고객사에서 보안 점검 설문지가 왔어요: 처음 받은 담당자가 막히는 이유와 답을 채우는 순서

보안 점검 설문지를 받고 손이 멈췄을 때

거래처나 고객사에서 '보안 점검 설문지'라는 파일이 메일로 왔는데, 열어 보자마자 막막하셨나요? 처음 보는 용어가 줄줄이 나오고, 항목은 많고, 회신 기한은 정해져 있으니 어디서부터 손대야 할지 막히기 쉬워요. 이 글은 설문이 왜 막히는지 먼저 가르고, 처음 받은 담당자도 정직하게 답을 채워 보낼 수 있는 순서를 짚어 드려요.

이런 설문은 보통 일을 맡기려는 쪽이 맡을 쪽의 보안 수준을 미리 확인하려고 보내요. 우리 회사가 고객사의 자료를 다루거나, 고객사 시스템에 접속하거나, 고객사에 소프트웨어를 납품하는 경우에 자주 받게 되죠. 외부 업체의 보안을 챙기는 위탁 관리의 구조에서 보면, 이 설문은 맡기는 쪽이 계약 전에 거치는 확인 단계 중 하나예요.

근데 말이죠, 설문은 시험지가 아니에요. 점수를 따려고 모든 칸을 좋게 채우는 문서가 아니라, 지금 우리 회사가 무엇을 하고 있는지 서로 같은 그림을 보려는 문서예요. 이 점만 마음에 두면 부담이 꽤 줄어들어요. 설문 양식과 항목 구성은 고객사마다 달라서, 이 글은 특정 양식이 아니라 어떤 양식에도 통하는 순서를 다뤄요.

막히는 이유를 세 갈래로 가르기

설문 항목에서 손이 멈추는 이유는 크게 세 갈래예요. 이게 왜 중요하냐면요, 갈래마다 물어볼 사람과 할 일이 달라서예요. 항목 옆에 갈래를 하나씩 표시해 두기만 해도, 막막했던 설문이 '누구에게 무엇을 물어볼지' 목록으로 바뀌어요.

첫째는 질문의 뜻을 모르는 경우예요. 접근 통제, 로그 보관, 취약점 점검처럼 용어 자체가 낯설면 답을 고를 수가 없죠. 둘째는 뜻은 알지만 우리 회사의 사실을 모르는 경우예요. 백업을 누가 하는지, 퇴사자 계정은 누가 정리하는지 담당자가 흩어져 있으면 혼자서는 답할 수 없어요. 셋째는 실제로 하고는 있는데 보여 줄 문서나 기록이 없는 경우예요. 현장에서 흔히 보이는 건 이 셋째 갈래예요. 하고 있는 일은 많은데 글로 남겨 둔 것이 적은 거죠.

아래 표시를 보면 어느 갈래인지 대략 짐작할 수 있어요. 한 항목에 두 갈래가 겹칠 수도 있으니, 겹치면 둘 다 적어 두셔도 괜찮아요.

• 질문 뜻을 모르는 경우 — 용어를 찾아봐도 우리 회사의 어떤 일과 연결되는지 떠오르지 않아요
• 사실을 모르는 경우 — 뜻은 알겠는데 '그건 누가 하더라?'라는 생각이 먼저 들어요
• 증빙이 없는 경우 — 하고 있다는 건 아는데 '근거 자료'를 달라는 칸에서 멈춰요

답을 채우는 순서는 이렇게 한 단계씩

방법은 간단해요. 설문을 처음부터 끝까지 한 번에 채우려 하지 말고, 먼저 전체를 훑어 갈래를 나눈 다음 갈래별로 처리해요. 그리고 답은 '예·아니오' 두 가지가 아니라 '있음·부분·없음' 세 가지로 생각하면 훨씬 정직하고 편해져요. '부분'은 일부 시스템에만 적용되거나 절차는 있는데 기록이 일정하지 않은 경우, '없음'은 아직 하지 않는 경우예요.

'없음'이라고 쓰기가 망설여지실 거예요. 솔직히 말하면, 모든 항목에 '예'를 달아 보냈다가 나중에 근거 자료를 요청받고 곤란해지는 쪽이 훨씬 부담이 커요. '없음'에는 언제까지 무엇을 하겠다는 계획 한 줄을 붙이면 돼요. 이 계획은 실제로 지킬 수 있는 범위로만 쓰는 것이 중요해요. 답 문장은 사실과 추정을 나누는 보안 문서 쓰기의 기본기를 그대로 따르면 돼요.

