이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
보안 수업 팀 프로젝트에서 작은 웹 서비스의 위협 시나리오를 정리하는 과제를 했을 때, 처음엔 위협 목록만 쭉 나열하다 보니 어디서부터 시작해야 하는지 감이 없었습니다. 그래서 영향도와 발생 가능성 두 축으로 2x2 매트릭스를 만들고 각 위협을 배치했습니다. 높은 영향도·높은 발생 가능성 항목을 먼저 다루고, 영향도가 낮은 건 후순위로 뒀습니다. 팀원들과 리스크 배치를 토론하면서 각자 다른 위협을 높게 봤는데, 그 차이를 조율하는 것 자체가 시간이 생각보다 많이 걸린 실패 구간이었습니다. 이후엔 토론 전에 각자 독립적으로 점수를 매기고 평균을 내는 방식을 써봤고, 이견이 생기는 항목만 추가로 논의하니까 훨씬 빨라졌습니다.
인턴 기간에 내부 자산 현황 정리 업무를 도우면서 리스크 평가 과정을 옆에서 볼 기회가 있었습니다. 담당자가 먼저 자산 목록을 만들고, 각 자산이 침해됐을 때 업무 영향을 기록한 뒤 그에 맞는 위협 시나리오를 붙이는 순서로 진행했습니다. 제가 해당 과정에서 직접 맡은 건 자산 목록 초안 작성이었는데, 범위를 너무 좁게 잡아서 외부 연동 시스템 두 개를 누락시킨 적이 있었습니다. 그걸 지적받고 나서 "자산 범위 정의"가 리스크 평가 전체의 기반이라는 걸 배웠습니다. 빠진 자산은 평가 자체가 안 되니까요.
보안 스터디에서 실습 환경 취약점 점검을 하고 결과를 발표했는데, 처음엔 발견한 취약점을 발견한 순서대로 나열했더니 "어느 게 먼저 봐야 하는 거냐"는 질문을 받았습니다. 그 이후로 발견 항목을 심각도와 수정 비용 두 가지 기준으로 정렬하는 방식을 써봤습니다. 심각도가 높고 수정이 간단한 것부터 보여주니까 "그 두 개는 오늘 고치겠다"는 반응이 나왔습니다. 리스크 평가는 목록을 만드는 것보다 우선순위를 전달하는 게 실제 가치라는 걸 그 발표에서 배웠습니다. 지금은 어떤 리스크 평가를 해도 이 두 축을 먼저 정리하려고 합니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 토스 정보보안 담당 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.