[이슈진단: 롯데카드 정보유출 사고 인적 제재 논란-1] 전·현직 CISO '정...

롯데카드 침해사고와 관련해 금융감독원이 전·현직 정보보호최고책임자(CISO)와 보안팀장에게 인적 제재를 추진하는 것으로 알려지면서 금융권 보안 현장에 심각한 논란이 확산되고 있다.

현직 CISO와 전직 CISO에게는 정직과 함께 4년간 금융회사 재취업이 제한될 수 있는 중징계가, 보안팀장에게는 3개월 감봉 제재가 구두 통보된 것으로 전해졌다. 대규모 정보유출 사고에 대한 책임 규명은 반드시 필요하다. 그러나 외부 해킹 사고의 결과를 CISO와 보안 실무 책임자 개인에게 사실상 경력박탈형 제재로 묻는 것이 금융보안 강화에 도움이 되는지에 대해서는 금융권 CISO들의 우려가 크다.

이번 논란은 롯데카드 한 회사의 문제에 그치지 않는다. 향후 금융권에서 침해사고가 발생했을 때 보안책임자에게 어디까지 책임을 물을 것인지, 감독당국의 제재 기준을 가를 수 있다는 점에서 파장이 크다.

롯데카드 정보유출 사고는 2025년 금융권에서 발생한 대표적인 대형 침해사고였다. 금융위원회에 따르면 롯데카드는 2025년 9월 1일, 같은 해 8월 14~15일경 발생한 해킹 침해사고로 약 1.7GB 규모의 정보가 유출됐다고 금융위원회와 금융감독원에 신고했다. 이후 금융감독원과 금융보안원의 현장조사 과정에서 실제 유출 데이터 규모는 약 200GB에 이르는 것으로 파악됐다. 당초 신고 규모보다 훨씬 큰 수준이었다.

금융당국 조사에서 확인된 유출 정보에는 총 297만명 규모의 개인신용정보가 포함됐다. 이 가운데 약 28만3천명은 카드 비밀번호와 CVC까지 유출된 것으로 파악됐다. 금융위원회는 당시 현재까지 확인된 부정사용은 없지만, 피해가 발생하면 전액 보상 등 소비자 보호 조치를 면밀히 관리·감독하겠다고 밝혔다.

개인정보보호위원회도 별도 조사에서 롯데카드의 개인정보보호 법규 위반을 확인했다. 개인정보위는 2026년 3월 11일 전체회의를 열고 롯데카드에 과징금 96억2천만원과 과태료 480만원을 부과했다. 개인정보위 조사에서는 온라인 간편결제 시스템 해킹으로 약 297만명의 개인신용정보와 약 45만명의 주민등록번호가 유출된 사실이 확인됐다. 특히 롯데카드가 결제 관련 로그 파일에 주민등록번호 등 개인정보를 평문으로 기록하고, 충분한 암호화 조치를 하지 않은 점이 문제로 지적됐다.

따라서 이번 사고가 가볍다는 주장은 성립하기 어렵다. 고객 정보가 대규모로 유출됐고, 일부 정보는 부정사용 가능성과 직결되는 민감한 결제정보였다. 롯데카드와 경영진, 관련 조직은 무거운 책임을 져야 한다. 다만 문제는 책임을 묻는 방식이다. 외부 해킹으로 인한 침해사고를 일반적인 임원 비위나 내부통제 위반과 같은 방식으로 개인에게 귀속시키는 것이 과연 금융보안 강화에 도움이 되는지 따져봐야 한다.

금감원 제재심, 전·현직 CISO 정직 및 4년 금융사 재취업 제한…보안팀장은 3개월 감봉 통보

금융감독원 제재심의위원회는 2026년 4월 30일 롯데카드에 대해 영업정지 4.5개월과 과징금 50억원, 조좌진 전 대표에 대한 문책경고 제재안을 의결한 것으로 알려졌다. 조 전 대표는 2025년 말 해킹 사고 책임을 지고 대표직에서 물러난 상태였다. 다만 이 제재안은 금감원 제재심 단계의 결정으로, 최종 확정은 금융위원회 정례회의 의결을 거쳐야 한다.

금융회사 임원 제재는 주의, 주의적 경고, 문책경고, 직무정지, 해임권고 등으로 구분된다. 이 가운데 문책경고 이상은 중징계로 분류되며, 3~5년간 금융회사 취업이 제한될 수 있다. 이번 롯데카드 사안에서 조 전 대표에 대한 문책경고는 경영진 책임을 묻는 제재로 볼 수 있다. 특히 금융당국은 정보보호·전산보안 위규사항을 엄정히 제재하고, 전 금융권 재발방지 대책과 제도개선을 추진하겠다는 입장을 밝힌 바 있다.

