[이슈진단: 롯데카드 정보유출 사고 인적 제재 논란-2] CISO들 반발 "CISO...

롯데카드 침해사고와 관련해 금융감독원이 전·현직 정보보호최고책임자(CISO)와 보안팀장에 대한 인적 제재를 추진하는 것으로 알려지면서 금융권 보안 현장에 심각한 논란이 일고 있다. 현직 CISO와 전직 CISO에게는 정직 상당의 제재와 4년간 금융회사 재취업 제한이, 보안팀장에게는 3개월 감봉이 검토되는 것으로 전해졌다.

금융권 CISO들은 해킹 사고에 대한 책임 자체를 부정하지는 않았다. 다만 외부 공격에 따른 침해사고를 개인의 직무상 책임으로만 몰아가고, 특히 CISO와 보안팀장에게 경력박탈형 제재를 부과하는 것은 금융권 보안 강화에 도움이 되지 않는다고 입을 모았다. 이들은 결과 중심의 중징계가 보안 인력의 사기를 떨어뜨리고, 우수 인력의 CISO 보임 기피와 사고 은폐 유인을 키울 수 있다고 우려했다.

이번 인적제재에 대해 현직 금융사 및 기업 CISO들의 현장 목소리는 다음과 같다.

“6개월 남짓 근무한 현직 CISO 중징계는 과도하다”

한 현직 CISO는 이번 제재가 현장에 주는 충격이 크다고 했다. 특히 롯데카드 현직 CISO가 6개월 남짓 근무한 상황에서 중징계 대상이 되는 것은 매우 과하다는 입장이다. 그는 AI를 활용한 해킹 위험이 커지고 있는 상황에서 이번 제재가 확정될 경우, 현재 금융권에서 보안 책임을 맡고 있는 CISO들의 사기가 크게 떨어질 수 있다고 우려했다.

이번 사고의 핵심이 패치 문제와 관련된 것으로 알려진 데 대해서도 신중한 판단이 필요하다고 했다. 패치가 의도적으로 누락됐는지는 알 수 없지만, 상식적으로 고의로 방치했을 가능성은 높지 않아 보인다는 것이다. 실제 보안 현장에서는 장애 발생 가능성, 서비스 영향, 운영 부서와의 협의 등 여러 이유로 패치가 즉시 적용되지 못하는 경우가 적지 않다. 이런 현실을 알고도 패치 지연만을 이유로 CISO에게 중징계를 내리는 것이 타당한지에 대해 깊은 자괴감을 느낀다고 했다.

“결과만으로 직무 이행 전체를 판단해서는 안 된다”

또 다른 CISO는 해킹사고에 대한 무거운 책임을 통감한다면서도, 정직 상당의 인적 제재는 행정제재의 책임주의와 비례원칙에 비춰 과도하다고 봤다. 정보보안은 기술적·관리적·물리적 통제뿐 아니라 개인정보 보호법, 신용정보법, 전자금융거래법 등 여러 규제를 동시에 준수해야 하는 복합적인 영역이다. 공격자는 한 번의 취약점만 찾아도 되지만 방어자는 모든 영역을 지속적으로 관리해야 한다는 점에서 공격자와 방어자 사이에는 구조적 비대칭성이 존재한다.

이 CISO는 이런 환경에서 100% 완벽한 사전 방어는 성립하기 어렵다고 봤다. 특정 취약점이나 일부 업무 미흡의 결과만을 근거로 CISO의 직무 이행 전반을 재단하면, 평소 선량한 관리자의 주의의무를 다하기 위해 기울여 온 노력을 한순간에 부정하는 결과가 될 수 있다는 것이다.

제재 양정 역시 결과론적 책임 추궁이 아니라, CISO가 상시 통제와 점검 의무를 신의성실하게 수행했는지를 기준으로 종합적으로 판단해야 한다고 했다. 위반행위의 동기와 정도, 평소 의무이행 노력까지 함께 고려해야 한다는 금융기관 검사 및 제재 기준의 취지와도 맞아야 한다는 설명이다.

