권한 없는 CISO에게 책임만 묻는다면, 누가 CISO를 하려고 할까
최근 금융권 보안사고와 제재 내용을 보면 한 가지 생각을 하지 않을 수 없다.
“이 정도로 보안 수준이 높은 금융회사에서도 사고를 막지 못했는데, 일반 기업의 CISO가 과연 무엇을 할 수 있을까?”
그리고 더 중요한 질문이 있다.
“앞으로 대형 보안사고가 발생했을 때 CISO에게만 책임을 묻는 것이 과연 공정한가?”
2026년 7월 31일 금융당국이 공개한 롯데카드 수시검사 제재내용은 이 질문을 상당히 무겁게 만든다.
롯데카드는 기관에 대해 업무 일부정지 1.5개월과 과징금 50억원의 제재를 받았고, 임원과 직원에게도 각각 문책경고 수준 및 정직·감봉 등의 제재가 내려졌다. 사고 과정에서 약 297만명의 고객 신용정보가 유출된 것으로 확인됐다.
그런데 이 사건을 단순히
“보안을 제대로 하지 못했으니 CISO가 책임져야 한다.”
라고 바라보면 중요한 부분을 놓치게 된다.
오히려 이 사건에서 우리가 주목해야 할 것은 CISO가 무엇을 알고 있었고, 무엇을 보고했으며, 그 이후 경영진이 무엇을 했는가이다.
1. 금융권 CISO조차 알고도 해결하지 못한 문제가 있었다
이번 제재내용에는 상당히 의미 있는 대목이 나온다.
롯데카드는 온라인 결제 서버 5대에 중요 취약점 보안패치를 적용하지 않았다.
문제의 취약점은 이미 오래전부터 알려져 있었고, 제조사인 오라클이 보안패치를 배포했으며 금융보안원도 여러 차례 패치 적용을 권고했다. 금융감독원 역시 개선을 요구한 사실이 확인됐다.
여기까지만 보면 흔히 이렇게 생각할 수 있다.
“그런데 왜 CISO가 해결하지 않았지?”
그런데 더 충격적인 내용이 있다.
롯데카드 CISO는 2025년 6월 20일 운영 리스크 미팅에서 리눅스 서버에 보안 프로그램을 운영하지 않는 상황이 해킹사고 방지 실패의 원인이 될 수 있고, 롯데카드도 동일한 상황이라는 사실을 대표이사 등 경영진에게 보고했다.
그럼에도 불구하고 별다른 보완 조치가 이루어지지 않았다.
이 대목은 굉장히 중요하다.
CISO가 몰랐던 것이 아니다.
CISO가 위험을 발견하지 못했던 것도 아니다.
CISO가 경영진에게 보고하지 않은 것도 아니다.
위험을 인지하고 경영진에게 보고했음에도 조치가 이루어지지 않은 것이다.
그렇다면 사고가 발생했을 때 우리는 누구에게 책임을 물어야 하는가?
2. CISO의 역할은 '보안 조치'인가, '보안 의사결정'인가
CISO라는 직책을 생각해보자.
CISO가 서버를 직접 교체할 수 있는가?
예산을 직접 집행할 수 있는가?
개발팀의 배포를 중단시킬 수 있는가?
서비스 오픈을 거부할 수 있는가?
레거시 시스템의 운영 종료를 결정할 수 있는가?
보안 취약점이 발견된 시스템을 강제로 폐쇄할 수 있는가?
클라우드 비용이 증가하더라도 보안통제를 강제할 수 있는가?
현실에서는 대부분 CISO 혼자 결정할 수 없다.
CISO는 위험을 발견하고 분석하고 보고하고 개선을 요구할 수 있다.
하지만 실제 개선에는 개발, 인프라, 운영, 서비스, 재무, 인사, 법무 등 여러 조직의 의사결정이 필요하다.
결국 보안은 CISO 한 명이 수행하는 업무가 아니라 회사 전체의 경영 의사결정이다.
3. 금융회사보다 보안 환경이 열악한 일반기업은 어떨까?
여기에서 질문을 하나 더 해보자.
롯데카드처럼 금융당국의 강력한 감독을 받고, 금융보안원이 존재하며, 전자금융 관련 규제와 보안 기준을 적용받는 금융회사에서도 이런 일이 발생했다.
그렇다면 일반 기업은 어떨까?
