이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
전사 보안 이슈 발굴 실무는 없습니다. 학부 정보보안 수업과 개인 프로젝트에서 작은 보안 점검을 해본 정도입니다.
동아리 회비 웹앱을 만들 때 OWASP Top 10 체크리스트를 기능 출시 전에 한 번씩 본 자리가 가장 가까운 경험입니다. SQL 인젝션·XSS·인증 우회·CSRF를 직접 점검해본 자리였고, 비밀번호 평문 저장 실패를 친구의 지적으로 알게 된 자리도 있었습니다.
첫 출시 전에 보안 점검을 안 한 실패가 있었고, 비밀번호 평문 저장이 한 주 동안 도는 자리가 있었습니다. 그 일이 기능 추가 전에 보안 체크라는 자세를 만들었습니다. 실무에서도 사수의 보안 점검 양식부터 익히고 싶습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다.
보안 이슈 발굴에서 배운 접근은 네 가지입니다.
첫째, 공격자의 시각으로 다시 보기. 내 코드를 외부에서 두드린다면 어디부터 보는지. 둘째, 체크리스트 기반 점검. OWASP·CIS Benchmarks 같은 표준의 항목별 점검. 셋째, 자동화된 스캐닝. 린트·SAST·의존성 취약점 스캐너가 사람의 점검을 대신할 수 있는 자리. 넷째, 보안 사고 사례 학습.
다른 회사의 사고를 우리 코드에 비춰보기.
개인 프로젝트에서 자동화 스캐너 없이 시작한 실패가 있었고, 알려진 취약 라이브러리가 한 달 동안 도는 자리가 있었습니다. 그 일이 자동화는 첫 자리부터라는 자세를 만들었습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다.
보안의 본체는 사고가 난 자리가 아니라 사고를 미리 그려둔 자리라는 걸 학부에서 봤습니다.
사고 사례 분석에서 대부분의 사고는 미리 알려진 패턴이었습니다. 알려진 패턴을 기능 출시 전에 한 번씩만 봐도 막힐 자리가 사후 대응 자리에서 큰 비용으로 돌아온 자리였습니다.
첫 프로젝트에서 사후 대응만 본 실패가 있었고, 비밀번호 평문 저장 한 주가 큰 자리로 번질 수 있던 자리가 있었습니다. 그 일이 알려진 패턴은 사전에라는 자세를 만들었습니다. 실무에서도 사수의 보안 사전 점검 양식부터 익히고 싶습니다. 실무에서도 사수의 양식과 순서를 첫 자리에서 손에 익히고, 그 흐름이 매일의 자세로 굳어지게 만드는 자리부터 들어가고 싶습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 토스 테크니컬 PM 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.