특히 명백한 고의나 구조적 방치에 해당하는 중과실이 아니라면, 인적 중징계는 부작용을 낳을 수 있다고 우려했다. 우수 인력이 CISO 직무를 기피하거나 이탈할 수 있고, 사고가 발생했을 때 투명한 신고와 신속한 수습보다 제재 회피를 위한 은폐·축소 유인이 생길 수 있다는 점을 문제로 들었다. 이는 결국 금융소비자 보호라는 감독 목적과도 맞지 않는 결과로 이어질 수 있다는 지적이다.

“통제권이 있었는지 먼저 규명해야 한다”

다른 CISO는 다소 다른 관점에서 접근했다. 롯데카드 사고를 유발한 근본 원인에 대해 CISO와 산하 보안팀장이 실제 통제권을 갖고 있었는지부터 규명해야 한다는 것이다. 예산, 인력, 인프라, 예방점검 등 핵심 자원과 의사결정 권한이 CISO 조직에 있었고, 당사자들도 그 책임을 충분히 공감한다면 일정한 징계는 필요할 수 있다고 봤다.

다만 동종업계 취업제한까지 포함한 제재는 과도하다는 의견을 분명히 했다. 감봉이나 견책 정도의 징계만으로도 감독기관이 사고 발생 회사에 책임을 묻는 목적은 상당 부분 달성될 수 있다는 것이다. 사고를 겪은 CISO나 보안팀장을 향후 채용할지 여부는 업계 자율에 맡기는 것이 타당하다는 입장이다.

강한 제재가 반복될 경우 역량 있는 전문가들이 CISO 직무 자체를 피하게 되고, 이는 오히려 금융권 보안 역량을 약화시키는 악순환으로 이어질 수 있다고 우려했다.

“침해사고는 CISO 혼자 해결할 수 있는 영역이 아니다”

또 다른 CISO는 CISO의 책임과 실제 조치 권한을 구분해야 한다고 지적했다. CISO가 취약점을 식별하고 조치 과정을 관리할 책임은 있지만, 침해사고는 CISO만의 직무로 해결할 수 있는 문제가 아니라는 것이다.

취약점의 실질적인 조치는 대부분 IT 운영과 개발 영역에서 이뤄진다. 시스템 패치, 서버 운영, 애플리케이션 수정, 서비스 가용성 판단은 CIO 조직과 개발·운영 부서의 책임 영역인 경우가 많다. CISO와 CIO의 겸직을 금지하는 이유 역시 CIO가 보안을 후순위로 둘 수 있기 때문에 견제 구조를 두기 위한 것이라는 설명이다.

따라서 징계 여부를 판단할 때도 사고 발생 자체만 볼 것이 아니라 자발적인 신고 여부, 시스템 복원에 기울인 노력, 선량한 관리자의 주의의무를 다했는지를 함께 살펴야 한다고 했다. 취업금지는 사실상 업계에서 매장되는 것에 가까운 매우 중한 처벌이라고 평가했다.

“책임과 권한이 일치하지 않는 구조가 더 큰 문제”

또 다른 CISO는 현행 제재 논의의 가장 큰 문제로 책임과 권한의 불일치를 꼽았다. 현직 CISO에게 정직과 4년간 금융권 재취업 제한을 적용하고, 실무 팀장에게까지 중징계를 부과하는 것은 사실상 해당 전문가들의 경력을 끝내겠다는 선고와 다름없다고 봤다.

보안 사고는 고도로 지능화된 공격이나 예상하지 못한 틈새에서 발생할 수 있는 확률의 영역이다. 결과만 놓고 개인에게 모든 책임을 지우는 방식은 가혹하다는 지적이다. 이런 처벌 중심 환경이 계속되면 유능한 보안 인재들은 금융권 진입을 꺼리게 되고, 현직자들도 적극적인 개선보다 책임 회피와 방어적 업무 태도를 택할 수밖에 없다고 봤다.

