해킹 사고에 은행권 보안조직도 시험대…CISO 권한·독립성 충분할까

CISO 전문성 발휘 뒷받침할 조직·정책 연속성 보장돼야

"해킹 사태 계기로 정보보호 조직 권한·역할 강화 필요"

[그래픽=뉴시스] 해당 이미지는 기사의 이해를 돕기 위해 AI 생성 후 가공 및 편집함. 재판매 및 DB 금지. [email protected]

[서울=뉴시스] 조현아 기자 = 최근 은행을 비롯한 금융권에서 해킹 사고가 잇따르면서 각 정보보호 조직의 역할과 권한도 시험대에 올랐다. 은행권에서는 정보보호최고책임자(CISO)를 임원급으로 선임하는 등 보안 조직의 위상을 높여왔지만, 전문성을 갖춘 인사체계와 실질적인 권한이 충분히 뒷받침되고 있는지 점검해야 한다는 지적이 나온다. 

29일 금융권에 따르면 KB국민·신한·하나·우리·NH농협은행 등 5대 은행은 내부 출신 임원들이 CISO를 맡고 있다. KB국민은행은 이재용 상무, 신한은행은 송영신 상무, 하나은행은 최대현 상무, 우리은행은 윤태진 상무가 각각 정보보호본부장으로서 CISO를 맡고 있다. NH농협은행에서는 정태영 부행장이 정보보호 업무를 총괄하고 있다.

은행권에서는 지난 2012년 임원급 CISO 선임을 의무화한 전자금융거래법 시행 이후 정보보호 조직의 역할과 책임을 확대해 왔다. 하지만 CISO의 임원급 지위 보장과는 별개로 조직 내 실질적인 권한과 독립성이 충분히 확보돼 있는지 점검할 필요가 있다는 지적이다.

과거 은행권에서는 보안 전문성보다는 기존 임원 인사 관행에 따라 CISO를 선임하는 사례도 있었다는 게 금융권 관계자의 전언이다. IT 부문에서 근무하던 인사가 퇴직을 앞두고, CISO로 자리를 옮기는 등 정보보호 책임자 자리가 사실상 퇴직 전 '예우성 보직'으로 활용되기도 했다는 것이다.

금융권 관계자는 "CISO의 임원 선임이 의무화되면서 외부 보안 전문가 영입이 늘 것이라는 기대가 있었지만 실제로는 기존 내부 인사를 승진시키는 방식이 이어졌다"며 "공채·행원 출신을 우선하는 조직문화가 외부 전문가 영입을 어렵게 했다"고 전했다.

현재 5대 은행 CISO는 모두 은행 내부 정보보호 분야에서 실무 경험과 전문성을 쌓아온 인사들로 선임됐다. 다만 CISO가 전문성을 충분히 발휘할 수 있도록 안정적인 조직 운영과 정보보호 정책의 연속성이 뒷받침돼야 한다는 지적이 나온다.

특히 CISO의 재임기간이 2~3년에 그칠 경우 노후 전산시스템 개선과 보안 투자, 전문인력 육성 등 중장기 정보보호 전략을 일관되게 추진하는 데 한계가 있을 수 있다는 우려다.

조직 내 의사결정 과정에서 CISO가 얼마나 영향력을 행사할 수 있는지도 관건이다. 현재 KB국민·신한·하나·우리 등 4대 은행에서는 CISO를 상무급 임원이 맡고 있는 반면, 전산시스템 개발·운영을 총괄하는 IT 조직은 부행장급이 이끌고 있다. 이러한 직급 차이로 CISO가 주요 보안 조치를 요구하더라도 이를 실제 이행하도록 하는 데까지 어려움이 있을 수 있다는 시각도 있다.

금융권 관계자는 "보안 점검과 개선 요구의 대상인 IT 조직에 선후배 등이 포진해 있어 독립적으로 문제를 제기하는 데 부담을 느낄 수 있다"며 "보안 조직이 예산과 인력, 직급 등에서도 상대적으로 밀리면 IT 조직에 업무 편의보다 보안을 우선하도록 요구하기가 쉽지 않을 것"이라고 말했다.

일각에서는 보안 사고 발생 시 CISO에게 책임이 과도하게 집중되는 것 아니냐는 지적도 나온다. 정보보호는 시스템 개발·운영부터 보안 점검과 사후 조치까지 여러 조직이 함께 수행하는 만큼 조직별 역할과 책임을 명확히 할 필요가 있다는 것이다.

국회에서도 정보보호에 대한 경영진의 책임과 CISO의 권한을 강화하기 위한 입법 논의가 진행 중이다. 유동수 더불어민주당 의원이 지난해 11월 대표 발의한 이 법안은 금융회사 CEO의 정보보안 책임을 명문화하고, CISO의 독립성을 강화하는 데 초점을 맞추고 있다. 해당 법안은 현재 국회에 계류 중이다.

잇단 해킹 사고를 계기로 향후 은행권에서 CISO의 지위와 권한을 강화하려는 움직임이 확대될 가능성도 있다. IT 부문장보다 상대적으로 낮은 지위를 격상하거나, 독립적인 의사결정 권한을 강화하는 방안이 검토될 수 있다는 관측이다. 금융당국도 CEO와 CISO 등의 보안관리 책임을 강화하기로 하는 등 금융권의 정보보호 체계 개선에 나서고 있다.

금융권 관계자는 "해킹 사태로 CISO의 역할과 책임이 더 부각되고 있다"며 "각 은행의 조직 구조와 운영 여건을 고려해 정보보호 조직의 권한과 역할을 점검할 필요가 있다"고 말했다.


◎공감언론 뉴시스 [email protected]