컴플라이언스 담당자

규정을 만드는 일과 규정이 지켜지게 하는 일은 서로 다른 일인데, 회사가 작을 때는 둘을 구분할 필요가 없었습니다. 보안 정책 문서를 쓴 사람이 곧 그 정책을 아는 유일한 사람이었고, 지켜지는지는 옆자리를 보면 알 수 있었습니다.

구성원이 마흔을 넘으면서 이 구조가 무너집니다. 정책 문서는 있는데 아무도 열어 보지 않고, 퇴사한 사람의 계정이 살아 있고, 고객 데이터가 담긴 표에 누가 접근할 수 있는지 아무도 전부 답하지 못합니다. 각자는 자기 일을 제대로 하고 있습니다. 다만 전체를 한 번씩 훑어보는 일이 누구의 업무도 아닐 뿐입니다.

그 공백이 눈에 보이는 순간은 대개 밖에서 옵니다. 기업 고객이 계약 전에 보내는 보안 질문지에 "퇴사자 계정 회수 절차가 있고 그 실행을 기록으로 남기는가" 라는 항목이 있고, 여기에 답하려고 확인해 보니 절차는 문서에 적혀 있는데 지난 반년 동안 실행된 기록이 없습니다. 컴플라이언스 담당자는 이 확인을 계약 직전이 아니라 미리, 그리고 반복해서 하라고 만든 자리입니다.

정해진 주기마다 항목을 뽑아 확인하고, 어긋난 것을 목록으로 만들어 담당자에게 넘기고, 고쳐질 때까지 다시 묻는 일이 하루의 대부분입니다. 새로운 규정을 만드는 시간보다 이미 정해진 것을 확인하는 시간이 훨씬 깁니다.

주기별로 반복되는 일은 대체로 넷입니다.

1. 권한 점검 — 분기마다 주요 시스템의 접근 권한 목록을 뽑습니다. 고객 데이터베이스에 접근할 수 있는 계정이 서른 개인데 그중 넷이 다른 팀으로 옮긴 사람이면 회수 대상이 넷입니다. 목록을 뽑는 것보다 넷을 실제로 지우고 그 사실을 기록에 남기는 데 시간이 더 듭니다.
2. 기록 관리 — 점검한 사실 자체를 증거로 남깁니다. 언제 무엇을 확인했고 무엇이 어긋났고 며칠에 누가 고쳤는지가 날짜와 함께 남아 있어야 합니다. 보안 인증은 외부 심사원이 기준표를 들고 회사의 보안 체계를 점검해 증명서를 내주는 제도인데, 심사에서 묻는 것은 규칙이 있느냐가 아니라 지난 1년 동안 그 규칙이 돌아간 기록이 있느냐입니다.
3. 신규 검토 — 새 도구를 도입하거나 기능을 내보내기 전에 걸리는 규정이 있는지 봅니다. 외부 분석 도구를 붙인다고 하면 거기로 나가는 항목에 이메일 주소가 섞여 있는지부터 확인합니다.
4. 교육과 확인 — 반기마다 전 구성원에게 규정 교육을 돌리고 이수 여부를 기록합니다. 형식적으로 보이지만 사고가 났을 때 회사가 무엇을 해 뒀는지 보여 주는 자료가 이것입니다.

이 일에는 고치는 권한이 대체로 없습니다. 계정을 지우는 것은 시스템을 맡은 팀이고, 컴플라이언스 담당자가 가진 것은 목록과 기한과 그것을 위로 올릴 수 있는 통로입니다. 그래서 이 자리가 제대로 굴러가는지는 목록의 길이가 아니라 기한을 넘긴 항목이 경영진 회의에 실제로 올라가는지로 갈립니다. 올라가지 않으면 목록은 매 분기 같은 항목을 다시 적는 문서가 됩니다.

혼자 결론 내는 자리가 아니라 각 분야의 책임자에게서 답을 받아 모으는 자리입니다. 그래서 하루 일정의 상당 부분이 다른 팀과의 짧은 확인으로 채워집니다.

사내 변호사와는 규정 해석에서 만납니다. 새 법이 우리 회사에 적용되는지, 적용된다면 어느 수준까지 해야 하는지는 법률 판단이라 이쪽이 답하고, 그 판단을 현장 점검 항목으로 바꾸는 것이 컴플라이언스 담당자의 몫입니다.

개인정보 보호책임자와는 개인정보 항목에서 겹칩니다. 어떤 데이터를 얼마나 보관할지 정하는 쪽이 저쪽이고, 실제로 그 기한이 지난 데이터가 지워졌는지 확인하는 쪽이 이쪽입니다. 회사가 작으면 한 사람이 두 자리를 겸합니다.

최고 정보보호 책임자와는 점검 결과를 놓고 만납니다. 권한 점검에서 나온 항목이 기술적으로 어떻게 고쳐질지는 보안 조직이 정하고, 컴플라이언스 담당자는 정해진 기한 안에 닫혔는지를 확인합니다. 그 밖에 개발팀·인사팀·영업팀과는 각각 배포 전 검토, 입퇴사 처리, 고객 보안 질문지 회신에서 정기적으로 부딪힙니다.

"이번 분기 권한 점검에서 미회수 계정 넷 나왔어요. 다음 주 금요일까지 부탁드립니다."

점검 결과를 목록과 기한으로 넘기는 말입니다.

"그 기능은 컴플라이언스 검토 받고 나가야 해서 이번 스프린트엔 어려울 것 같습니다."

규정 검토가 배포 일정에 들어가는 단계임을 알리는 말입니다.

"인증 심사 때 이 항목 증빙이 필요해서 지난 1년치 기록을 모으고 있어요."

규칙의 존재가 아니라 실행 기록이 심사 대상이라는 뜻입니다.

페이지덱이 첫 기업 고객의 보안 질문지에서 막힌 항목이 퇴사자 계정 회수였습니다. 절차는 문서에 있었지만 실행을 확인하는 사람이 정해져 있지 않았고, 석 달 전에 나간 사람의 계정이 그대로 살아 있었습니다. 규원이 컴플라이언스 담당자를 두기로 한 뒤 처음 한 일이 분기 권한 점검을 일정에 고정하고 그 결과를 기록으로 남기기 시작한 것이었습니다. 다음 고객의 질문지에서는 같은 항목에 날짜가 적힌 지난 세 번의 점검 기록을 그대로 첨부했습니다.

규정을 만드는 자리라고 보는 경우가 많습니다. 이름에 규정 준수가 들어 있으니 규정을 쓰는 사람처럼 들립니다. 실제로 이 자리가 하는 일은 이미 정해진 규정과 현장 사이의 간격을 재는 쪽에 가깝습니다. 규정 자체는 법과 경영진과 각 분야 책임자가 정하고, 컴플라이언스 담당자는 그것이 지켜지는지를 확인합니다. 이 구분이 흐려지면 점검자가 자기가 만든 규칙을 스스로 채점하는 구조가 되어 점검이 통과 의례가 됩니다.

일을 늦추는 자리로 보는 시각도 흔합니다. 배포 전에 검토가 하나 더 붙으니 실제로 하루 이틀이 더 걸리고, 그 시간은 눈에 잘 보입니다. 반대편에 있는 시간은 눈에 안 보일 뿐 훨씬 깁니다. 검토 없이 나간 기능에 개인정보가 섞여 있으면 되돌리는 데 몇 주가 들고, 기업 고객 계약은 질문지 한 항목에서 막혀 분기를 넘깁니다. 검토가 늦추는 것은 배포이고, 검토가 막는 것은 계약과 신고와 되돌리는 작업입니다.