보안·개인정보 업무를 하다 보면해야 할 일 목록은 계속 늘어나는데인력과 시간은 그만큼 따라오지 않는 경우가 많다.모든 이슈를 “중요하다”라고만 할 수는 없기 때문에결국 우선순위를 세워야 한다.실무에서 조금이라도 혼란을 줄여 보려고개인적으로 자주 썼던 기준 세 가지를 정리해 본다.규제·법적 리스크 기준: “문제가 생기면 바로 설명을 요구받는가”첫 번째로 보는 축은규제기관·감사·심사와 직결되는지 여부다.예를 들어,법령에서 명시적으로 요구하는 보호조치(암호화, 접근통제, 접속기록 보관 등)인증(ISMS-P, ISO27001 등)에서 필수 점검 항목사고 발생 시 대외 공지·신고 의무가 생기는 영역은 우선순위를 최대한 상단으로 올렸다.이 영역에서 이슈가 나면설명해야 할 대상이내부를 넘어 외부까지 넓어지기 때문에,..