29. 보안팀에서 우선순위를 세울 때 써먹었던 간단한 기준 세 가지

보안·개인정보 업무를 하다 보면
해야 할 일 목록은 계속 늘어나는데
인력과 시간은 그만큼 따라오지 않는 경우가 많다.

모든 이슈를 “중요하다”라고만 할 수는 없기 때문에
결국 우선순위를 세워야 한다.
실무에서 조금이라도 혼란을 줄여 보려고
개인적으로 자주 썼던 기준 세 가지를 정리해 본다.

규제·법적 리스크 기준: “문제가 생기면 바로 설명을 요구받는가”

첫 번째로 보는 축은
규제기관·감사·심사와 직결되는지 여부다.

예를 들어,

• 법령에서 명시적으로 요구하는 보호조치(암호화, 접근통제, 접속기록 보관 등)
• 인증(ISMS-P, ISO27001 등)에서 필수 점검 항목
• 사고 발생 시 대외 공지·신고 의무가 생기는 영역

은 우선순위를 최대한 상단으로 올렸다.

이 영역에서 이슈가 나면
설명해야 할 대상이
내부를 넘어 외부까지 넓어지기 때문에,
다른 업무가 조금 밀리더라도
먼저 처리하는 편이 장기적으로 조직 부담을 줄여준다고 느꼈다.

비즈니스 임팩트 기준: “장애/유출 시 실제 서비스에 미치는 영향은 어느 정도인가”

두 번째 축은
서비스·매출·고객 경험에 미치는 영향이다.

• 코어 서비스 로그인/결제/주요 트랜잭션
• 대량의 고객 데이터가 존재하는 시스템
• 파트너/외부 고객이 직접 사용하는 포털

과 관련된 이슈는
조금 사소해 보이더라도
우선 대응 대상으로 올렸다.

반대로,
내부만 사용하는 서브 시스템이나
테스트 환경의 이슈는
리스크 수준을 정리해 놓고
중장기 개선 과제에 묶어 관리하는 방식을 택했다.

여기서는 “가용성·무결성·기밀성” 세 축을 함께 보고
각 축에서 발생 가능한 피해 시나리오를
간단히라도 적어보는 것이 도움이 됐다.

재사용성과 구조 개선 관점: “한 번 손보면 비슷한 이슈를 얼마나 줄일 수 있는가”

세 번째 축은
해당 작업이 장기적으로
얼마나 많은 반복 업무를 줄여 줄 수 있는지다.

예를 들어,

• 같은 유형의 질문이 계속 들어오는 항목을 FAQ·가이드로 정리
• 자주 틀리는 설정값을 템플릿/자동화로 고정
• 유사한 평가 항목을 표준 체크리스트로 통합

같은 작업은
당장 눈앞의 긴급도는 낮아 보일 수 있지만,
한 번 정리해 놓으면
동일 유형의 이슈를 크게 줄여준다.

그래서 개인적으로는
“규제·비즈니스 리스크가 비슷하다면,
반복 업무를 줄여주는 작업을 우선한다”
라는 원칙을 두고 판단했다.

실제 우선순위 정할 때 써먹을 수 있는 간단한 스코어링

실제 현장에서
모든 이슈를 이 세 기준으로 정리하는 건 어려울 수 있지만,
대략적인 스코어링만 해도 의사결정이 빨라진다.

각 이슈에 대해

• 규제/법적 리스크: 1~3점
• 비즈니스 임팩트: 1~3점
• 재사용성/구조개선 효과: 1~3점

을 대략적으로 매겨 보고
합산 점수를 기준으로 “지금 당장”, “이번 분기”, “중장기 과제” 정도로 나누면
회의에서 우선순위를 설명하기가 훨씬 수월해진다.

완벽한 척도는 아니지만,
감정이나 목소리 크기에 좌우되지 않고
조금 더 객관적인 기준으로 논의할 수 있다는 장점이 있다.

정리

보안팀 우선순위 설정은
“무엇이 가장 무서운가”가 아니라
“무엇을 먼저 설명할 수 있어야 하는가”를 정하는 작업에 가깝다고 느꼈다.

규제·법적 리스크, 비즈니스 임팩트,
재사용성과 구조 개선 효과
이 세 축만 머릿속에 두고 있어도
많은 이슈들 사이에서
조금은 덜 흔들리면서
결정을 내릴 수 있었다.