이 CISO는 특히 보안 취약점에 대한 실질적인 패치, 시스템 개선, 인프라 운영은 대개 보안 부서가 아니라 IT 부서와 CIO의 영역이라고 했다. 조직 구조상 CISO는 취약점을 가이드하고 점검하지만, 실제 시스템을 통제하고 자원을 배분해 조치하는 권한은 CIO에게 집중돼 있는 경우가 많다. 이런 상황에서 실질적 조치 권한이 없는 CISO와 보안팀장에게만 책임을 묻는 것은 부당하고 모순적이라는 것이다.

그는 실질적인 재발 방지를 원한다면 CISO에게 CIO 조직을 통제할 수 있는 권한을 함께 부여해야 한다고 했다. 투자, 권한, 인력 문제는 그대로 둔 채 사고가 나면 특정인만 엄벌하는 방식은 근본적인 해결책이 될 수 없다는 입장이다.

“개인 징계는 기업 자율 원칙이 우선돼야 한다”

다른 CISO는 인적 제재에 분명한 반대 입장을 밝혔다. 이번 사례가 매우 나쁜 선례로 남을 수 있다는 점을 가장 우려했다. 카드업권뿐 아니라 금융권 전반에서 CISO 채용 기피 현상이 나타날 수 있다는 것이다.

개인에 대한 징계나 책임 부과는 기본적으로 기업 내부의 자율적 판단에 맡기는 것이 원칙이어야 한다고 했다. 감독기관이 외부 공격에 따른 침해사고를 이유로 개인에게 과도한 경력 제한을 부과하면, 금융권 보안 인력 시장 전체가 위축될 수 있다는 우려가 깔려 있다.

“보안 사고만으로 강하게 처벌하면 누가 CISO를 하겠나”

또 다른 CISO는 현대 보안 환경에서는 완전 방어가 불가능하다는 점을 강조했다. 미토스 등 AI 기술을 활용한 해킹 기법이 발전하면서 취약점은 더 빠르게 발견되고 실제 공격에 악용되고 있다. 제로데이 공격, 공급망 공격, 내부자 위협까지 고려하면 모든 위협을 완벽하게 차단하는 것은 현실적으로 어렵다는 설명이다.

물론 CISO는 단순 실무자가 아니라 법적으로 정보보호를 총괄하는 책임자이기 때문에 사고에 대한 책임을 완전히 피할 수는 없다고 봤다. 그러나 보안 사고가 발생했다는 이유만으로 CISO를 강하게 처벌한다면 누가 CISO 직무를 맡으려 하겠느냐는 문제를 제기했다.

이 CISO는 경찰의 사례를 들었다. 경찰이 매일 우범지대를 순찰하고 범죄 예방과 대응에 나서더라도 범죄는 계속 발생한다. 그때마다 경찰에게 범죄 예방 실패의 관리 책임을 물어 징계한다면 상식적으로 납득하기 어렵다는 것이다.

따라서 CISO 보임 기간 중 사고 예방을 위해 어떤 활동을 했는지, 고의나 중대한 과실이 있었는지를 중심으로 제재 수위를 정해야 한다고 했다. 사고 당시의 국민 여론이나 사회적 분위기에 편승해 처벌 수위를 과하게 설정해서는 안 된다는 지적도 나왔다. 고의와 중대 과실에 대한 명확한 기준을 사전에 세우고, 투명한 제재 의사결정이 이뤄져야 한다는 의견이다.

사고에 대해서는 과징금, 과태료, 기관제재 등 금전적·조직적 책임을 물을 수 있지만, 담당자 개인에 대해서는 사고의 중대성보다 업무 수행 과정에서 중과실이 있었는지를 중심으로 판단해야 한다고 했다. 과도한 인적 제재는 사기 저하와 보신주의를 불러와 보안사고 예방에 도움이 되지 않는다는 결론이다.

