요즘 B2B 팀들 얘기를 들으면 보안 설문지가 은근히 매출 병목이 되는 경우가 많다. Hacker News에서 134포인트, 댓글 27개까지 붙은 “Doing Security Questionnaires, So Your Team Isn't” 글도 딱 그 결이었다. 댓글 첫 줄부터 “security questionnaires가 정말 싫다”는 반응이 나오고, 이미 RFPIO 같은 비싼 툴을 쓰는 팀도 “어떻게 다른가”를 묻더라. 재밌는 건 다들 완전히 자동화된 마법을 원하는 게 아니라는 점이다. 실제로는 예전 답변, 정책 문서, SOC2 캡처, 법무/보안팀 슬랙 답변을 긁어와서 스프레드시트에 붙이고, 애매한 질문만 담당자에게 다시 물어본다. 문제는 이 작업이 신규 고객마다 거의 같은데, 표현만 조금씩 달라서 매번 다시 읽고 다시 승인받는다는 것. 작게 시작한다면 거창한 GRC 플랫폼보다 “지난 답변과 근거 문서를 찾아 초안 만들고, yes-but 메모와 개선 과제를 남기는 보안 설문지 인박스”가 더 현실적으로 보인다. 세일즈는 딜 지연을 줄이고, 보안팀은 반복 답변을 줄이고, 제품팀은 설문지에서 계속 튀어나오는 약한 통제 항목을 backlog로 볼 수 있으니까.