• 1단계 — 설문 전체를 한 번 훑으며 항목마다 막히는 갈래(뜻·사실·증빙)를 표시하기
• 2단계 — 뜻을 모르는 항목은 고객사 담당자에게 질문 의도를 짧게 묻는 메일 보내기
• 3단계 — 사실을 모르는 항목은 관련 부서별로 묶어 확인 요청 목록 만들기
• 4단계 — 확인된 내용으로 항목마다 '있음·부분·없음' 중 하나 고르기
• 5단계 — '부분'에는 적용 범위를, '없음'에는 지킬 수 있는 개선 계획 한 줄을 붙이기
• 6단계 — '있음'에는 근거 자료의 이름과 보관 위치를 적고, 자료는 따로 묶어 두기
• 7단계 — 회신 기한이 빠듯하면 마감 전에 고객사에 진행 상황과 예상 회신일을 먼저 알리기

보내기 전에 제대로 답했는지 확인하는 법

다 채웠다면 보내기 전에 세 가지만 확인해 보세요. 첫째, 각 답을 실제로 그 일을 하는 담당자가 한 번 읽어 봤는지예요. 담당자가 '이건 이렇게까지는 안 해요'라고 고쳐 주는 순간이 가장 값진 검토예요. 둘째, '있음'이라고 쓴 항목마다 근거 자료를 바로 꺼낼 수 있는지예요. 셋째, 같은 내용을 묻는 항목들끼리 답이 서로 어긋나지 않는지예요. 설문은 같은 내용을 다른 말로 두 번 묻는 경우가 꽤 있어요.

근거 자료를 함께 보내야 한다면 무엇을 보낼지도 한 번 더 살펴보세요. 내부 정책 문서나 시스템 구성 정보에는 바깥에 나가면 곤란한 내용이 섞여 있을 수 있어요. 필요한 부분만 추리거나, 자료 대신 '요청 시 열람 가능'으로 적는 방법도 있어요. 무엇을 어디까지 보낼지는 우리 회사 책임자와 정하고, 비밀 유지 약속이 필요한지도 함께 확인해 두면 안심이에요.

그래도 판단이 서지 않는 항목이 남았다면 혼자 정답을 만들어 내지 않으셔도 돼요. 고객사 담당자에게 '이 항목은 우리 환경에서는 이렇게 운영된다'고 사실대로 설명하는 편이 오히려 신뢰를 줘요. 개인정보 처리 위탁처럼 법적 의무가 걸린 질문이라면 개인정보보호위원회 안내나 KISA 상담 창구에서 현재 기준을 확인하는 것이 정확합니다.

다음 설문이 쉬워지게 하는 습관 세 가지

한 번 설문을 마치고 나면 대부분의 회사가 비슷한 설문을 또 받게 돼요. 이번 수고를 다음에도 쓸 수 있게 해 두면, 두 번째부터는 처음의 절반도 안 되는 품으로 끝낼 수 있어요.

첫째, 이번에 쓴 답과 근거 자료 위치를 한 문서에 모아 '우리 회사 보안 답변집'으로 남겨 두세요. 다음 설문은 새로 쓰는 일이 아니라 이 답변집에서 골라 고쳐 쓰는 일이 돼요. 둘째, 하고 있는데 문서가 없던 일은 이번 기회에 짧게라도 글로 남기세요. 정책·지침·절차가 어떻게 나뉘는지 알아 두면 어느 층에 무엇을 적을지 정하기 쉬워요. 셋째, '없음'에 붙인 개선 계획을 실제 일정에 올려 두세요. 다음 설문에서 그 항목이 '있음'으로 바뀌어 있으면 고객사와의 신뢰도 자연스럽게 쌓여요.

아, 그리고 하나 더요. 이런 설문을 자주 받는 회사라면 ISMS-P 같은 관리체계 인증이 무엇을 보는지 한 번 읽어 두시면 설문 항목이 왜 그런 순서로 생겼는지 이해가 훨씬 쉬워져요. 이제 이렇게 하시면 돼요. 갈래를 나누고, 담당자에게 확인하고, '있음·부분·없음'으로 정직하게 답하고, 근거를 묶어 두는 것. 이 순서만 기억하시면 다음 설문지가 와도 손이 멈추지 않고 차분하게 끝내실 수 있어요.