일반 기업의 CISO에게 다음과 같은 권한이 있다고 가정해보자.
- 보안 예산 편성 권한 없음
- 개발 일정 변경 권한 없음
- 시스템 운영 중단 권한 없음
- 인프라 변경 권한 없음
- 인력 충원 권한 없음
- 보안 솔루션 도입 결정권 없음
- 협력사 계약 결정권 없음
- CEO에게 직접 보고할 권한 제한
- 보안 위험을 이유로 사업부의 의사결정을 거부할 권한 없음
그런데 사고가 발생하면?
“CISO가 보안을 제대로 관리하지 못했다.”
이렇게 책임을 묻는다면 과연 합리적인가?
4. 가장 위험한 구조는 '책임은 CISO, 결정은 다른 사람'인 조직이다
보안에서 가장 위험한 조직구조는 이것이라고 생각한다.
책임은 CISO에게 있는데 의사결정 권한은 다른 사람이 가지고 있는 구조.
예를 들어 CISO가 이야기한다.
“이 시스템에는 중요 취약점이 존재합니다.”
사업부가 말한다.
“서비스를 중단할 수 없습니다.”
CISO가 다시 이야기한다.
“보안상 위험하므로 패치가 필요합니다.”
개발조직이 말한다.
“이번 달 배포 일정 때문에 어렵습니다.”
CISO가 이야기한다.
“보안 솔루션을 도입해야 합니다.”
경영진이 말한다.
“예산이 없습니다.”
그리고 몇 개월 뒤 사고가 발생한다.
그러면 마지막에 등장하는 질문은 이것이다.
“CISO는 사고를 왜 막지 못했습니까?”
이 구조가 반복된다면 CISO는 무엇을 해야 하는가?
5. '보고했다'와 '해결했다'는 완전히 다른 이야기다
이번 롯데카드 제재내용이 우리에게 던지는 중요한 메시지가 바로 이것이다.
CISO가 위험을 인지하고 보고하는 것과 회사가 그 위험을 실제로 제거하는 것은 다른 문제다.
CISO가 보고했다고 해서 취약점이 자동으로 패치되는 것은 아니다.
CISO가 위험하다고 판단했다고 해서 시스템이 자동으로 중단되는 것도 아니다.
보안 강화가 필요하다고 보고했다고 해서 예산이 자동으로 확보되는 것도 아니다.
결국 보안은 경영진의 의사결정과 조직의 실행력이 함께 움직여야 한다.
따라서 사고 이후 책임을 따질 때도 최소한 다음을 구분해야 한다.
① CISO가 위험을 알고 있었는가?
② CISO가 위험을 적절하게 평가했는가?
③ CISO가 경영진에게 보고했는가?
④ 경영진이 그 보고를 받고 어떤 의사결정을 했는가?
⑤ 필요한 예산과 인력을 제공했는가?
⑥ 해당 조직이 개선조치를 실제로 수행했는가?
이 과정을 모두 확인하지 않고 단순히
“사고가 났으니 CISO 책임”
이라고 결론 내리는 것은 보안 거버넌스를 지나치게 단순화하는 것이다.
6. 더 심각한 문제는 '형식적인 CISO'다
앞으로 CISO의 법적 지위와 권한이 강화된다면 오히려 더 중요한 문제가 생길 수 있다.
회사가 CISO를 임원으로 두었다.
조직도에도 CISO가 있다.
정보보호위원회도 있다.
보안정책도 있다.
그런데 실제로 CISO에게 사업을 멈출 수 있는 권한이 없다면?
그렇다면 이것은 실질적인 권한 강화가 아니라 책임자를 명확하게 지정한 것에 불과할 수도 있다.
CISO를 임원으로 만들어 놓고,
예산 결정권은 없고,
서비스 중단권도 없고,
개발조직에 대한 통제권도 없고,
인프라 조직에 대한 지휘권도 없고,
최고경영자에게 직접 보고할 수 있는 구조도 아니라면,
그 CISO는 과연 얼마나 강한 보안 의사결정을 할 수 있을까?
직급과 권한은 다르다.
임원이라는 타이틀을 부여하는 것만으로 CISO의 실질적인 권한이 생기는 것은 아니다.
7. 10월부터 CISO의 법적 지위가 강화된다고 해서 문제가 해결될까?
2026년 10월부터 CISO의 임원 지위와 관련된 제도적 변화가 본격적으로 적용될 예정이라고 한다.
