반으로 검토하는 과정이었습니다. 이 경험을 통해 컴플라이언스는 '통과'가 목적이 아니라 실제로 통제가 작동하는지를 확인하는 것임을 이해했습니다. 항목이 있다고 통제가 있는 것은 아닙니다.
증거 수집 방식과 샘플링 기준도 감사의 품질을 좌우하는 중요한 요소입니다. 또한 감사 결과를 담당 팀에 전달할 때는 지적보다 개선 방향을 함께 제시하는 방식이 협조를 얻기 쉬웠습니다. IT 감사는 기술 이해와 커뮤니케이션이 동시에 필요한 업무라는 점을 그때 배웠습니다.
IT 감사 보조 업무에서 실수한 경험이 있습니다. 접근 권한 점검 항목을 정리하는 작업을 맡았는데, 권한이 부여된 계정 목록만 뽑아서 정리했습니다. 담당자 검토 후 퇴직자 계정이 아직 활성화된 것도 확인하라는 피드백을 받았습니다. 저는 부여된 권한만 보면 된다고 생각했는데, 감사에서는 남아있어서는 안 되는 것도 찾아야 한다는 시각이 빠져 있었습니다. 이후로는 권한 점검 시 신규 부여·변경·미회수 세 경우를 병렬로 확인하는 방식으로 바꿨습니다. 감사는 현재 상태의 정합성을 확인하는 것이기 때문에 부재 확인도 존재 확인만큼 중요합니다.
이 실수가 이후 통제 항목을 정리할 때 없어야 할 것 열을 따로 두는 기준이 됐습니다. 감사는 있는 것과 없어야 하는 것을 함께 봐야 완성됩니다.
IT 감사를 감사받는 팀 입장에서 생각해본 적이 있습니다. 감사 보조 업무 중 실무 팀 담당자에게 자료 요청을 했는데, 담당자가 요청 항목의 의미를 몰라서 엉뚱한 데이터를 보내온 경우가 있었습니다. 요청서에 항목명만 있고 목적과 범위가 빠져 있었던 것이 원인이었습니다. 감사를 받는 쪽에서는 무엇을, 왜 제출하는지가 불분명하면 협조 자체가 어렵다는 것을 그때 알게 됐습니다. 이후 자료 요청서를 작성할 때는 항목명 옆에 목적과 기대 형식을 함께 기재하는 방식으로 바꿨고, 재요청 건수가 크게 줄었습니다. 감사의 효율은 요청 명확성에서 시작된다고 생각하게 됐습니다.
이 관점이 이후 문서 요청 시 수신자 맥락을 먼저 고려하는 습관을 만들었습니다. 감사의 질은 요청서의 명확성에서 시작됩니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 넥스트증권 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.