[한국정보공학기술사 보안을 論하다-45] 처벌이 곧 보안은 아니다: CISO 거버넌스가 나아갈 길

제재보다 중요한 건 귀책 사유... 개인정보 일반법은 개인 책임 아닌 조직 책임 물어
CISO 개인의 태만? 인력·예산·실시간 탐지체계 등 조직적 한계? 인과관계 따져봐야

[보안뉴스= 이아람 기술사] 지난 8월 초, 금융감독원이 롯데카드 전·현직 정보보호 최고책임자(CISO: Chief Information Security Officer) 모두에게 정직과 함께 금융권 4년 취업제한이라는 중징계를 확정했다. 2025년 8월 해킹으로 297만 명의 고객정보가 유출된 사고의 후속 조치다. 보안팀장 2명도 감봉 처분을 받았다. 이에 앞서 금융위원회는 회사 자체에 신규 카드 발급 1.5개월 정지와 과징금 50억 원을 의결한 바 있다.

기관 제재는 그렇다 치더라도, CISO 개인에 대한 이번 중징계는 보안 거버넌스 실무자의 시각에서 볼 때 짚어야 할 문제가 분명하다.

구조적 한계와 책임의 괴리: 권한과 실무의 불일치
최근 전자금융감독규정에서의 CISO 권한 강화를 위해서 이사회 보고 역할 등을 추가했지만, 해당 규정만으로는 현장에서의 권한이 단기간 내에 추가되지는 않는다. 이건 한국 금융권만의 특수한 사정이 아니라 구조적인 문제다. 패치 적용, 암호화, 백신 도입처럼 이번 롯데카드 사고에서 지적된 항목들은 하나같이 ‘예산이 배정돼야 실행되는’ 항목이다. CISO가 법적·제도적으로 임명되어 명목상 책임을 부여받는 자리라 하더라도, 최종 예산 집행이나 자원 할당을 독자적으로 관장할 수 있는 실질적 통제력이 경영진에 종속된 경우가 많다.

물론 규제 당국이나 경영진 측에서는 “법적으로 그 자리에 앉아 책임을 지도록 설계된 만큼, CISO가 이사회나 대표이사를 상대로 더 강하게 예산 편성을 요구했어야 하는 것 아니냐”고 반문할 수 있다. 그러나 공식적인 예산 요구 채널과 실질적 거버넌스가 원활히 작동하지 않는 조직적 한계 속에서, 실무 현장에는 두 가지 왜곡된 반응이 나타난다. 하나는 유능한 인재일수록 이러한 구조적 부담 때문에 CISO 보임을 기피하는 것이고, 다른 하나는 이미 CISO 자리에 있는 사람들이 ‘취약점을 근본적으로 고치는 일’보다 ‘사후 책임을 피하기 위한 방어적 문서 남기기’에 더 공을 들이게 되는 것이다. 개선 요청 공문, 예산 신청 이력, 경영진 보고 기록을 쌓는 데 에너지를 쓰는 조직일수록, 정작 패치 적용률이나 실질적 방어 태세는 뒤처지기 쉽다. 제재가 의도한 것과 정반대의 결과다.

이 진단은 정부도 이미 하고 있다. 2025년 10월 22일 발표된 범정부 정보보호 종합대책에는 금융권 CISO에게 모든 IT 자산에 대한 통제권을 부여하고, 이사회 정기 보고를 의무화하며, 정보보호 인력·예산의 편성·집행 권한까지 주는 방안이 담겼다. 이걸 뒷받침할 전자금융거래법 개정안도 국회에 발의돼 계류 중이다. 즉 정부 스스로 “지금 CISO에게는 실질적인 예산·자산 통제권과 독립적 집행력이 부족하다”는 점을 인정하고 사후 대책을 내놓은 셈인데, 정작 그 이전 구조에서 일했던 CISO에게는 이미 최고 수위 개인 제재가 확정됐다. CISO가 정보보호위원회 심의 사항을 이사회에 직접 보고하도록 한 감독규정 개정 조항 역시 2025년 8월 5일부터야 시행됐다.

