안녕하세요, (주)보안클라우드 입니다. 디지털 시대가 다가오며 기업들은 점점 더 복잡하고 고도화된 보안 위협에 직면하고 있습니다. 사이버 공격의 빈도와 정교함이 증가함에 따라, 정보 유출, 데이터 손상, 서비스 중단 등의 문제는 기업의 비즈니스 연속성과 신뢰도에 막대한 영향을 미치고 있습니다. 이러한 환경에서 정보보호의 중요성은 어느 때보다도 강조되고 있으며, 이와 더불어 CISO(정보보호최고책임자)의 역할도 크게 부각되고 있습니다. 이번 블로그에서는 CISO의 구체적인 업무와 그 중요성 그리고 법규에서 제시되는 자격요건에 대해 자세히 알아보겠습니다.

CISO(Chief Information Security Officer, 정보보호최고책임자)란?

기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 등 정보보호 업무를 총괄

CISO는 조직의 정보보호 전략을 총괄하고, 사이버 보안 위험을 관리하며, 정보보호 정책을 수립 및 실행하는 최고 경영진의 일원입니다. CISO의 역할은 단순히 기술적 보안 문제를 해결하는 데 그치지 않고, 기업의 전반적인 보안 문화를 형성하고, 법적 규제를 준수하며, 전략적 비즈니스 목표를 지원하는 데까지 확장됩니다.

한국의 경우 특히 개인정보보호법, 정보통신망법 등 다양한 법적 규제들이 강화되면서, 기업들은 보다 철저한 보안 정책과 시스템을 요구받고 있습니다. 이러한 상황에서 CISO는 법적 준수와 보안 사고 예방의 중심에 서서, 기업이 법적 제재와 평판 손실을 방지할 수 있도록 합니다.

CISO 주요 역할

최근 기업들은 랜섬웨어 공격, 대규모 데이터 유출 사고 등을 경험하며 보안의 중요성을 실감하고 있습니다. 이러한 보안 사고는 기업의 신뢰도를 크게 저하시킬 수 있으며, 이에 대한 예방과 대응이 무엇보다 중요합니다. 따라서 CISO는 이러한 위협에 대비하고, 발생 시 신속하게 대응할 수 있는 체계를 마련하는 데 핵심적인 역할을 합니다. 이러한 CISO의 업무를 정보통신망법(정보통신방법 제45조의3제4항)에 고시되어 있습니다.

정보보호 계획의 수립·시행 및 개선

정보보호 실태와 관행의 정기적인 감사 및 개선

정보보호 위험의 식별 평가 및 정보보호 대책 마련

정보보호 교육과 모의 훈련 계획의 수립 및 시행

​

조금 더 이해를 돕기 위해 쉬운 역할로 나열한다면 다음과 같을 수 있습니다.

정보보호 전략 수립 : CISO는 조직의 정보보호 목표와 방향을 설정하고, 이를 달성하기 위한 전략을 수립합니다. 이는 기업의 비즈니스 목표와 연계되어야 하며, 최신 보안 트렌드와 기술을 반영해야 합니다. 예를 들어, IoT 기기, 클라우드 등과 같은 새로운 기술 트렌드에 맞춰 보안 전략을 수립해야 합니다.

위험 관리 : 기업의 자산을 보호하기 위해 보안 위험을 식별하고 평가합니다. 이를 기반으로 위험을 줄이기 위한 대책을 마련하며, 보안 사고 발생 시 효과적인 대응 방안을 준비합니다.

보안 정책 및 절차 수립 : 조직 내 모든 직원이 준수해야 할 보안 정책과 절차를 수립하고, 이를 교육 및 훈련을 통해 전파합니다. 이는 비밀번호 관리, 데이터 암호화, 접근 제어, 보안 인식 교육 등 다양한 보안 요소라고 할 수 있습니다.

규제 준수 : 한국의 법적 요구사항 및 규제 준수를 보장합니다. 개인정보보호법, 정보통신망법 등과 같은 규제는 기업의 정보보호 방침에 큰 영향을 미치며, 이를 준수하지 않을 경우 법적 제재를 받을 수 있습니다. CISO는 이러한 법적 요구사항을 철저히 이해하고, 이를 준수하기 위한 정책을 수립 및 시행합니다.

사이버 보안 인프라 관리 : 보안 솔루션 및 기술의 도입과 관리, 네트워크 보안, 침입 탐지 시스템의 인프라를 총괄합니다. 이는 외부 위협뿐만 아니라 내부의 보안 취약점도 포함됩니다.