“관리자의 실책 정도를 구분하지 않는 결과책임으로 보인다”

또 다른 CISO는 이번 제재 흐름이 관리자의 실제 실책 정도를 세밀하게 구분하기보다, 사고가 발생했다는 결과만으로 책임을 묻는 방식으로 보인다고 평가했다. 그는 실제 금융감독원의 제재 방식이 그런 방향으로 작동해 왔다고 짧게 언급했다.

이 발언은 이번 논란의 본질을 압축한다. 사고가 발생했다는 사실과 CISO가 고의 또는 중대한 과실로 의무를 위반했다는 판단은 구분돼야 한다. 금융권 현장에서는 이 두 가지가 명확히 분리되지 않을 경우, CISO가 사실상 잠재적 제재 대상이 되는 구조가 고착될 수 있다고 보고 있다.

“CISO들이 잠재적 범죄자처럼 느끼는 현실이다”

다른 CISO는 금융권 보안 책임자들이 놓인 현실을 더 구조적인 문제로 봤다. 수많은 취약점을 안고 운영할 수밖에 없는 상황에서, CIO 조직의 비협조, 권한 밖의 문제, 시스템 가용성 문제 등이 겹치면 대부분의 CISO는 잠재적 범죄자처럼 느끼게 된다는 것이다.

CISO, CPO, CIAP 등 보안·개인정보 책임자에게 부과되는 책임은 계속 늘고 있다. 반면 AI 기반 공격 기술은 빠르게 발전하고 있고, 금융권은 망분리 환경 때문에 AI를 방어 업무에 적극 활용하기도 쉽지 않다. 이런 기울어진 운동장에서 침해사고가 발생하면 보안 책임자는 갑자기 범죄자처럼 낙인찍히고, 인생 전체가 흔들릴 수 있다는 우려가 나왔다.

특히 중소형 금융회사는 인력과 예산이 제한적이다. 적은 인력으로 최선을 다해도 최고 수준의 AI 기반 공격을 막아내는 것은 사이버해킹의 특성상 쉽지 않다. 이 CISO는 단순히 책무를 가진 임원을 처벌하는 관점보다, 비자발적 외부 공격에 대응할 수 있도록 충분한 지원을 제공하는 것이 먼저라고 봤다.

현실과 동떨어진 지원으로 현장을 더 어렵게 만들 것이 아니라, 실제 보안 강화를 위한 대책을 함께 논의해야 한다는 것이 그의 결론이다.

“고의적 내부유출과 해킹 방어 실패는 다르게 봐야 한다”

또 다른 CISO는 제재 기준의 명문화와 예측 가능성을 강조했다. 고의적 내부유출과 외부 해킹 공격에 대한 방어 실패는 제재 평가에서 동일하게 취급돼서는 안 된다는 것이다.

경력박탈형 인적 제재는 다른 수단으로 제재 목적을 달성하기 어려운 경우에 한해 최후 수단으로 신중하게 적용돼야 한다고 했다. 또 이런 제재가 실제로 재발 방지와 보안 강화에 기여하는지, 목적 달성을 위한 적절한 수단인지도 검토돼야 한다고 지적했다.

가장 중요한 대목은 기준의 명문화다. 경력박탈형 제재가 어떤 요건에서 적용되는지, 어떤 판단 기준이 있는지 명확히 공개되고 향후 유사 사안에 예측 가능하게 적용돼야 한다는 것이다. 이번 금융당국의 판단은 단순히 한 사람이나 한 회사의 문제가 아니라, 앞으로 금융권에서 해킹 사고가 발생했을 때 CISO 개인에게 어느 수준의 책임을 물을 것인지에 대한 기준이 될 수 있기 때문이다.

기준이 지나치게 강화되면 유능한 보안 전문가들이 CISO 직책을 피하게 되고, 결과적으로 금융권 전체 보안 역량이 약화될 수 있다. 이 CISO는 이런 점을 금융권 CISO 협의체 등이 당국에 공식적으로 전달할 필요가 있다고 봤다.

