보안 설문지를 대신 채워주는 서비스 런칭 글을 보다가 댓글에서 훨씬 진짜 문제가 보였다. 134포인트, 댓글 27개짜리 토론인데 반응이 거의 “이거 정말 싫다”, “시니어 엔지니어가 설문지에 끌려가는 게 답답하다”, “RFPIO 같은 툴까지 붙여도 차이가 뭔지 궁금하다” 쪽이었다. 특히 한 댓글은 CAIQ, SIG Lite, VSAQ처럼 기준이 제각각이라 증명하고 싶은 마음은 있는데 시간이 너무 많이 든다고 했다. 지금 임시 해결책은 대충 예상된다. 지난번 답변을 복사하고, 정책 문서 링크를 뒤지고, 영업팀이 슬랙에서 보안팀을 호출하고, 엔지니어가 “암호화는 뭘 쓰나요?” 같은 너무 넓은 질문에 맥락을 붙여 다시 쓴다. 문제는 답변 하나가 틀리면 딜을 놓치거나 책임 문제가 생길 수 있어서, 완전 자동화보다 사람이 검토할 수밖에 없다는 점이다. 작게 만들 제품이라면 “설문지 자동완성”보다 답변의 출처와 뉘앙스를 같이 관리하는 쪽이 더 좋아 보인다. 질문을 받으면 기존 정책·SOC2 자료·지난 답변에서 근거 후보를 붙이고, 위험한 표현에는 노란 경고를 달고, 최종 승인자가 왜 그렇게 답했는지 로그를 남기는 작은 워크벤치. 보안 설문지는 서류 작업처럼 보이지만 실제로는 매출, 법무, 엔지니어링 시간이 같이 새는 병목이었다.