보안컨설팅(ISMS-P) 이력서 예시

정보보호 관리체계가 운영 기준과 실제 업무에 맞물리도록 만드는 보안 담당자 허윤아입니다. 보안컨설팅 회사에서 3년간 커머스·교육·의료 분야 고객사 7곳의 인증 컨설팅 중 위험 평가를 수행했고, 이후 다온페이에서 ISMS-P 인증 범위의 위험 평가와 정책·지침 관리, 보호대책 이행 점검 및 심사 대응을 맡고 있습니다. 고객사별 환경에 맞춰 기준을 조정한 경험과 한 조직의 관리체계를 매년 운영한 경험은 문서와 현장 사이의 차이를 좁히는 밑거름이 되었습니다. 관리체계는 담당 부서가 이행 상태를 확인하고 조치할 수 있어야 합니다. 다온페이에서는 클라우드 서비스 3종을 인증 범위에 새로 편입하며 통제 항목별 증적 체계를 마련했습니다. 계정 권한과 로그 설정을 스크립트로 점검하도록 바꾸고 주간 점검을 운영한 결과, 설정 미준수 항목의 발견부터 조치까지 걸리는 기간은 평균 12일에서 4일로 줄었습니다. 담당자 2명이 분기마다 3주씩 진행하던 수작업 점검도 기계로 확인할 수 있는 통제 항목 46개의 자동 점검으로 전환했습니다. 그 결과 심사 전 증적 수집 기간은 5주에서 2주로 단축되었고, 자동화 결과를 증적으로 바로 사용할 수 있도록 보관 기준도 정했습니다. 자동화가 어려운 통제의 이행 확인은 별도 점검으로 남겨 두고 있습니다. [핵심 역량] - ISMS-P 인증 범위 연간 운영 및 심사 대응 - 위험 평가와 고위험 항목 이행 점검 - 클라우드 인증 범위 편입 및 통제별 증적 체계 구축 - 보안 점검 자동화와 증적 보관 기준 수립 - 신규 서비스 보안성 검토와 개인정보 처리 흐름 검토

한결핀테크가 인증 범위를 클라우드 전체로 넓히는 과정에서 관리체계 담당자를 찾고 있다는 점에 주목했습니다. 범위가 확장되면 인증 기준을 문서에 반영하는 것뿐 아니라, 새로 포함되는 서비스의 통제 상태를 확인하고 심사에 필요한 증적을 실제 운영 흐름 안에서 확보해야 합니다. 다온페이에서 클라우드 서비스 3종을 인증 범위에 편입하고 통제 항목별 증적 체계를 만든 경험은 이 업무와 직접 맞닿아 있습니다. 특히 계정 권한과 로그 설정을 스크립트로 확인하고 주간 점검으로 연결해, 미준수 항목의 조치까지 평균 12일 걸리던 기간을 4일로 줄였습니다. 이 과정에서 증적을 심사 직전에 모으는 방식만으로는 운영 상태를 제때 파악하기 어렵다는 점을 확인했습니다. 그래서 기계로 확인 가능한 통제 항목 46개를 자동 점검으로 전환하고, 결과를 바로 증적으로 사용할 수 있도록 보관 기준을 정했습니다. 심사 전 증적 수집 기간은 5주에서 2주로 줄었고, 부서별 미준수 현황은 대시보드로 공유해 조치 착수까지 평균 9일 걸리던 기간을 3일로 단축했습니다. 다만 자동화로 확인할 수 없는 통제는 담당 부서의 확인과 조치 점검이 필요하므로, 자동 점검과 수동 확인의 경계를 분명히 두었습니다. 심사 결함도 3년 연속 14건에서 8건, 다시 3건으로 감소했습니다. 이 결과를 특정 조치 하나의 성과로 단정하기보다, 위험 평가와 정책·지침 관리, 이행 점검, 보완조치를 매년 연결해 운영한 결과로 보고 있습니다. 한결핀테크의 클라우드 인증 범위 확대에서도 먼저 적용 대상과 통제별 증적을 정리하고, 자동 확인이 가능한 항목과 담당자 확인이 필요한 항목을 나눠 운영하겠습니다. 인증 대응과 일상적인 보안 운영이 따로 움직이지 않도록 관리하는 것이 제가 해 온 일의 방식입니다.

개발 조직이 신규 서비스 보안성 검토를 시작할 때 참고할 수 있도록 안내서를 작성해 사내 위키에 공개했습니다. 신규 서비스와 주요 변경 건은 연 45건씩 검토하고 있으며, 검토 항목을 체크리스트로 표준화하면서 출시 직전 보안 이슈로 보류되는 건수를 분기 5건에서 1건으로 줄였습니다. 개인정보 처리 흐름이 바뀌는 경우에는 개인정보보호 담당자와 공동 검토를 진행했습니다. 컨설팅 업무를 수행할 때는 고객사 규모와 업종 규제를 기준으로 정책·지침 초안을 조정했고, 위험 평가표의 공용 기준과 위협·취약점 목록을 정리했습니다. 표준 양식 적용 후 고객사당 평가표 작성 기간은 평균 2주에서 1주로 단축되었습니다. 보안 검토와 위험 평가에서 기준을 문서화하는 데 그치지 않고, 실제 담당자가 적용할 수 있는 절차와 자료로 정리해 왔습니다.