'부행장 CISO' 김홍선에 거는 기대감

안철수연구소 김홍선 대표

최근 한국스탠더드차타드(SC)은행이 김홍선 전 안랩 (63,000원 ▼1,500 -2.33%) 대표를 부행장급 최고정보보호책임자(CISO)로 선임했다는 소식이 금융권과 IT업계의 이목을 집중시키고 있습니다.

한국SC은행은 지난해말 전산프로그램 개발 외부업체 직원이 10만여명의 고객정보를 빼내 대출모집인에게 넘겨준 보안사고가 발생해 당국의 제재를 앞두고 있습니다. 절박했던 SC은행은 취약한 보안체계를 개혁할 구원투수로 한국 최고 보안회사인 안랩 출신 김 전 대표를 모셔온 것입니다.


김 신임 부행장은 1세대 보안회사인 시큐어소프트를 창업한 인물입니다. 그는 2007년 안랩에 합류해서 5년간 회사를 이끌었는데 그 와중에 디도스공격사태 등 각종 국가적 차원의 보안사고에서 리더십을 발휘해왔습니다.

SC은행의 선택이 주목받는 것은 비단 거물급 인사의 영업만은 아닙니다. CISO의 직급을 높이고 행장직속 조직으로 독립시켜 실질적인 권한을 줬다는 점이 더욱 의미있는 대목입니다. 실제 그동안 CISO제도는 사실상 보안담당 임원자리를 하나 더 늘린 수준에 불과했다는 지적이 나옵니다.

전자금융거래법 등에 따르면, 총자산 2조원 이상이면서 종업원 수가 300명 이상인 금융회사는 CISO를 지정해야합니다. 그러나 50개 대형 금융사중 CISO 담당 임원을 별도로 둔 곳은 14곳에 불과합니다. 나머지는 대부분 최고정보책임자(CIO)가 CISO를 겸직하거나 부장급 직원이 맡고있습니다. 현실적으로 CISO를 선임하기 위해서는 별도의 조직을 만들고 인력과 자산을 배분해야 하는데, 최근 수년간 금융권 수익성이 저조해 비용과 예산에 대한 압박이 심해졌기 때문입니다.


게다가 CISO를 두더라도 대부분 직급은 상무나 전무정도입니다. CIO의 경우 부행장급이 맡는데 CISO가 이보다 낮은 겁니다. 정보화 프로젝트를 담당하는 CIO의 업무를 견제하고 때론 제동을 걸어야하는게 CISO인데, CIO가 이를 겸직하거나 CISO 직급이 낮다면 역할을 제대로 수행하기 어렵다는 것은 명약관화합니다. 실제 CIO가 CISO의 권한을 인정하지 않고 아랫사람처럼 부리는 일도 허다하다는 지적입니다. 2012년 CISO제도를 도입했음에도 보안사고가 끊임없이 되풀이되는 것도 이와 무관치않다는 지적입니다.

이 때문에 국회에서도 CIO와 CISO 겸직을 금지하는 법안이 발의돼 통과를 앞두고 있습니다. 법안이 시행되면 금융사들은 IT경력이 있는 보안전문가를 CISO로 선임해야합니다.

조성훈 증권부 자본시장팀장

문제는 겸직금지만으로 현재의 보안위기가 해소될 수 있겠느냐는 점입니다. 금융권 내부에 IT나 보안전문가는 여전히 한직으로 치부되고 인력자체도 태부족입니다. 금융권의 보수적인 조직문화탓에 외부인력 채용에도 적극성을 보이지 않습니다.

근본적으로 각종 개인정보 유출과 해킹 사고에도 불구, 보안에 대한 인식은 미흡한게 문제입니다. 당장 사고라도 터지면 CISO가 해고대상 1순위가 될것이라는 관측이 적지않습니다. 한 금융권 관계자는 "권한보다는 책임만 강조하는 현재의 CSIO의 역할이 바뀌지않는다면 누구도 이를 맡으려하지 않을 것"이라고 말했습니다.

기업이 강력한 보안체계를 구축하기위해서는 적합한 인물을 찾고 그에게 합당한 권한을 부여해야합니다. '무늬만 CISO'인 현재의 상태로는 개인정보 유출과 해킹 사태가 되풀이될 수 밖에 없습니다. 금융권에 입성한 김홍선 부행장이 성공적인 CISO의 롤모델을 만들어 보안에 대한 금융권의 인식제고에 초석이 되길 기대하는 이유입니다.