그는 중징계 판단 근거가 투명하게 공개될 경우, 오히려 똑똑한 인재들이 빨리 다른 직업을 찾게 될 수 있다고 우려했다. 기업은 이미 해킹당한 기업, 당했지만 아직 모르는 기업, 앞으로 당할 기업으로 나뉜다는 말이 있을 정도로 사이버 위협은 상시적이다. 그럼에도 사고가 나면 업계에서 퇴출되는 구조라면, 유능한 보안 인력이 굳이 CISO 직무를 맡을 이유가 없어진다는 지적이다.

“이런 환경이라면 누가 금융권 보안 업무를 맡으려 하겠나”

다른 CISO는 새로 부임한 CISO가 업무를 시작한 지 6개월 만에 사고가 발생한 경우다. 시스템 규모가 작더라도 6개월은 전체 구조와 리스크를 완전히 파악하기 어려운 시간이다. 그런 상황에서 신고와 대응을 충실히 했는데도 사고가 났다는 이유만으로 책임을 묻는 것은 무리라는 의견이다.

4년 재취업 제한은 개인의 커리어를 사실상 무너뜨리는 제재다. 이런 환경이라면 누가 금융권 보안 업무를 맡으려 하겠느냐는 우려가 나왔다. 어느 조직도 완전히 안전할 수 없는 상황에서 사고가 발생했다는 이유만으로 강한 제재를 받는다면, 보안 업무를 기피하는 흐름은 더 강해질 수밖에 없다.

이 CISO는 감독기관이 보안팀의 심리적 부담과 현장의 구조적 어려움을 충분히 고려하지 않는다고 봤다. 처벌 중심으로만 접근하면 현장은 적극적으로 일하기보다 책임을 피하는 방향으로 움직일 수 있다.

금융권에서는 정직 처분이 내려오면 사실상 금융회사 재취업이 어렵다. 도덕적 해이나 고의적 위반이 있었다면 제재가 필요하지만, 외부 공격에 대한 방어 실패를 같은 수준으로 다루는 것은 과도하다는 입장이다. 특히 문제가 IT 운영 영역에서 발생했다면 보안부서가 직접 해결할 수 없는 구조적 한계가 있는 만큼, CISO에게 충분한 권한이 주어졌는지를 먼저 따져야 한다고 강조했다.

여창환 생명보험협회 CISO “회사 침해사고를 개인 책임으로 돌리는 것은 불합리하다”

여창환 생명보험협회 CISO는 이름과 소속을 밝히고 이번 제재에 대한 우려를 전했다. 그는 회사가 침해당한 사고를 개개인의 잘못으로만 보고 인적 제재를 하는 것은 불합리하다고 했다.

회사가 보안 투자를 충분히 하지 않았거나 조직 차원의 문제가 있었다면 제재는 회사에 부과하는 것이 맞다는 입장이다. 개인이 일탈행위를 한 것이 아닌데, 보안활동을 하고 있다는 이유만으로 제재 대상이 되는 것은 문제가 크다고 봤다. 이런 방식은 금융권 보안 책임자와 실무자의 사기를 떨어뜨리고, 현장에 심각한 부작용을 남길 수 있다는 것이다.

여 CISO는 전임 CISO 역시 다음 계약 이후 금융권 재취업이 어려워질 수 있다는 점을 우려했다. 보안은 다른 업무와 달리 조직을 보호하기 위해 최선을 다하는 영역이지만, 최근 보안 위협은 방어자가 노력한다고 모두 막을 수 있는 수준을 넘어섰다는 설명이다.

특히 사고 발생 시점과 관련해 감독당국이 1개월이 지나면 정상참작이 어렵다는 입장을 보이는 것으로 알려진 데 대해서도 현장에서는 허탈감이 크다고 했다. 금융권 CISO들이 이번 사안을 심각하게 받아들이고 있으며, 하위 보안 인력들도 보안 업무나 보직을 기피하려는 분위기가 생길 수 있다고 우려했다.