그런데 여기서 우리가 정말 고민해야 하는 것은
“CISO가 임원이 되었는가?”
가 아니다.
진짜 질문은 이것이다.
“CISO가 실제로 무엇을 결정할 수 있는가?”
CISO가 임원이라면 최소한 다음과 같은 권한에 대해 고민할 필요가 있다.
보안 위험에 대한 독립적인 보고권
CEO 또는 이사회에 보안 위험을 직접 보고할 수 있어야 한다.
보안 예산에 대한 실질적인 영향력
보안 예산이 다른 부서의 예산에 종속된다면 CISO의 역할은 제한될 수밖에 없다.
중대한 보안위험에 대한 서비스 중단 요구권
최소한 중대한 위험에 대해서는 CISO가 공식적으로 중단을 요구하고, 그 요구가 경영진 의사결정 기록에 남도록 해야 한다.
보안 개선조치에 대한 추적 권한
취약점과 위험을 발견하는 것보다 중요한 것은 누가 언제까지 개선할 것인지를 관리하는 것이다.
위험 수용(Risk Acceptance)의 책임 주체
CISO가 “위험하다”고 보고했는데 경영진이 서비스를 계속하기로 결정했다면,
그 결정은 CISO가 아니라 위험을 수용한 경영진의 의사결정으로 기록되어야 한다.
이것이 진정한 보안 거버넌스다.
8. CISO가 모든 보안사고의 책임자가 되어서는 안 된다
나는 오히려 CISO의 책임을 명확하게 구분해야 한다고 생각한다.
CISO에게 책임이 없는 것이 아니다.
당연히 책임이 있다.
보안 정책을 만들고,
위험을 평가하고,
통제를 설계하고,
취약점을 관리하고,
경영진에게 보고하고,
개선 여부를 확인해야 한다.
하지만 CISO가 통제할 수 없는 영역까지 책임지게 해서는 안 된다.
예를 들어 CISO가 보안 취약점을 발견하고 개선을 요구했지만 사업부가 비용과 일정 때문에 이를 수용하지 않았다면,
그 위험을 계속 감수하기로 결정한 주체는 명확해야 한다.
이것이 바로 책임(Accountability)과 권한(Authority)의 균형이다.
권한보다 책임이 훨씬 큰 조직에서는 결국 아무도 책임자가 되려고 하지 않는다.
9. 사고 이후 '누구를 처벌할 것인가'보다 먼저 물어야 할 것
대형 사고가 발생하면 언론과 조직은 항상 누군가를 찾는다.
“누가 책임자인가?”
하지만 보안 거버넌스에서는 질문의 순서가 달라야 한다.
첫째, 위험을 누가 알고 있었는가?
둘째, 그 위험을 누가 보고받았는가?
셋째, 위험을 제거할 권한은 누구에게 있었는가?
넷째, 위험을 수용하기로 결정한 사람은 누구인가?
다섯째, 필요한 자원은 제공되었는가?
여섯째, CISO가 독립적으로 문제를 제기할 수 있는 구조였는가?
이 질문을 해야 진짜 원인이 나온다.
10. 그렇지 않으면 CISO는 '방패막이'가 된다
가장 우려되는 것은 이것이다.
회사는 CISO를 둔다.
CISO에게 보안을 맡긴다.
그런데 실제 의사결정권은 경영진과 각 사업부에 있다.
그러다가 사고가 발생한다.
그러면 회사는 말한다.
“우리 회사에는 CISO가 있었고 정보보호 조직도 있었습니다.”
그리고 책임은 CISO에게 집중된다.
이렇게 된다면 CISO는 회사의 보안책임자가 아니라 사고 발생 시 책임을 떠안는 방패막이가 될 수 있다.
이런 구조가 만들어진다면 우수한 보안전문가일수록 CISO를 기피할 가능성이 높다.
왜냐하면 보안전문가 입장에서 가장 두려운 것은 사고 자체가 아니다.
자신이 통제할 수 없는 사고에 대해 책임을 지는 것이다.
11. 앞으로 CISO가 갖춰야 할 것은 '직급'이 아니라 '실질적인 권한'이다
CISO 제도를 제대로 만들려면 단순히 임원 지위를 보장하는 것에서 끝나서는 안 된다.
CISO가 최소한 다음 질문에 “Yes”라고 답할 수 있어야 한다.
