사고 때마다 몸값 뛰는 금융권 보안책임자…CISO 선임도 이사회 손에

(서울=연합인포맥스) 박경은 기자 = 금융권에서 해킹에 따른 정보유출 사고가 잇따르면서 정보보호최고책임자(CISO)의 독립성을 강화하는 입법에 힘이 실리고 있다.

대형 사고 때마다 전담 조직과 인력을 확충해 온 금융권의 정보보호 체계가 다시 한번 도마 위에 올랐다. 다만 선임 절차 강화가 실질적인 보안 역량 확대로 이어지려면 조직 내 발언권과 인력·예산 확보 권한도 뒷받침돼야 한다는 지적이 나온다.

12일 금융권에 따르면 금융위원회는 금융권의 보안역량 강화를 위해 연내 전자금융거래법 개정을 추진 중이다.

침해사고와 관련한 징벌적 과징금을 부과하고, CISO의 권한을 강화하는 내용이 핵심이다.

이미 이 개정안은 국회에 올라와 있다. 지난해 11월 유동수 정무위원장이 대표 발의했고, 올해 3월 한 차례 논의된 후 계류 중이다. 이달 초 금융권에서 연쇄적으로 정보유출 사고가 확인되면서 입법 논의에도 힘이 실릴 것으로 보인다.

개정안에서 주목할 부분은 크게 두 가지다. 매출액의 최대 3%까지 사고에 대한 과징금을 부과할 수 있게 하고, CISO의 권한을 강화하는 내용이다.

과징금이 사고 이후 금융회사의 책임을 묻는 수단이라면, CISO의 권한 강화는 사고를 예방하는 선제 조치다.

이를 위해 개정안은 금융회사가 CISO를 선임할 때 이사회 의결을 거치도록 했다. 보안책임자 선정에 이사회가 직접 관여하도록 해 직무 수행의 독립성을 높이려는 취지다.

현재 금융회사에서는 준법감시인과 위험관리책임자(CRO) 등이 이사회 의결을 거쳐 임면된다. CISO에도 이 같은 선임 절차를 적용해 정보보호를 핵심 내부통제 기능으로 다루겠다는 의미다.

개인정보보호책임자(CPO)에 대해서는 이미 이사회의 관여가 확대됐다. 지난달 시행된 개정 개인정보보호법에 따라 일정 규모 이상 개인정보처리자는 CPO를 지정하거나 변경·해제할 때 이사회 의결을 거쳐야 한다. 은행들도 이에 맞춰 관련 내부 절차를 정비했다.

CPO가 개인정보의 수집·이용 등 처리 과정의 적정성과 보호를 총괄한다면, CISO는 정보시스템과 전자금융 업무의 보안을 책임진다.

금융권 보안책임자의 역할을 강화하려는 움직임은 대형 정보유출 사고 이후 반복돼 왔다.

2014년 카드 3사의 대규모 고객정보 유출 사고 당시에는 정보기술(IT) 운영을 담당하는 최고정보책임자(CIO)와 CISO의 겸직을 제한하는 방향으로 제도가 바뀌었다. IT 운영과 보안 기능을 분리해 상호 견제가 가능하게 했다.

당시 금융회사들은 보안 조직을 신설하고 전담 책임자를 확보하는 데 나섰다. 자격을 갖춘 전문가를 찾지 못해 인선에 어려움을 겪는 사례도 나타났다. 전담 인력 확보에 집중했던 제도 개선이 이제는 선임 절차와 조직 내 독립성을 강화하는 논의로 이어지는 모습이다.

현재 대부분의 금융사는 CISO가 CPO를 함께 맡는 체계를 유지하고 있다.

이러한 겸직 체계에서는 책임자의 업무 범위가 넓어지는 만큼 각 영역을 충분히 관리할 수 있는 인력과 전문성을 갖추는 것이 중요하다. 두 직책을 분리하면 각각의 업무에 집중할 수 있지만, 조직 간 정보 공유와 공동 대응 체계도 함께 마련해야 한다.

선임 절차와 함께 살펴볼 부분은 조직 내 직급과 실제 권한이다.

개정안은 CISO가 업무 관련 사항을 이사회에 보고하도록 하고 있지만, 보고 의무를 명문화하는 것만으로 조직 내 영향력을 확보하기에는 한계가 있다는 지적도 나온다.

"이번 사태를 계기로 보안책임자가 역할에 걸맞은 권한을 갖추고 있는지 살펴볼 필요가 있다"며 "은행별 여건에 따라 조직이나 권한을 조정하는 방안도 검토해볼 수 있을 것"이라고 말했다.

gepark@yna.co.kr