여 CISO는 이번 제재가 실제로 확정되면 금융권 보안 현장은 더 힘든 상황을 맞게 될 것이라며 반드시 재고되어야 한다고 강조했다. 금융회사 CISO의 평균 임기가 2~3년에 불과한데, 사고가 나면 인적 제재가 불가피하고 이후 금융권 재취업까지 어려워지는 환경이라면 누가 보안을 적극적으로 추진하겠느냐는 것이다.

그는 이런 환경이 혁신보다 방어에 치우친 보안 문화를 만들 수밖에 없다고 봤다. 선량한 관리자의 의무를 다했다면 과도한 책임 추궁은 없어야 하며, 사고 발생 후 대응 과정, 통제 노력, 제도 개선 시도 등이 함께 평가되어야 한다고 했다. 경험 많은 보안 전문가가 산업을 떠나지 않도록 제도적 보호 장치도 필요하다는 입장이다.

금융권 CISO들 “재발 방지는 처벌보다 권한·투자·기준 정비에서 시작해야”

이번 논란의 핵심은 CISO에게 책임이 있느냐 없느냐가 아니다. 금융권 CISO들은 보안 책임자가 사고에 대해 아무 책임도 지지 않아야 한다고 주장하지 않았다. 이들이 문제 삼는 것은 책임의 범위와 제재의 방식이다.

침해사고는 외부 공격자가 취약점을 찾고, 조직 내부의 운영 구조와 시스템 복잡성, 패치 우선순위, 장애 가능성, 예산과 인력 부족, IT 운영 부서와 보안 부서의 권한 분리 등 여러 요인이 겹쳐 발생한다. 그런데 사고 결과만 놓고 CISO와 보안팀장에게 중징계를 내리면, 조직 전체가 고쳐야 할 문제는 남고 개인만 사라지는 결과가 될 수 있다.

특히 금융권 보안은 AI 기반 공격, 제로데이 취약점, 공급망 공격, 내부자 위협 등으로 점점 어려워지고 있다. CISO에게는 책임이 집중되지만, 실제 패치와 시스템 개선, 인프라 운영 권한은 CIO 조직이나 현업 부서에 있는 경우가 많다. 이 구조를 그대로 둔 채 사고가 발생할 때마다 CISO 개인에게 경력박탈형 제재를 부과하면 보안 강화보다는 보안 업무 기피와 방어적 의사결정만 커질 수 있다.

금융권 CISO들은 이번 사안이 단순히 롯데카드 한 회사의 문제가 아니라고 보고 있다. 이번 제재가 확정될 경우, 향후 모든 금융권 침해사고에서 CISO 개인에게 어느 수준의 책임을 물을 것인지에 대한 사실상 기준이 될 수 있기 때문이다.

따라서 금융당국은 사고의 중대성만이 아니라 CISO와 보안팀장이 실제로 어떤 권한을 갖고 있었는지, 어떤 조치를 했는지, 고의나 중대한 과실이 있었는지, 사고 인지 후 신고와 복구를 어떻게 수행했는지 등을 종합적으로 따져야 한다. 제재 기준도 명확하게 공개되어야 한다. 그래야 금융권 보안 현장이 납득할 수 있고, 보안 인력도 책임을 회피하는 대신 적극적으로 문제를 드러내고 개선할 수 있다.

이번 제재가 보안 강화로 이어지려면 개인 처벌의 강도보다 조직의 구조적 개선이 먼저 논의되어야 한다. CISO에게 책임을 묻겠다면 그에 맞는 권한과 예산, 인력, IT 운영 통제 수단도 함께 주어져야 한다. 그렇지 않은 인적 중징계는 금융보안의 책임성을 높이는 장치가 아니라, 현장을 위축시키고 우수 인력을 밀어내는 역효과로 이어질 가능성이 크다.