면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
정보보안 동아리 활동에서 회원 정보 관리 시스템의 접근 로그를 주기적으로 점검하는 프로세스를 설계한 경험이 있습니다. 처음에는 담당자들이 추가 업무로 여겨 협조가 잘 이뤄지지 않았는데, 로그 점검이 실제로 이상 접근을 걸러낼 수 있다는 것을 보여주기 위해 테스트 계정으로 비정상 접근 시나리오를 만들어 시연했습니다. 이후 담당자들의 인식이 바뀌어 점검이 정기적으로 이뤄지게 됐고, 이 과정에서 새로운 프로세스를 정착시키려면 필요성을 직접 체감시키는 것이 중요하다는 것을 배웠습니다.
학회 데이터베이스 운영을 맡으며 개인정보 유출을 예방하기 위해 접근 권한을 역할별로 세분화하는 프로세스를 설계했습니다. 기존에는 운영진 전체가 동일한 권한으로 회원 정보 전체를 조회할 수 있었는데, 업무에 꼭 필요한 항목만 볼 수 있도록 권한을 재설계했습니다. 권한을 나누는 과정에서 일부 운영진의 업무 편의성이 낮아진다는 불만이 있었지만, 최소 권한 원칙이 결국 사고 발생 시 피해 범위를 줄이는 핵심이라는 점을 설명해 설득했습니다.
정보 보안 사건이 발생하면 저는 먼저 사건을 인지한 즉시 담당자에게 보고하고, 추가 피해를 막기 위해 관련 시스템 접근을 즉시 차단하는 것이 우선이라고 배웠습니다. 이후 원인을 조사해 유출 범위와 대상을 파악하고, 개인정보보호법상 일정 규모 이상의 유출이라면 정해진 기한 내에 정보주체와 관계기관에 통지해야 한다는 절차를 학습했습니다. 정보보안 수업 모의 훈련에서 이 절차를 시뮬레이션해본 적이 있는데, 초기 대응 속도가 피해 규모를 좌우한다는 것을 체감했습니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.