08 · 기준을 어떻게 실제 점검으로 바꾸는가? — 컴플라이언스와 개인정보 (1)

핵심: 요구사항을 읽고, 실제 설정·문서에서 근거를 찾고, 확인 가능한 상태로 결과를 남긴다.

프로젝트에는 기술적인 탐지뿐 아니라 계정·데이터 보호와 사고대응 절차도 필요했다. 컴플라이언스팀은 관련 기준을 인프라의 점검 질문으로 바꾸는 작업을 했다.

양혜민·오병은의 글은 IAM, Logging, Detection, S3/Data, Incident Response의 다섯 영역 23개 항목을 선정한 배경과 점검 결과를 설명한다.

각 항목을 요구사항 → 근거 → 점검 대상 → 검증 방법 → 결과로 작성했다.

배운 점: “볼 권한이 없어 확인 못 함”과 “설정·절차가 없음”을 구분해야 한다. 조회 권한이 제한된 점검에는 그 한계도 결과에 남는다.

팀블로그 추적기 글에서는 개발자 도구의 Network·Application 탭으로 Clarity 스크립트, 데이터 전송 요청, 쿠키를 확인했다.

운영 기능이 어떤 정보를 다루는지 먼저 살펴보고, 고지와 설정을 검토할 근거를 모은 것이다.

주민등록번호·전화번호·연계정보 조사 글은 정보 유형에 따라 수집 → 전송 → 저장 → 조회 → 파기 단계의 요구사항을 정리했다. 개인정보의 유형과 처리 단계에 따라 필요한 보호조치가 달라진다는 점을 학습했다.

조준환의 후속 글은 조회 권한, 역할 분리, 사고대응 절차, 반복 점검 방식을 다시 검토하는 흐름을 남겼다.

체크리스트를 채우는 데서 그치지 않고, 누가 어떤 근거로 확인했고 무엇을 더 해야 하는지 전달할 수 있게 됐다.

초기 점검에서는 실제 미흡 항목과 조회 권한 때문에 확인하지 못한 항목을 구분해 남겼다.

관련 글