최고 정보보호 책임자

보안이 엔지니어의 일로만 여겨지던 시절이 있었습니다. 방화벽을 걸고 비밀번호 규칙을 빡빡하게 잡으면 되는 기술 과제로 보였고, 그래서 개발팀 안에 있는 누군가가 다른 일과 겸해서 맡았습니다.

이 방식은 결정할 일이 생기는 순간 막혔습니다. 접속 기록을 얼마나 오래 보관할지, 퇴사자 계정을 며칠 안에 지울지, 외부 도구에 고객 데이터를 넘겨도 되는지 같은 질문은 기술 문제로 보이지만 답은 늘 비용과 속도를 깎아 내는 쪽에 있습니다. 담당 엔지니어가 "이렇게 하면 안 됩니다" 라고 말해도 출시 일정을 쥔 쪽이 밀어붙이면 그대로 나갑니다.

기업 고객이 들어오면서 또 하나가 걸렸습니다. 계약 전에 상대 회사가 보안 점검표를 보냅니다. 권한을 누가 승인하는지, 사고가 나면 몇 시간 안에 알리는지, 책임자가 누구인지를 묻는 백여 개 문항인데, 마지막 항목의 이름 칸을 개발자 이름으로 채우면 다음 질문이 돌아옵니다. 그 사람이 출시 일정을 미룰 권한이 있느냐는 것입니다.

최고 정보보호 책임자는 그 권한을 가진 사람을 명시적으로 두려고 만든 자리입니다. 어디까지 지키고 어디까지 감수할지는 기술 판단이 아니라 경영 판단이고, 그 판단을 내리고 책임지는 사람이 경영진 안에 있어야 밖에서도 안에서도 말이 먹힙니다.

회사가 감수할 위험의 선을 정하고, 그 선이 실제로 지켜지는지 확인하는 일이 하루의 대부분입니다. 크게 넷으로 나뉩니다.

1. 규칙을 정하고 고칩니다. 누가 무엇에 접근할 수 있는지, 그 권한을 언제 회수하는지, 사고가 나면 몇 시간 안에 누구에게 알리는지를 문서로 정한 보안 관리 체계를 만들고 분기마다 손봅니다. 새 도구를 도입할 때마다 규칙에 구멍이 생기므로 한 번 쓰고 끝나지 않습니다.
2. 예외를 판정합니다. 실무에서 올라오는 요청의 상당수는 규칙을 한 번만 비켜 달라는 것입니다. 급한 고객사 대응 때문에 운영 데이터베이스를 직접 보겠다는 요청 같은 것인데, 거절하거나 조건을 붙여 허락하고 그 기록을 남깁니다.
3. 증명을 만듭니다. 보안 인증 심사를 준비하고, 고객사가 보낸 점검표에 답하고, 심사에서 지적된 항목이 고쳐질 때까지 따라다닙니다. 대형 계약 하나가 이 서류 때문에 두세 달 밀리는 일이 흔해서 세일즈 일정과 직접 얽힙니다.
4. 사고가 나면 지휘합니다. 계정 하나가 털린 것이 확인된 순간부터 무엇을 끄고, 누구에게 알리고, 언제 고객에게 공지할지를 정합니다. 기술 복구는 엔지니어가 하고 이 자리는 알림과 공개의 시점을 정합니다.

평소에 가장 많이 하는 일은 사실 목록 만들기입니다. 어떤 시스템이 있고 거기에 누가 들어갈 수 있는지를 최신으로 유지하는 것인데, 이 목록이 낡으면 나머지 셋이 전부 헛돕니다. 석 달 전 퇴사자의 계정이 살아 있는 상태는 방화벽 설정이 아니라 이 목록이 방치된 결과입니다.

혼자 결정하는 자리가 아니라 네 방향과 계속 부딪히는 자리입니다.

