면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
보안 동아리 프로젝트에서 클라우드 인프라 접근 정책 문서를 작성했는데, 처음엔 선언적 원칙만 나열되어 있었습니다. 저는 이를 개발자가 배포 전 확인할 수 있는 체크리스트 형태로 재구성했습니다.
예를 들어 「최소 권한 원칙을 지킨다」는 문구를 「IAM 역할에 불필요한 관리자 권한이 없는지 확인」처럼 구체적 행동으로 바꿨습니다.
정책은 읽히는 문서가 아니라 실제로 따라 할 수 있는 지침이어야 의미가 있다고 생각합니다.
학교 프로젝트에서 생성형 AI API를 활용한 서비스를 만들며, 기존에 참고하던 보안 가이드에는 프롬프트 인젝션이나 데이터 유출 관련 기준이 없다는 것을 알게 됐습니다.
저는 이를 팀에 공유하고, API 호출 시 민감 정보를 사전에 필터링하는 별도 절차를 추가하자고 제안했습니다.
기존 클라우드 보안 정책이 신기술 리스크를 자동으로 커버하지 않는다는 것을 직접 경험하며 배웠습니다.
보안 스터디에서 CIS 벤치마크 같은 업계 표준 가이드를 다뤘는데, 모든 항목을 그대로 적용하기엔 소규모 프로젝트에 과한 경우가 많았습니다.
저는 위험도가 높은 항목(퍼블릭 접근 설정, 암호화 미적용 등)을 우선 적용하고, 나머지는 단계적으로 도입하는 방식을 스터디원들과 정리했습니다.
표준 가이드를 그대로 베끼기보다, 조직 규모와 리스크 수준에 맞게 우선순위를 조정하는 것이 실질적인 정책 수립이라고 생각합니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.