CISO 중요성

비즈니스 연속성 보장 : CISO는 재해, 외부 공격으로부터 비즈니스 서비스가 중단되지 않도록 관리하며 사고 발생 시 이에 대한 대응 방안을 마련해야 합니다. 한 가지 예시를 들면, 기업은 재무적인 영향, 규제 준수, 법적 책임 및 직원 안전 측면에서 재해가 가져올 잠재적인 영향을 파악해 평가하기 위해 철저히 BIA(비즈니스 영향 분석)를 토대로 사업에 미치는 영향도를 파악해 재난 발생 시 우선 복구 순위를 결정해야 합니다.

기업 평판 보호 : 보안 사고는 기업의 신뢰도와 평판에 큰 타격을 줄 수 있습니다. 특히 고객의 개인정보가 유출되는 사건은 기업 이미지에 막대한 부정적 영향을 미칠 수 있습니다. CISO는 이러한 사고를 예방하고, 발생 시 신속한 대응으로 피해를 최소화함으로써 기업의 평판을 보호합니다.

법적 및 규제 요구사항 준수 : 다양한 법적 요구사항과 규제를 준수하지 않을 경우 기업은 막대한 벌금과 법적 문제를 초래할 수 있습니다. CISO는 이러한 법적 요구사항을 철저히 이해하고, 이를 준수하기 위한 정책을 수립 및 시행함으로써 기업의 법적 리스크를 줄입니다. 특히 개인정보 보호법, 정보통신망법, 신용정보법 강화에 따라 기업의 개인정보 처리 방침을 재정하는 것이 필요합니다.

정보 자산 보호 : 기업의 핵심 자산인 데이터와 정보 시스템을 보호하는 것은 기업의 경쟁력을 유지하는 데 필수적입니다. 특히, IT 기업들은 자사의 기술 정보 유출을 방지하기 위해 CISO를 중심으로 보안 체계를 강화하고 있습니다.

보안 문화 정착 : 조직 전반에 걸쳐 보안 문화를 정착시키는 것은 CISO의 중요한 역할 중 하나입니다. 이는 단순히 기술적 조치에 그치지 않고, 전 직원이 보안의 중요성을 인식하고 이를 실천하도록 유도하는 것을 포함합니다. 정기적인 보안 교육과 훈련을 통해 직원들의 보안 인식을 높이고, 이를 통해 전체적인 보안 수준을 강화할 수 있습니다.

​

지정 및 신고 의무대상자

지금까지 위에서 현대 사회에서 CISO의 중요성에 대해 이야기하였습니다. 위와 같은 이유로 한국은 정보통신망법에서 의무적으로 CISO를 지정 및 신고를 해야 하는 법을 제시하고 있습니다.

정보통신망법 제45조의3제1항

하지만 모든 기업들이 CISO를 지정 및 신고를 해야 하는 것은 아닙니다. 위의 고시를 보면 자산총액, 매출액 등 대통령령으로 정하는 기준의 경우 의무 신고 제외대상이 될 수 있습니다.(제36조의7제1항)

(자본금 1억 이하 부가통신사업자) "전기통신사업법"에 따라 부가통신사업을 신고한 것으로 보는 자

(소상공인) 소기업 중 상시 근로자 수가 10명 미만이고, 주된 사업에 종사하는 상시 근로자 수가 관업, 제조업, 건설업, 운수업은 10명 미만, 그 밖의 업종은 5명 미만인 자

(소기업 등) "중소기업기본법" 상 소기업(전기통신사업자와 집적정보통신시설사업자 제외)으로 전년도 정보통신서비스 부문 매출액이 100억원 미만이고, 전년도 말 기준 직전 3개월의 일일 평균 이용자 수가 100만명 미만인 자

CISO 자격 요건

정보보호에 대한 기업의 최고책임자는 아무나 쉽게 될 수 있는 것은 아닙니다. CISO가 되기 위해선 정보통신망법에 고시되어 있는 자격요건을 충족하는 인물만이 CISO로 지정 가능합니다.

정보통신망법 시행령 제36조의7제4항

오늘은 기업의 정보보호를 총괄하고, 사이버 보안 위험을 관리하며 정보보호 정책을 수립 및 실행하는 CISO에 대해 이야기해 보았습니다. CISO는 정보통신망법에 따라 엄격하게 규정되어 있는 만큼 기업에서 중요한 역할을 차지합니다. 중요 역할을 맡은 만큼 "한국 CISO 협의회"와 같은 비영리 단체가 만들어져 최신 보안 동향과 기술을 습득하고, 상호 교류를 통해 기업의 정보보호 수준을 높이며 전반적인 보안 역량을 강화하는 데 큰 기여를 합니다. 기업들은 더욱 안전하고 신뢰할 수 있는 디지털 환경을 구축하고, 사용자들은 이를 안전하게 이용하여 상호 모두 윈윈하는 환경이 만들어졌으면 좋겠습니다.