문제는 CISO와 보안팀 보직자에 대한 인적 제재다. 취재 내용을 종합하면 롯데카드 침해사고와 관련한 금융감독원의 인적 제재 심의 결과는 현직 CISO 정직 및 4년간 금융회사 재취업 제한, 전직 CISO 정직 및 4년간 금융회사 재취업 제한, 보안팀장 3개월 감봉으로 구두 통보된 것으로 알려졌다. 다만 이 내용은 현재 구두 통보 단계로, 서면 정식 통보와 금융위원회 최종 의결 전까지 확정 처분으로 단정하기는 어렵다. 그럼에도 그대로 확정될 가능성이 높다는 관측이 나온다.

일반 임원 제재와 CISO 제재는 왜 달라야 하나

금융감독원과 금융위원회가 일반 임원에게 인적 제재를 하는 경우와 침해사고로 CISO·보안팀장에게 제재를 하는 경우는 본질적으로 달라야 한다.

일반 임원 제재는 대체로 의사결정 권한과 행위 책임이 비교적 직접적으로 연결된다. 부당 영업, 회계 왜곡, 내부통제 방치, 불완전판매, 위법한 경영 판단처럼 임원이 직접 지시했거나, 보고를 받고도 묵살했거나, 통제해야 할 업무를 방치한 경우에는 권한과 책임의 대응관계가 비교적 명확하다.

그러나 침해사고는 다르다. 해킹은 외부 공격자가 회사 시스템의 약점을 찾아 침투하는 비자발적 사건이다. CISO가 보안 총괄 책임자라는 이유만으로 공격 성공의 결과를 개인 책임으로 단순 환산해서는 안 된다. CISO는 취약점을 식별하고, 조치를 요구하고, 위험을 보고하고, 보안정책을 수립할 책임이 있다. 하지만 실제 패치 적용, 시스템 변경, 서비스 중단 여부 판단, 개발 일정 조정, 인프라 개선, 예산 배정은 CIO와 IT운영·개발 조직, 경영진의 영역인 경우가 많다.

이 때문에 CISO 제재는 사고 결과보다 행위 기준으로 판단해야 한다. 감독당국은 CISO가 취약점을 알고도 은폐했는지, 반복 경고를 무시했는지, 경영진 보고를 하지 않았는지, 보안 점검 의무를 형식적으로 처리했는지, 사고 발생 후 신고를 지연하거나 축소했는지부터 따져야 한다.

반대로 CISO가 위험을 식별해 보고했고, 조치를 요구했고, 예산과 인력 부족을 경고했으며, 사고 후 신속히 신고·복구·고객보호에 나섰다면 정직과 재취업 제한을 부과하는 것은 비례원칙에 맞지 않는다는 의견이 금융권에서 제기되고 있다.

권한 없는 책임은 보안 강화가 아니라 책임 전가다

금융권 CISO들이 이번 제재에 강하게 반발하는 이유는 책임과 권한의 불일치 때문이다.

한 금융권 CISO는 “취약점의 실질적인 조치는 IT운영과 개발 영역에서 이뤄지기 때문에 CIO가 책임지고 조치해야 한다”며 “CISO와 CIO의 겸직을 금지하는 이유도 CIO가 보안을 후순위로 둘 수 있기 때문”이라고 지적했다. 그는 사고가 났을 때 자발적 신고, 시스템 복원 노력, 선량한 관리자의 주의의무 이행 여부를 따져야 하며, 취업금지는 사실상 매장에 가까운 처벌이라고 비판했다.

또 다른 CISO는 롯데카드 사고의 근본 원인에 대한 통제권이 누구에게 있었는지 먼저 규명해야 한다고 말했다. 예산, 인력, 인프라, 예방점검 권한이 CISO와 보안팀장에게 실제로 있었고 이를 방치했다면 책임을 물을 수 있다. 그러나 그렇다 해도 동종업계 취업제한 같은 경력박탈형 조치는 과도하다는 의견이다. 감봉이나 견책만으로도 감독기관의 제재 목적은 달성될 수 있으며, 사고를 겪은 CISO를 채용할지는 업계 자율에 맡겨야 한다는 것이다.