CPO(Chief Privacy Officer)와 CISO는 서로 다른 법률에 근거한 직책이지만, 현장에서는 동일인이 맡거나 하나의 보안 거버넌스 아래 운영되는 경우가 적지 않다. 두 제도가 실무 책임자의 법적 책임을 어떻게 설정하는지는 함께 비교해 볼 필요가 있다.

2017년 하나투어 해킹(고객정보 46만여 건 유출) 당시 개인정보관리책임자는 안전조치 의무를 소홀히 했다는 이유로 형사처벌(벌금 1000만원)까지 받았다. 그런데 이 처벌 근거였던 조항은 2023년 9월 폐지됐다. “안전조치 미비로 인한 유출 책임은 기업이 질 문제이지, 실무 책임자 개인을 형사처벌할 사안이 아니다”라는 공감대가 입법에 반영된 결과다.

즉 개인정보 일반법 영역은 “실무 책임자 개인 처벌은 과도하다”며 처벌 자체를 없애는 쪽으로 갔는데, 금융권은 거꾸로 CISO 개인에 대한 행정제재(정직·취업제한)를 강화하는 쪽으로 가고 있다. 형사처벌이 아니라고 해서 가벼운 게 아니다. 정직과 4년간의 동종업계 재취업 금지는 열심히 일해온 한사람이 더 이상 해당 도메인에서 근무할 수가 없는 현대판 귀향과 같은 조치이다. 보안 거버넌스를 개선하는 방향이 인접 법 분야와 정반대로 가는 지금의 흐름은 다시 짚어볼 필요가 있다.

이번 사고, 실제로 뭐가 문제였나
한편, 2026년 7월 개인정보보호위원회는 KT·LG유플러스의 개인정보 유출 사고를 처분하며 조사방해·증거인멸 정황(서버 폐기 시점 허위 진술, 조사 전 서버 폐기 등)을 이유로 KT를 수사의뢰하고 LG유플러스를 수사 대상에 올렸다. 이를 계기로 조사 착수 전 증거은닉·폐기 자체를 형사처벌하는 방향의 개인정보보호법 개정도 추진 중이다. 근거 법률과 소관 기관, 제재 대상(회사 대 개인)이 달라 롯데카드 사안과 직접 비교하기는 어렵지만, ‘고의성’이 문제 될 때 어떤 사실관계가 요구되는지를 보여주는 사례로 참고할 만하다. 그렇다면 롯데카드는 어땠을까.

기술적으로 이번 사고의 원인은 명확하다. 공격에 악용된 취약점(오라클 웹로직 원격코드실행, CVE-2017-10271)은 2017년에 이미 패치가 나와 있었는데도 장기간 방치돼 있었다. 최초 침입은 2025년 8월 중순으로 추정되며, 롯데카드는 침입 후 약 2주 뒤인 8월 26일에야 이를 인지했고, 금융당국에는 9월 1일에야 신고했다. 초기에는 유출 규모를 1.7GB로 보고했지만, 실제로는 그 100배인 200GB에 달하는 것으로 뒤늦게 드러났다.

물론, 패치가 있는데 불구하고 조치하지 않았던 점은 명확한 패치 관리 미흡이며, 분명히 지탄받아야 마땅한 부분이다. 다만, 여기서 짚어야 할 건 이 결과가 ‘고의적 은폐’인지 ‘구조적 방치’인지, 아니면 ‘CISO 개인의 관리 실패’인지다. 그런데 공개된 정보만으로는 이 셋을 구분할 수 없다. 패치가 안 됐다, 암호화가 안 됐다, 백신이 없었다는 건 ‘결과’이지 ‘원인’이 아니다. CISO가 개선을 요청했는데 예산이 거부됐는지, CISO가 요청 자체를 안 했는지, 아니면 요청은 했지만 관리·점검을 소홀히 했는지는 전혀 다른 이야기이고, 이 인과관계에 따라 책임의 성격도 완전히 달라진다.

