면접관이 이 한 문장으로 확인하려는 것들. 각 갈래를 알면 답의 뼈대가 잡혀요.
ISMS-P는 국내 정보통신망법과 개인정보보호법을 근거로 정보보호와 개인정보보호를 통합 인증하는 국내 기준이고, ISO27001은 국제 표준으로 정보보안관리체계 전반을 다룬다고 이해하고 있습니다. ISO27701은 27001을 확장해 개인정보보호관리체계에 특화된 요구사항을 추가한 것입니다. 스터디 과정에서 세 기준의 통제 항목을 비교표로 정리해 본 경험이 있는데, 개인정보 처리 관련 항목은 ISMS-P와 27701이 상당 부분 겹친다는 것을 확인했습니다.
이 기준들이 개인정보보호에 기여하는 방식은, 단순히 보호해야 한다는 선언이 아니라 수집부터 파기까지 전 생애주기에 걸친 구체적 통제를 요구한다는 점에 있다고 생각합니다. 예를 들어 개인정보 파기 절차를 문서화하고 실제 파기 기록을 남기도록 요구하는 항목을 학습하며, 이런 세부 통제가 실제 유출 사고를 예방하는 실질적 장치라는 것을 이해했습니다. 이 기준들을 형식적 인증이 아니라 실질적 보호 장치로 바라보고 있습니다.
국내에서 사업을 운영하면서 해외 고객사와도 거래하는 기업이라면 ISMS-P와 ISO27001을 함께 준비해야 하는 경우가 많다고 배웠습니다. 두 기준의 통제 항목이 겹치는 부분이 많아 통합 관리체계를 구축하면 중복 작업을 줄일 수 있다는 것을 학습 과정에서 알게 됐습니다. 이런 통합적 접근이 리소스를 효율적으로 쓰면서도 개인정보보호 수준을 실질적으로 높이는 방법이라고 생각합니다.
같은 실수가 반복돼요. 이것만 피해도 절반은 갑니다.
진짜 면접은 두 번째 질문부터예요. 이 답 뒤에 따라올 법한 것들.