이 지적은 중요하다. 금융권 보안조직은 많은 책임을 지지만, 실제 권한은 제한적인 경우가 많다. CISO가 취약점 조치를 요구해도 서비스 장애 우려, 개발 일정, 예산 부족, 영업 우선순위 때문에 패치가 미뤄질 수 있다. 이런 구조를 방치한 채 사고가 나면 CISO만 정직시키고 4년간 금융권에서 배제하는 것은 조직의 문제를 개인에게 전가하는 방식이다. 이는 재발 방지라기보다 면피에 가깝다.

현직 CISO와 전직 CISO에게 정직과 4년 금융회사 재취업 제한이 적용될 수 있는 제재는 사실상 경력박탈형 제재다. 금융보안 분야에서 4년의 공백은 단순한 휴직이 아니다. 기술, 규제, 위협 환경이 빠르게 변하는 산업에서 4년간 금융권 경력을 중단시키는 것은 해당 전문가의 전문성을 시장에서 사실상 제거하는 결과를 낳을 수 있다.

금융권 CISO들은 경력박탈형 인적 제재가 다른 수단으로는 제재 목적을 달성하기 어려운 경우에 한해 최후 수단으로 적용돼야 한다고 지적했다. 특히 고의적 내부유출과 외부 해킹 공격에 대한 방어 실패는 동일하게 취급돼서는 안 된다는 의견도 제기됐다. 경력박탈형 제재가 재발 방지와 보안 강화에 실질적으로 기여하는지, 해당 목적을 달성하기 위한 적절한 수단인지도 따져야 한다는 것이다.

감독당국이 명확히 설명해야 할 부분도 여기에 있다. CISO에게 정직과 4년 재취업 제한을 적용할 정도의 고의 또는 중대한 과실이 무엇인지, 그 판단 기준은 무엇인지, 같은 기준이 앞으로 모든 금융권 침해사고에 예측 가능하게 적용될 것인지 공개적으로 설명해야 한다. 기준이 불명확한 상태에서 중징계만 남으면 현장에는 “사고가 나면 CISO 경력은 끝난다”는 신호로 전달될 수밖에 없다.

과도한 제재는 사고 은폐와 보안인력 이탈을 부추길 수 있어

과도한 인적 제재는 두 가지 위험한 부작용을 낳을 수 있다. 첫째는 CISO 보직 기피다. 금융권 CISO들은 이미 AI 기반 공격, 제로데이 취약점, 공급망 공격, 내부자 위협, 망분리 환경의 제약 속에서 방어 업무를 수행하고 있다. 완전 방어가 불가능한 상황에서 사고가 발생했다는 이유만으로 정직과 재취업 제한이 내려진다면, 우수 인력이 금융권 CISO직을 맡으려 할지 의문이다.

둘째는 사고 은폐 유인이다. 사고를 빨리 신고하고 고객 피해를 줄이기 위해 노력한 조직과 담당자에게도 경력박탈형 제재가 내려진다면, 현장에서는 투명한 신고보다 축소와 지연을 선택하려는 분위기가 커질 수 있다. 이는 금융소비자 보호라는 감독 목적과 정면으로 배치된다.

보안사고 대응의 핵심은 빠른 탐지, 신속한 신고, 투명한 공유, 피해 확산 차단이다. 그러나 처벌 중심 제재가 과도해지면 조직은 문제를 빨리 드러내기보다 책임을 피하는 데 에너지를 쓰게 된다.

한 CISO는 “이번 중징계가 명백한 고의나 구조적 방치가 아닌 일부 미흡 사항에 대한 처벌로 결정된다면 금융권 CISO의 직무 의지가 극도로 저하되고, 우수 인력의 이탈과 보임 기피가 구조화될 수 있다”고 말했다. 그는 사고 인지 시 적극적 투명성 확보보다 제재 회피를 위해 사고를 은폐·축소할 유인이 생길 수 있다고 지적했다.

여창환 생명보험협회 CISO “회사 침해를 개인 제재로 묻는 것은 불합리”

김승주 고려대 교수 "외국의 경우 고의로 사고를 은폐했거나 수사를 방해한 것이 아니면 개인 처벌은 지양"

여창환 생명보험협회 CISO는 이번 제재 논란에 대해 “침해사고는 개개인이 잘못해서 발생한 문제가 아니라 회사가 침해당한 사안인데, 이를 개인 제재로 연결하는 것은 불합리하다”고 말했다.

