어느 날 거래하는 대기업에서 엑셀 파일 하나가 옵니다. "협력업체 보안점검 체크리스트, 2주 내 회신 바랍니다." 항목은 50개가 넘고, 처음 보는 용어가 가득합니다. 처음 받은 회사가 이 순서로 움직이면 실수를 크게 줄일 수 있습니다.
1. 점검 방식과 일정부터 확인하세요
같은 체크리스트라도 서면 회신만 하는지, 현장 실사가 있는지, 이행점검(재점검)이 언제인지에 따라 준비가 달라집니다. 회신 기한, 증적 제출 형식(캡처 · 문서 · 시연), 담당자 연락처를 먼저 확인하세요. 기한이 촉박하면 "조치 예정 항목은 계획과 일정으로 회신 가능한지"도 물어보는 것이 좋습니다.
2. 점검 대상 시스템을 빠짐없이 적으세요
점검 대상은 홈페이지 하나가 아닙니다. 고객사 정보나 고객 개인정보를 다루는 관리자 페이지, ERP · 그룹웨어, 영업관리 시스템, 모바일 앱, 서버 · DB, 업무용 PC까지 들어갑니다. 시스템 목록과 각 시스템을 만든 업체, 서버 위치를 표로 정리해 두면 이후 모든 작업이 빨라집니다.
3. 항목마다 "지금 상태"를 표시하세요
체크리스트 옆에 열을 하나 만들어 충족 / 일부 충족 / 미흡 / 해당 없음을 표시합니다. 이때 "아마 될 거예요"가 아니라 실제 화면이나 설정으로 확인해야 합니다. 로그인 5회 실패 잠금, 장기 미접속 계정 차단, 접속기록 보관 기간처럼 확인 방법이 명확한 항목부터 시작하세요.
4. 미흡 항목을 "문서로 해결"과 "개발 필요"로 나누세요
내부관리계획 갱신, 교육 기록, 서약서처럼 문서로 해결되는 항목은 바로 처리합니다. 2단계 인증, 계정 잠금, 개인정보 암호화, 다운로드 사유 기록처럼 시스템 개발이 필요한 항목은 일정과 비용이 들기 때문에 우선순위를 정해야 합니다. 저희가 대응한 점검에서는 지적 사항 22건이 결국 시스템 기능 개발로 이어졌습니다.
5. 증적은 항목 번호에 맞춰 모으세요
조치를 해도 증적이 없으면 인정받기 어렵습니다. 증적 파일명을 점검 항목 번호에 맞추고(예: 2.1.A_계정잠금.png), 개인정보가 보이는 부분은 마스킹합니다. 회신서에는 항목마다 조치 완료 / 조치 예정(일정) / 해당 없음(사유)을 분명하게 적습니다.
정리
보안점검은 한 번 회신하고 끝나지 않습니다. 이행점검과 다음 해 정기점검이 이어지므로, 조치한 상태를 매달 유지하고 기록하는 체계를 함께 만들어 두는 것이 가장 효율적입니다. 항목별 요구 내용과 구현 방법은 보안점검 체크리스트 항목별 대응 가이드에서 확인할 수 있습니다.