보안 업무를 처음 맡으면 생기는 일, 그리고 대처의 틀

첫 담당자가 마주하는 풍경

어느 날 갑자기 보안 담당이 되어 자리에 앉으면, 뭐부터 손대야 할지 몰라 막막하시죠. 할 일 목록은 여기저기서 계속 내려오는데 그 순서를 정해 주는 사람은 없고, 요청하는 쪽은 모두 자기 건이 급하다고 해요. 이 글에서는 첫 담당자가 흔히 겪는 상황과, 그 안에서 버틸 수 있는 사고 틀을 정리해 드릴게요.

점검 요청, 교육 일정, 문의 대응, 상위 기관이나 고객사에서 온 자료 요구가 동시에 들어와요. 여기에 자원의 제약이 겹쳐요. 조직이 크지 않으면 보안 담당이 한 명이거나, 다른 업무와 겸직인 경우도 흔하고요.

이러다 보니 자주 나타나는 반응이 두 가지예요. 들어오는 요청을 순서대로 다 처리하려다 지치거나, 무엇부터 손대야 할지 판단이 서지 않아 문서 작업만 반복하는 거예요. 둘 다 성실함의 문제가 아니라 틀의 문제라서, 틀만 바꿔도 숨통이 트여요.

현업의 저항은 대체로 반대가 아니다

새 통제를 도입하려 할 때 현업 부서에서 나오는 반응은 대개 비슷해요. 지금도 바쁜데 절차가 하나 더 늘어난다는 것, 예전에는 이렇게 안 했는데 왜 갑자기 바뀌느냐는 것, 그리고 사고가 난 적도 없는데 굳이 필요하냐는 것이에요. 아시죠 그 느낌? 이 반응들을 보안에 대한 적대감으로 해석하면 대화가 금세 갈등으로 바뀌어요.

실제로 이 반응들의 공통 뿌리는 대개 하나예요. 자기 업무 시간이 늘어난다는 예측이에요. 그래서 대화의 출발점을 '이 통제를 받아들여 달라'가 아니라 '이 통제 때문에 당신의 무엇이 늘어나는지 알려 달라'로 바꾸면 분위기가 달라지는 경우가 많아요. 늘어나는 부담을 구체적으로 확인하고 나면 같은 목적을 달성하면서 부담이 적은 방법을 찾을 여지가 생기고, 그렇게 조정된 통제는 실제로 지켜질 확률이 훨씬 높아요. 지켜지지 않는 완벽한 통제보다 지켜지는 현실적인 통제가 조직을 더 안전하게 만들어요.

'왜 이걸 해야 하나'에 답하는 틀

이 질문에 '규정에 있으니까요'라고 답하는 순간 대화도 협조도 함께 끝나요. 규정은 근거이지 설득이 아니거든요. 실제로 통하는 답변은 대개 세 가지 요소를 담고 있어요. 이 일이 없을 때 조직이 잃게 되는 것(고객 데이터, 서비스 중단, 계약이나 인증 자격), 그 손실이 발생하는 경로(어떤 상황에서 어떻게 문제가 되는지의 구조), 그리고 지금 요청하는 행동이 그 경로의 어느 지점을 끊는지예요.

혹시나 해서 하는 말인데, 여기서 주의할 점은 공포에 기대지 않는 거예요. 최악의 시나리오를 과장해 겁을 주는 방식은 첫 한 번은 먹힐지 몰라도 반복되면 신뢰를 잃고, 이후의 정당한 요청까지 함께 밀려나게 만들어요. 확인된 사실과 추정을 구분해 말하고, 모르는 건 모른다고 말하는 담당자가 결국 더 많은 협조를 얻어요. 신뢰는 보안 담당자의 가장 실용적인 업무 자산이에요.

우선순위: 다 할 수 없다는 전제에서 시작

첫해에 모든 것을 정상화하겠다는 계획은 대개 어긋나요. 대신 쓸 만한 접근은 순서를 세 단계로 나누는 거예요. 먼저 지금 조직이 무엇을 가지고 있는지 파악해요. 어떤 시스템이 있고, 어떤 데이터가 어디에 쌓이고, 누가 어떤 권한을 가지고 있는지요. 자산 목록이 없는 상태에서 세운 대책은 대상 없이 만든 계획이라 실행 단계에서 흔들리기 쉬워요.

다음으로, 사고가 났을 때 피해가 크고 지금 상태가 취약한 지점부터 손을 대요. 모든 위험을 같은 무게로 다루면 정작 중요한 곳에 자원이 가지 않거든요. 마지막으로, 한 번 조치하면 계속 효과가 유지되는 항목을 우선해요. 예를 들어 퇴직자 계정 회수 절차를 만들어 두는 일은 한 번의 작업으로 반복되는 위험을 줄여 주지만, 개별 문의에 그때그때 답하는 일은 아무리 열심히 해도 다음 달에 같은 양이 다시 들어와요. 이 구분 하나만 잡아도 하루가 훨씬 정리돼요.

기록이 담당자를 지킨다

보안 업무에서 기록은 형식적인 절차가 아니라 실질적인 보호 장치예요. 무엇을 언제 확인했는지, 어떤 위험을 발견해 누구에게 보고했는지, 그 결과 조직이 어떤 결정을 내렸는지가 남아 있어야 해요. 특히 위험을 보고했지만 비용이나 일정 때문에 수용하기로 결정된 건은 그 결정과 근거를 반드시 남겨 두세요. 나중에 문제가 생겼을 때 기록이 없으면 그것은 '담당자가 몰랐던 일'이 되어 버리거든요.

기록의 두 번째 쓸모는 인수인계와 개선이에요. 첫 담당자가 남긴 문서는 다음 담당자의 출발점이 되고, 반복해서 올라오는 문의의 목록은 어떤 안내가 부족한지를 알려 줘요. 거창한 양식이 필요한 건 아니에요. 날짜, 확인한 사실, 판단, 다음 행동 네 가지만 꾸준히 남겨도 충분히 제 역할을 해요.

이제 이렇게 하시면 돼요. 오늘은 자산과 계정 현황을 한 장으로 정리해 보시고, 내일부터는 확인한 것을 네 줄로 적는 습관만 붙이시면 돼요. 완벽한 체계를 먼저 설계하지 않아도 괜찮아요. 이 두 가지만 굴러가기 시작하면 요청이 몰려와도 무엇을 먼저 할지 스스로 답할 수 있게 되고, 그 순간부터 이 일은 훨씬 할 만해져요. 처음 몇 달은 누구나 헤매지만, 목록과 기록이 쌓이는 만큼 막막함은 확실히 줄어들어요. 첫 담당자의 진짜 성과는 완성된 체계가 아니라, 다음 사람이 이어받을 수 있는 출발점을 만들어 두는 일이에요.