보안 정책과 통제 체계를 설계할 때, ‘왜?’라는 질문에 대해 어떤 접근 방식을 취하나요?

주니어 1년차 때 사내 보안 규칙을 점검하다, 비밀번호를 한 달마다 바꾸게 한 규칙을 봤습니다. 저는 '왜 한 달일까'가 궁금해 사수님께 여쭤봤는데, 사수님도 '예전부터 그랬다'고만 하셨습니다. 그래서 저는 자료를 찾아보니, 자주 바꾸게 하면 오히려 사람들이 외우기 쉬운 약한 비밀번호를 쓴다는 이야기가 있었습니다. 그 내용을 정리해 팀에 공유했고, 결국 주기를 늘리는 대신 2단계 인증을 권하는 쪽으로 의견이 모였습니다. 처음에는 규칙은 원래 그런 거라 여겼는데, 왜 그런지 물어보면 더 나은 길이 보인다는 걸 배웠습니다. 지금도 저는 오래된 규칙을 만나면 처음 그 규칙이 왜 생겼는지부터 확인합니다.