|
|
|
|
|
 |
3단계는 운영증적과 점검체계를 만드는 일이었습니다.
정보 보안관리체계 수립은 통제를 나열하는 일이 아니라, 조직의 이해관계자들이 같은 목표를 보게 만드는 설계의 일입니다.
교원그룹 [IT 지원실] 정보보안 기획(관리체계 수립) 면접 질문 및 답변
그래서 범위를 먼저 잡고, 그 범위 안에서 우선순위와 통제를 계층화해 운영 가능한 체계를 만드는 것이 관리체계 수립의 출발이라고 생각합니다.
답변 : 통제체계는 문서의 완성도가 아니라 운영증적의 흐름으로 설계해야 합니다.
답변 : 공급망 보안은 기술만으로 해결되지 않으므로, 계약, 평가, 운영통제의 세 축으로 만들겠습니다.
접근권한, 로그, 취약점, 협력사 관리가 주기적으로 돌아가며 증적이 자동으로 남는 운영구조를 만드는 것.
이 과정에서 저는 현업과의 합의 구조를 함께 만들겠습니다.
|
|
|
 |
지원 직무와 관련된 본인의 경력 중 가장 큰 업무 성과를 달성했던 경험에 대해 작성해주세요.
제가 정보보안 기획에서 가장 큰 성과를 만든 경험은, 보안이 '담당자의 의지'에 기대던 조직을 '관리체계가 굴러가는 조직'으로 바꿔낸 프로젝트였습니다.
당시 저는 IT 운영팀과 보안담당을 겸하며, 사고가 발생하면 대응은 했지만, 사고가 나지 않게 만드는 구조가 약하다는 문제를 매달 체감하고 있었습니다.
특정 시스템의 권한이 관행대로 부여되고 회수는 늦었으며, 자산목록은 부서별 엑셀로 흩어져 있었고, 보안점검은 이벤트성으로 끝나는 방식이었습니다.
무엇을 지켜야 하는지"를 자산과 데이터 기준으로 다시 정의하고, 둘째, "누가 무엇을 언제까지 해야 하는지"를 프로세스 로 고정하며, 셋째, "했음을 증명할 수 있는 운영증적"이 자동으로 남는 구조로 만드는 것이었습니다.
자산관리는 신규 장비 반입과 서버 생성 시점에 등록이 자동으로 발생하도록 요청 프로세스를 바꿨고, 로그는 "모으자"가 아니라 "무엇을 보면 이상을 감지할 수 있는가"를 기준으로 수집 항목을 재정의했습니다.
3단계는 운영증적과 점검체계를 만드는 일이었습니다.
권한 회수 지연으로 발생하던 위험 시나리오가 눈에 띄게 줄었고, 자산 누락이 감소하면서 취약점 점검의 커버리지가 올라갔습니다.
핵심 시스템에 대해 최소 90일 이상 추적 가능한 로그체계를 확보한다.
계정 이상, 권한 상승, 대량 다운로드 같은 위험 시나리오를 탐지 규칙으로 정의해, 사람이 운 좋게 발견하는 방식에서 벗어난다.
로그를 모으면 저장비용이 늘고, 모니터링을 강화하면 운영팀이 귀찮아질 수 있으며, 규칙을 잘못 만들면 오탐이 쌓여 신뢰를 잃습니다.
그리고 규칙 기반 탐지에 앞서 기준선을 만들었습니다.
보안기획에서 갈등은 피할 수 없습니다.
제가 갈등을 해결했던 대표 경험은, 외부 협력사 원격 접속 통제 강화 과정에서 현업과 충돌을 조정한 사례입니다.
그러나 현업은 강하게 반발했습니다.
현업이 가장 두려워하는 것은 '장애시 시간이 늘어나는 것'이었습니다.
평시에는 표준절차를 따르되, 장애 등 긴급 상황에서는 사전등록된 온콜 체계로 빠르게 접속하되, 사후에 반드시 증적을 남기고 리뷰하는 방식으로 설계를 바꿨습니다.
그리고 협력사 쪽 반발도 관리했습니다.
리스크 기반은 모든 것을 똑같이 통제하지 않기 위한 원칙이고, 최소 권한은 사고의 피해 범위를 줄이기 위한 원칙이며 , 설명 가능성은 현업이 납득하고 지속적으로 운영하기 위한 원칙입니다.
그래서 범위를 먼저 잡고, 그 범위 안에서 우선순위와 통제를 계층화해 운영 가능한 체계를 만드는 것이 관리체계 수립의 출발이라고 생각합니다.
답변 : 통제체계는 문서의 완성도가 아니라 운영증적의 흐름으로 설계해야 합니다.
예를 들어 접근 통제라면 권한신청과 승인 기록, 권한변경 이력, 정기검토 결과가 티켓 또는 시스템 로그로 남아야 하고, 로그관리는 수집정책, 보관기간, 열람권한, 열람 기록이 함께 증적이 됩니다.
답변 : 저는 분류체계를 단순하게 시작하고, 접근 통제를 업무 흐름에 심어 정착시키겠습니다.
답변 : 공급망 보안은 기술만으로 해결되지 않으므로, 계약, 평가, 운영통제의 세 축으로 만들겠습니다.
로 그 보존, 포렌식이미지 확보, 타임라인 기록은 사후 분석과 법적 대응의 핵심입니다.
사고가 의심되는 순간부터 기록이 관리체계의 품질을 결정합니다.
접근권한, 로그, 취약점, 협력사 관리가 주기적으로 돌아가며 증적이 자동으로 남는 운영구조를 만드는 것. |
 |
관리, 통제, 만들다, 체계, 운영, 권한, 접속, 보안, 시스템, 기준, 계정, 로그, 사고, 업, 데이터, 증, 기록, 범위, 이다, 규칙 |
|
|
|
|
|
|
 |
|
|
|
|
|
|
|
|
|
|
|
| |
|
|
|
2026.02.19
8페이지
