이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
정보보안산업기사 준비를 하면서 시험 과목 중 실무와 가장 직접 연결된다고 느낀 건 접근통제 관련 내용이었습니다.
처음에는 이론 암기 중심으로 공부했는데, 공부 중에 실제 사례를 찾아보면서 이해가 달라졌습니다. 접근통제 정책이 잘못 설정되면 어떤 사고가 생기는지 사례를 읽다 보니, 이론에서 배운 최소 권한 원칙이 왜 현장에서 지키기 어려운지도 이해가 됐습니다. 불편하니까 권한을 넓게 주는 관행이 생기고, 그게 나중에 사고 원인이 된다는 흐름이 눈에 보였습니다. 처음에는 원칙이 당연한 것처럼 느껴졌는데, 실제 조직에서 그걸 유지하는 게 왜 어려운지를 이해하게 된 게 자격증 공부에서 얻은 가장 실용적인 배움이었습니다.
시험용 지식과 실무 감각 사이의 간극은 아직 큽니다. 입사 후에 채워나가겠습니다.
보안 자격증을 준비하면서 관련 법령 파트 공부가 처음에는 단순 암기라고 생각했습니다. 그런데 공부하면서 법령 조항이 실제 기업의 보안 체계와 어떻게 연결되는지를 알게 됐습니다.
개인정보보호 관련 법령 조항을 외우다가 이것이 단순 규정이 아니라 기업이 어떤 기술적 조치를 갖춰야 하는지를 정의한다는 걸 이해했습니다. 암호화 적용 대상, 접근 로그 보존 기간 같은 것들이 기업 보안 설계의 최소 요건이 된다는 점이 인상적이었습니다. 처음에는 법령과 기술이 별개 영역이라고 생각했는데, 실무에서는 법령이 기술 결정의 기준점이 된다는 걸 자격증 공부에서 처음 이해했습니다.
이 이해를 실제 업무에 어떻게 적용하는지는 입사 후에 배우겠습니다.
보안 자격증 공부에서 얻은 가장 실질적인 변화는 위협을 생각하는 방식이 달라진 것이었습니다.
공부 전에는 보안을 '무언가를 막는 것'으로만 생각했는데, 공격자가 어떤 경로로 접근하는지를 먼저 생각하고 거기에 맞는 방어를 설계하는 방식이 있다는 걸 배웠습니다. 교재에서 공격 트리 개념을 공부할 때, 같은 목표를 달성하는 공격 경로가 여러 개 있고 그 중 방어가 약한 곳이 실제 공격 지점이 된다는 논리가 납득됐습니다. 처음에는 취약점 목록을 외우는 게 보안 공부라고 생각했는데, 목록보다 사고 방식이 먼저라는 걸 알게 됐습니다.
이 사고 방식을 실제 환경에 적용하는 것은 경험을 통해 배워야 합니다. 입사 후에 쌓겠습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 SK inc.(AX) 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.