문제는 바로 이 지점이다. 금감원이 공개한 CISO 개인 중징계 사유는 패치 미적용, 개인정보 암호화 미이행, 백신 미설치 등 보안관리 부실이다. 별개로 확인된 사실관계로는 침입 인지까지 약 2주, 신고까지 다시 6일이 걸렸고, 초기 유출 규모도 실제보다 크게 축소해 보고됐다. 다만 이러한 지연이 CISO 개인의 태만 때문인지, 아니면 인력·예산·실시간 탐지체계 등 조직적 한계가 작용한 결과인지는 외부에 공개된 자료만으로는 확인하기 어렵다. 금감원이 현장검사 과정에서 조직적 한계와 CISO 개인의 귀책을 어떻게 구분해 판단했는지 역시 공개되지 않았다. 결국 외부에는 정직과 4년간의 취업제한이라는 최고 수위 개인 제재만 제시된 셈이다. 판단 기준이 충분히 설명되지 않는다면, 가중한 제재의 정당성을 둘러싼 논쟁은 앞으로도 반복될 수밖에 없다.

법적으로도 무리한 적용인가
이번 조치는 CISO만을 겨냥해 새로 만든 특별 제재는 아니다. ‘금융회사의 지배구조에 관한 법률’ 제5조는 금융당국으로부터 일정 수준 이상의 중징계를 받은 사람에 대해 일정 기간 금융회사 임원 자격을 제한하도록 규정하고 있다. 해당 CISO가 이 규정의 적용 대상이라면, 은행장 등 다른 금융회사 임원과 동일한 자격 제한이 적용된다.

다만, 보다 본질적인 쟁점은 선행 단계에서 CISO 개인에게 중징계를 내리면서 그의 실제 권한과 의무, 예산·인력 통제권, 사고 발생과의 인과관계를 충분히 심사했느냐는 데 있다. 법적으로는 임원 자격 제한이지만, 실무적으로는 4년간 금융권 재취업이 사실상 제한되는 효과를 낳는다. 이러한 중대한 불이익을 부과하면서도 CISO 개인의 귀책과 조직적 책임을 충분히 구분하지 않았다면, 그 제재에 연동되는 장기간의 자격 제한 역시 과도한 결과를 초래할 수 있다.

결국 법적 쟁점은 CISO에게 아무런 책임도 물을 수 없다는 데 있지 않다. 실질적인 예산·인력 통제권이 경영진에 있는 상황에서 CISO 개인의 권한과 귀책, 위반행위와 사고 결과 사이의 인과관계를 구체적으로 심사했는지, 그리고 그에 비추어 중징계와 그에 따른 장기간의 금융권 재취업 제한이 비례원칙에 부합하는지를 따져야 한다. 이러한 판단 과정이 충분히 설명되지 않은 채 결과만 제시된다면, 제재의 정당성을 둘러싼 논란은 피하기 어렵다.

결론: 처벌이 곧 보안 강화는 아니다
CISO를 처벌하는 것과 조직의 보안 수준을 높이는 것은 별개의 문제다. 권한 없이 책임만 지는 자리라면 유능한 인재는 CISO를 기피하고, 남은 사람들은 사고를 막기보다 책임을 피하기 위한 방어적 문서와 보고에 집중하게 된다. 그 결과 보안 거버넌스는 강화되기보다 오히려 형식화될 위험이 크다.

필요한 것은 CISO 개인에 대한 사후 제재를 강화하는 일이 아니다. 기업의 보안 자율성을 높이고, 그 권한에 상응하는 책임을 기업이 지도록 예산 편성권과 인력 배치권, 독립적인 보고 체계 등 실질적인 권한을 보장하고, 그 권한에 상응하는 책임을 지도록 제도를 설계해야 한다. 동시에 정보보호를 특정 개인의 문제가 아니라 경영진과 이사회가 함께 책임지는 조직의 거버넌스 과제로 전환해야 한다.

보안은 사고가 난 뒤 가장 눈에 띄는 사람을 처벌한다고 강화되지 않는다. 이런 형태의 처벌이 반복된다면 남아있는 거는 도마뱀이라는 기업의 버려진 꼬리만 무수히 남게 될 것이다. 책임을 묻기 전에 권한을 부여하고, 개인보다 조직의 책임 구조를 먼저 바로잡는 것. 그것이 같은 사고를 반복하지 않는 가장 현실적인 해법이다.

필자 소개
-한국정보공학기술사회 미래융합기술원 보안분과 부원장
-정보관리기술사, 정보시스템 수석감리원, ISMS-P 인증심사원, 개인정보 역량평가 전문인력

[글_이아람 기술사/한국정보공학기술사회]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다