면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
ISMS-P 인증은 먼저 인증 범위를 정하고, 그 범위 내 정보자산에 대한 위험평가를 수행한 뒤, 관리체계를 수립하고 최소 2개월 이상 운영한 기록을 남기는 순서로 진행된다고 이해하고 있습니다. 스터디를 통해 실제 기업 인증 사례를 분석하며, 관리체계 운영 기록이 부실하면 심사에서 보완 요구를 받는다는 것을 알게 됐습니다. 이 때문에 저는 준비 단계에서부터 증적 자료를 꾸준히 축적하는 것이 핵심이라고 생각합니다.
ISO27001 인증을 준비할 때는 정보보안 정책서부터 시작해 세부 통제 항목별 절차서를 갖추는 것이 핵심이라고 배웠습니다. 자격증 학습 과정에서 부속서 A의 통제 항목을 직접 정리해 본 경험이 있는데, 각 항목이 실제 조직의 어떤 활동과 연결되는지 매핑하는 작업이 생각보다 까다롭다는 것을 느꼈습니다. 문서 체계를 갖추는 것뿐 아니라 그 문서대로 실제 운영되고 있다는 근거를 남기는 것이 중요하다고 이해했습니다.
ISMS-P는 국내 개인정보보호 관련 법규를 반영한 통제 항목이 포함되어 있고, PCI-DSS는 카드 결제 데이터 보호에 특화된 기준이라는 점에서 요구 범위가 다르다고 이해하고 있습니다. 같은 조직이라도 취급하는 데이터 종류에 따라 필요한 인증이 달라진다는 것을 학습 과정에서 배웠습니다. 이런 차이를 정확히 구분해야 불필요한 인증에 리소스를 낭비하지 않고 필요한 인증에 집중할 수 있다고 생각합니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.