공급업체 보안 질문서 답변법 — 확인된 근거와 미확인 항목 구분하기

기준일 2026-10-14 · AZET 운영팀 작성

구매 담당자가 보낸 보안 질문서에 예·아니요 칸만 있어도, 질문의 범위를 모른 채 체크부터 하면 답변의 의미가 달라질 수 있습니다. 이 글은 AZET 운영팀의 실무 참고용 작성 제안이며, 질문의 적용 조건은 대상 제품과 고객의 사용 환경마다 다릅니다.

질문이 가리키는 대상을 먼저 맞춥니다

“접근 권한을 관리합니까?”라는 질문은 고객 사용자, 공급업체 직원, 외부 협력 인력 중 누구를 뜻하는지에 따라 확인할 자료가 달라집니다. 계정 범위, 대상 환경, 요청한 기간을 문장으로 풀어 적고 모호한 부분을 질의합니다.

보안 질문서 답변은 회사 전체에 대한 인상을 적는 글이 아닙니다. 해당 제품과 환경에서 확인한 내용을 요청 범위에 맞춰 연결하는 작업으로 다룹니다. 다른 서비스의 문서를 가져왔다면 같은 범위에 적용되는지부터 확인합니다.

답변 상태	필요한 기록	제출 전 확인
확인됨	근거 위치·범위·확인 날짜	질문 대상과 일치하는지
일부 확인	확인한 부분과 남은 조건	전체 충족으로 읽히지 않는지
미확인	확인할 담당자와 질문	추정으로 빈칸을 채웠는지
적용 제외	해당하지 않는 이유	구매 고객과 해석이 같은지

정책 문서와 실행 기록을 구분합니다

내부 지침에 적힌 절차와 그 절차를 실행한 기록은 서로 다른 근거입니다. 질문이 운영 여부를 묻는데 지침 제목만 적으면 실행 범위까지 답한 것처럼 보일 수 있습니다. 어떤 종류의 근거를 요구하는지 확인한 뒤 연결합니다.

근거 목록에는 문서 이름뿐 아니라 관련 항목, 작성 또는 확인 시점, 적용 환경을 적습니다. 오래된 기록으로 현재 상태를 추정하지 않고, 변경된 내용이 있는지 담당자에게 확인합니다. 확인한 사람의 이름은 내부 관리 범위에서 다룹니다.

외부로 제공할 자료는 내용 확인과 공유 가능 범위를 따로 검토합니다. 비밀번호, 개인 정보, 불필요한 시스템 세부 정보가 답변 첨부에 섞이지 않도록 필요한 부분만 선정합니다. 상세 자료를 제공하기 어렵다면 답변 가능한 요약 범위를 담당자와 정합니다.

작성자와 확인자의 일을 나눕니다

영업 또는 구매 대응 담당자는 질문 번호를 유지하고 누락 항목을 정리합니다. 실제 운영을 아는 담당자는 근거와 답변 범위를 확인합니다. 서로 다른 부서의 답변이 충돌하면 편집자가 임의로 하나를 선택하지 않고 쟁점을 되돌려 확인합니다.

제출 초안에는 각 답변과 근거를 한 쌍으로 연결합니다. “예”라고 답할 수 있는 조건이 붙는다면 별도 설명 칸이나 첨부 문서에서 그 조건을 읽을 수 있게 합니다. 향후 계획은 현재 확인된 상태와 분리해 적습니다.

이 글의 절차는 질문서 편집과 업무 분담을 위한 제안입니다. 제품의 안전성이나 법적 적합성을 판정하지 않으며, 제출 답변의 최종 범위는 해당 사안을 검토할 책임자가 확인해야 합니다.

자주 묻는 질문(FAQ)

Q1. 예·아니요만 입력되는 양식에는 어떻게 답하나요? 질문 해석과 조건을 설명할 경로를 구매 고객에게 확인합니다. 부분 확인 상태를 전체 확인으로 바꾸어 입력하지 않습니다.

Q2. 전년도에 제출한 답변을 다시 써도 되나요? 초안의 출발점으로는 사용할 수 있습니다. 대상 제품과 운영 범위, 근거 날짜를 다시 대조하고 달라진 부분을 갱신합니다.

Q3. 아직 확인하지 못한 항목은 아니요로 표시하나요? 미확인과 미충족은 구분합니다. 양식에서 구분하기 어렵다면 보충 설명을 붙일 방법을 확인하고 담당자와 회신 시점을 정합니다.

AZET에 관한 소개는 AZET 안내에서 확인할 수 있습니다.