1. 개발 조직. 보안 엔지니어가 있으면 직접 보고를 받고, 없으면 개발팀 일부가 이 일을 나눠 맡습니다. 취약점을 찾아 막는 실무는 그쪽이고, 무엇을 먼저 막을지 정하는 쪽이 이 자리입니다.
2. 법무. 사내 변호사와는 계약서의 보안 조항에서 만납니다. 장애나 유출이 났을 때 얼마까지 물어 줄지, 고객에게 몇 시간 안에 알릴지 같은 문장은 법률 표현이면서 동시에 지킬 수 있어야 하는 운영 약속이라 둘이 같이 봐야 합니다.
3. 개인정보. 개인정보 보호책임자와는 유출 사고에서 가장 가깝게 붙습니다. 어떤 데이터가 얼마나 나갔는지는 이쪽이 밝히고, 그것을 언제 누구에게 신고할지는 그쪽이 정합니다. 구성원이 적은 회사에서는 한 사람이 두 자리를 겸하기도 합니다.
4. 세일즈와 경영진. 점검표와 인증서는 계약 조건이라 세일즈의 일정표에 올라가고, 감수할 위험의 선은 결국 돈 문제라 대표와 이사회에 설명해야 합니다.

부딪히는 자리가 많다 보니 이 역할의 평판은 거절을 얼마나 잘하느냐로 정해집니다. 전부 막으면 아무 일도 진행되지 않고, 전부 허락하면 자리를 둔 뜻이 없어집니다.

"이번 계약은 보안 점검표 통과가 조건이라 CISO 검토가 먼저 들어가야 합니다."

기술 검토가 아니라 책임자의 승인이 계약의 선행 조건이라는 뜻입니다.

"이 예외는 3개월만 허용하고 만료일 걸어 두겠습니다."

규칙을 비켜 주되 기한을 붙여 영구 예외가 되지 않게 막는 방식입니다.

"저희는 아직 CISO 겸직이라 그 항목은 대표 이름으로 나갑니다."

전담 인원이 없어 다른 경영진이 그 책임까지 지고 있다는 설명입니다.

페이지덱에는 전담 인원이 없습니다. 규원이 이 자리를 겸하고 실무는 태오가 맡는 구조인데, 기업 고객이 늘면서 분기마다 오는 점검표 때문에 태오의 시간이 빠르게 줄었습니다. 지난 분기에는 개발 일정에서 2주가 통째로 이 일에 들어갔습니다.

막힌 항목은 기술이 아니라 절차 쪽이었습니다. 석 달 전 퇴사자의 계정이 살아 있었고, 회수를 확인할 사람이 정해져 있지 않았습니다. 규원이 인사 담당과 태오를 앉혀 퇴사 처리 목록에 계정 회수를 넣고 확인자를 지정하는 것으로 정리했습니다.

기술을 가장 잘 아는 사람이 맡는 자리로 여기는 경우가 많습니다. 이름에 정보보호가 들어가고 다루는 내용이 시스템이니 자연스러운 생각입니다. 그러나 이 자리가 실제로 하는 일은 지킬 수 없는 요구를 거절하고 감수할 위험을 고르는 것이라, 필요한 능력은 취약점을 찾는 기술보다 결정을 설명하는 능력에 가깝습니다. 기술만 보고 앉히면 개발팀에는 "안 됩니다" 만 하는 사람이 되고 경영진 회의에서는 아무도 그 말을 이해하지 못하는 상태가 됩니다.

회사가 커지면 그때 두면 된다고 여기는 것도 흔합니다. 구성원 40명 회사에 경영진 한 자리를 더 두는 것이 과해 보이기 때문입니다. 하지만 이 자리가 필요해지는 시점은 회사 규모가 아니라 첫 기업 고객이 정합니다. 점검표가 오는 순간 책임자 이름과 권한을 적어야 하고, 그때 급히 만든 자리는 기존 규칙을 하나도 모른 채 시작합니다. 겸직으로 두더라도 누가 이 판단을 내리는지는 미리 적어 두는 편이 낫습니다.