모 정부출연기관 프로젝트를 마쳤다. 작년에도 진단을 진행한 곳이기에 2023년의 자료 및 결과물을 확인할 수 있었다. 그리고 느낀 것은 ISO 27001이건, ISMS-P건, 무엇이건, 결국 중요한 건 나의 능력이라는 점이었다. 예를 들어, 한 항목에 대해 작년과 같은 스크립트 값을 얻었지만, 작년의 담당자는 양호로 판단했고, 나는 그것을 취약으로 판단했다. 가이드라인에는 양호와 취약에 대한 명확한 설명이 되어있으나, 실제 현장은 문서와 다소 차이가 있는 탓에 이런 일이 발생했다고 생각한다. ① A 프로그램을 가이드라인에서는 취약한 프로그램으로 여긴다. 그런데 이 프로그램은 도무지 일반적인 방식으로는 삭제가 되질 않는다. 삭제가 되지 않는 프로그램인 A가 계속 남아있는데, 이것을 취약으로 주어야 할까? ..