그는 “회사가 투자하지 않았거나 관리체계에 문제가 있었다면 회사에 제재해야 한다”며 “개인의 일탈행위가 아닌데 보안활동을 하고 있다는 이유만으로 제재하는 것은 문제”라고 지적했다.

여 CISO는 사고가 발생하면 인적 제재가 불가피하고 이후 금융권 재취업도 어렵다면 누가 보안을 적극적으로 추진하겠느냐고 반문했다. 이어 “선량한 관리자의 의무를 다했다면 과도한 책임 추궁은 없어야 한다”며 사고 발생 후 대응 과정, 통제 노력, 제도 개선 시도 등이 함께 평가돼야 한다고 강조했다.

고려대 김승주 교수도 조직에 물어야 할 책임을 개인에게 돌리는 방식은 신중해야 한다는 입장을 밝혔다. 김 교수는 “조직에 대해 책임을 물을 일을 개인에게 묻는다면 앞으로 인재들은 금융권에서 CISO를 하려 들지 않을 것”이라며 “외국의 경우 고의로 사고를 은폐했거나 수사를 방해한 것이 아니면 개인 처벌은 지양한다”고 말했다.

감독당국이 물어야 할 질문은 “누구를 자를 것인가”가 아니다

롯데카드 사고의 본질은 한 명의 CISO나 보안팀장의 업무 태만으로 축소될 수 없다. 해커가 침투했고, 온라인 결제 시스템에서 대규모 로그 정보가 유출됐으며, 주민등록번호와 결제 관련 정보가 충분히 보호되지 못했다. 이는 보안조직의 문제일 수 있지만, 동시에 개발·운영·인프라·데이터 관리·경영진 투자 판단·이사회 감독의 문제이기도 하다.

감독당국이 진정으로 재발 방지를 원한다면 질문을 바꿔야 한다. “누구를 중징계할 것인가”가 아니라 “왜 주민등록번호가 불필요하게 로그에 남았는가”, “왜 로그 암호화와 접근통제가 충분하지 않았는가”, “왜 취약점 조치가 지연됐는가”, “CISO가 위험을 보고했을 때 경영진과 IT조직은 어떻게 대응했는가”, “보안투자와 인력은 충분했는가”, “CISO에게 실제 조치 권한이 있었는가”를 물어야 한다.

이 같은 요건이 명확히 설명되지 않은 상태에서 현직·전직 CISO에게 정직과 4년 재취업 제한을 부과하는 것은 과도하다. 팀장에게 3개월 감봉을 통보하는 것도 해당 팀장이 실제 어떤 권한과 결정권을 갖고 있었는지에 따라 평가돼야 한다.

이번 CISO·보안팀장 제재는 재고돼야 한다

롯데카드에는 엄정한 제재가 필요하다. 고객 297만명의 정보가 유출됐고, 일부 고객의 카드 비밀번호와 CVC까지 포함된 사고였다. 개인정보위 과징금 96억2천만원, 금감원 제재심의 영업정지 4.5개월과 과징금 50억원, 조좌진 전 대표 문책경고는 사고의 중대성을 반영한 제재 흐름으로 볼 수 있다.

다만 CISO와 보안팀 보직자에 대한 제재는 별도의 원칙으로 판단해야 한다. 현직 CISO 정직과 4년 금융회사 재취업 제한, 전직 CISO 정직과 4년 금융회사 재취업 제한, 팀장 3개월 감봉 제재가 그대로 확정된다면 현장에는 “침해사고가 나면 보안책임자는 경력으로 대가를 치른다”는 메시지가 전달될 수 있다.

이 메시지는 금융보안을 강하게 만들지 못한다. 오히려 유능한 인재를 CISO 자리에서 멀어지게 하고, 현직자들을 방어적 문서 행정으로 몰아넣으며, 사고 신고를 위축시킬 수 있다.

금융감독원과 금융위원회는 이번 사안을 단순한 일벌백계로 처리해서는 안 된다. 고의와 중과실, 권한과 책임, 사고 전 예방활동, 사고 후 대응, 경영진과 IT조직의 책임을 분리해 따져야 한다. 경력박탈형 인적 제재는 명확한 기준과 예측 가능성이 있을 때만 최후 수단으로 적용해야 한다.

롯데카드 사고의 교훈은 CISO를 희생양으로 삼는 데 있지 않다. 금융회사 전체가 보안투자, 데이터 관리, 취약점 조치, 경영진 책임체계를 어떻게 바꿀 것인지에 있다. 이번 CISO와 보안팀장 제재는 그 기준에서 반드시 재고돼야 한다.