나는 CEO에게 직접 보안 위험을 보고할 수 있는가?
나는 필요한 보안 예산을 요구할 수 있는가?
나는 중대한 위험을 공식적으로 이슈화할 수 있는가?
나는 위험 수용 여부를 경영진의 의사결정으로 남길 수 있는가?
나는 개선조치가 이행되지 않을 경우 이를 이사회 또는 경영진에 보고할 수 있는가?
나는 심각한 보안 위험에 대해 서비스 중단을 요구할 수 있는가?
이 질문에 대부분 “No”라고 답한다면,
CISO가 임원인지 아닌지는 본질적인 문제가 아니다.
12. 결국 보안은 CISO의 업무가 아니라 '경영의 영역'이다
보안사고를 완벽하게 막을 수 있는 조직은 없다.
중요한 것은 사고가 발생하지 않도록 최선을 다하는 것뿐만 아니라,
위험을 발견했을 때 조직이 어떻게 의사결정했는가이다.
CISO가 모든 보안 위험을 제거할 수는 없다.
하지만 CISO가 위험을 정확하게 알리고,
경영진이 그 위험을 이해하고,
필요한 자원과 권한을 부여하고,
그럼에도 불구하고 사업적인 이유로 위험을 수용한다면,
그것 역시 하나의 경영 의사결정이다.
그리고 그 의사결정의 책임까지 CISO에게 전가해서는 안 된다.
마무리 — 그래서 묻고 싶다
롯데카드 제재내용에서 특히 눈에 들어오는 부분은 이것이다.
CISO는 사고 발생 전에 이미 문제를 경영진에게 보고했다.
그럼에도 보완 조치는 이루어지지 않았다.
그런데 사고가 발생하면 우리는 CISO에게 묻는다.
“왜 막지 못했습니까?”
나는 이제 질문을 바꿔야 한다고 생각한다.
“CISO에게 막을 권한이 있었습니까?”
“막을 수 있는 예산이 있었습니까?”
“서비스를 중단할 권한이 있었습니까?”
“경영진에게 직접 보고할 수 있었습니까?”
그리고 가장 중요한 질문.
“CISO가 위험을 보고했을 때, 경영진은 어떤 결정을 내렸습니까?”
CISO에게 책임을 묻는 것은 필요하다.
하지만 책임을 묻기 전에 권한을 줘야 한다.
권한 없는 CISO에게 책임만 강화하는 제도는 보안을 강화하는 것이 아니다.
오히려 책임질 사람을 지정하는 제도가 될 수 있다.
10월부터 CISO의 법적 지위가 강화된다면 이제 논의의 중심도 바뀌어야 한다.
“CISO의 지위를 임원으로 만들었느냐”가 아니라
“CISO가 실제로 보안 위험을 통제할 수 있는 권한을 가지고 있느냐”를 봐야 한다.
보안은 CISO 혼자 하는 일이 아니다.
보안은 경영진이 책임지고 결정해야 하는 경영의 영역이다.
그리고 CISO는 그 경영진이 올바른 보안 의사결정을 할 수 있도록 독립적으로 위험을 말할 수 있는 사람이어야 한다.
그렇지 않다면 사고가 난 뒤 CISO를 아무리 강하게 처벌해도,
다음 사고를 막지는 못한다.
그리고 마지막으로 한 가지.
이런 현실에서 과연 누가 CISO를 하려고 할 것인가?
이 질문에 대한 답을 우리 사회가 지금부터 진지하게 고민해야 한다.
롯데카드 금융감독원 검사결과재재 내용 :
※위 내용을 바탕으로 AI활용하여 쓴 글입니다.
'업무 > 보안' 카테고리의 다른 글
| 침해사고 대응의 시작, IoC와 TLP를 제대로 이해하고 활용하는 방법 (0) | 2026.08.31 |
|---|---|
| AI는 이미 회사 안에 들어왔다 (0) | 2026.08.28 |
| 대한민국 사이버보안의 새로운 거점, ‘송파 ICT 보안 클러스터’가 첫 삽을 떴다 (0) | 2026.08.25 |
| 수탁사에서 개인정보가 유출됐다면? 위탁사가 반드시 해야 할 조치 (0) | 2026.08.25 |
| 「개인정보 보호법」 개정 안내서 초안 공개 (0) | 2023.10.06 |
