CISO(최고 정보 보안 책임자)란 무엇인가?
최고 정보 보안 책임자(CISO, Chief Information Security Officer)는 기업의 정보와 데이터를 안전하게 보호하는 것을 최우선 임무로 하는 고위 경영진입니다. CISO는 기업 자산, 시스템, 통신 및 정보를 사이버 공격으로부터 지키기 위해 정보 보안 프로그램을 개발하고 실행하는 역할을 담당합니다.
한편 최고 보안 책임자(CSO, Chief Security Officer)는 CISO보다 범위가 넓어, 조직의 물리적 자산과 디지털 자산 모두의 보안을 총괄합니다. 대부분의 경우 CSO는 온라인 보안 프로토콜, 리스크 관리, 보안 사고 대응 업무를 맡습니다.
CISO의 주요 역할과 책임
정보 보안의 최종 책임자
정보 보안의 궁극적인 책임은 CISO에게 있습니다. CISO는 자산, 인프라, 정보 기술을 보호하는 것은 물론 운영 보안(Operational Security)까지 관리합니다. 또한 리스크를 평가하고, 회사를 위협으로부터 최대한 보호할 수 있는 조치를 취합니다.
보안 거버넌스 체계 구축
CISO는 올바른 보안 프로세스와 절차, 거버넌스 체계를 수립하는 일을 합니다. 점점 복잡해지는 환경 속에서 확장 가능하고 리스크 없는 비즈니스 운영을 구현하는 것이 핵심 과제입니다.
복잡한 문제를 통제책으로 전환
정보 보안 분야에서 CISO는 다양한 역할을 수행하지만, 가장 본질적인 책임은 복잡한 비즈니스 문제를 효과적인 보안 통제책으로 번역하는 것입니다. 즉, CISO는 스스로 문제를 해결하는 동시에 다른 이들을 이끌어가는 리더이기도 합니다.
CISO 연봉은 얼마인가?
미국의 CISO 연봉
미국 기준 CISO의 연봉 분포는 다음과 같습니다.
- 상위 소득자: 연 $250,000 (월 약 $20,833)
- 상위 75% 지점: 연 $205,000 (월 약 $17,083)
- 평균: 연 $171,538 (월 약 $14,294)
- 하위 25% 지점: 연 $116,500 (월 약 $9,708)
인도의 CISO 연봉
인도에서 '최고 정보 보안 책임자' 칭호를 가진 LinkedIn 회원 30명의 데이터를 바탕으로 계산한 결과, 인도 CISO의 평균 연봉은 약 255만 5천 루피로 나타났습니다.
부(副) CISO의 연봉
2016년 1분기 기준, 미국 부 CISO(Deputy CISO)의 평균 연봉은 $124,758이며 시간당 약 $89.98에 해당합니다. 초급 직위 종사자는 연평균 $100,566을 받는 반면, 가장 경력이 많은 전문가들은 연간 최대 $195,000까지 받는 것으로 조사되었습니다.
CISO가 되려면 얼마나 걸리나요?
CISO가 되기 위해서는 사이버 보안 분야에서의 풍부한 경험과 탄탄한 기술적 배경이 필수입니다. 해당 분야에서 폭넓은 경험이 없다면 CISO 자리에 오르기 어렵습니다.
일반적으로 CISO 후보자는 7~12년의 점진적으로 책임이 커지는 경력을 갖추고 있습니다. CISO 자격 요건으로는 통상 6~12년의 실무 경험, 그중 최소 5년의 관리직 경험이 요구됩니다. 조직의 최고 수준에 도달하려면 정식 교육과 관련 실무 경험이 함께 뒷받침되어야 합니다.
CISO의 토대가 될 수 있는 경력은 매우 다양합니다. 프로그래밍, 정보 보안, 리스크 관리, 정부 기관 등 여러 경로를 통해 CISO로 성장할 수 있습니다.
CISO가 되는 방법: 단계별 로드맵
- 프로그래머/애널리스트로 시작: IT 분야의 기초를 다지는 것이 가장 좋은 출발점입니다.
- 보안 애널리스트로 전환: 보안 애널리스트가 되기 위해 필요한 역량과 절차를 파악합니다.
- 자격증과 교육 추가: 이력서에 관련 자격증과 교육 이수 내역을 쌓아갑니다.
- 보안 전문가 팀 운영: 보안 전문가들로 구성된 팀을 관리하며 리더십을 키웁니다.
- 정보 보안 중심 MBA 과정 수료: 경영 시각과 보안 전문성을 동시에 갖춥니다.
CISO에게 요구되는 학위와 기술
학력 요건
CISO가 되기 위해서는 일반적으로 학사 학위가 필요합니다. 컴퓨터 과학, 정보 기술, 경영학 또는 이와 관련된 분야의 학위가 좋은 선택입니다.
필수 역량
CISO에게 요구되는 핵심 스킬은 다음과 같습니다.
- IT 보안 시스템의 설계, 배포, 테스트, 구현, 모니터링을 아우르는 방대한 지식
- 높은 수준의 리더십, 협상 능력, 설득력
CISO는 누구에게 보고하는가?
그동안 CISO는 일반적으로 최고 정보 책임자(CIO)에게 보고해 왔으며, 오늘날에도 많은 CISO가 CIO를 상사로 두고 있습니다. Egon Zehnder의 북미 기술 담당 헤드인 칼 비티안다(Kal Bittianda)도 이러한 구조가 여전히 일반적이라고 설명합니다.
다만 BDO Advisory의 코닝스(Konings)는 CISO가 CEO에게 직접 보고하더라도 전략적 의사결정 권한이 없으면 외곽에 밀릴 수 있다며, 경영진 팀의 일원인 CIO에게 보고하는 편이 중요한 정보를 CISO에게 전달하는 데 유리하다고 말합니다.
조직에 따라서는 CISO가 법률 고문(GC)이나 최고 컴플라이언스 책임자에게 보고하는 경우도 있고, 경우에 따라서는 CEO에게 직접 보고하는 것이 더 적절할 수도 있습니다. 어떤 조직 구조를 선택하든, 권력의 균형을 유지하고 조직의 필요에 부합하며 최상위 목표 달성을 지원할 수 있어야 합니다.
CISO와 CIO의 관계
CISO와 CIO의 관계는 흔히 '발전하고 있다(evolving)'고 표현되지만, 때로는 충돌하기도 합니다. CISO가 CIO에게 직접 보고하는 구조에서는 이해 상충이 발생하기 쉽습니다. 두 직위 모두 데이터와 자산의 보호 및 관리를 책임지지만, CISO의 책임 영역은 크게 다릅니다.
CIO는 점점 더 혁신에 집중하고 있으며, 혁신은 곧 리스크 감수를 의미합니다. 반면 CISO는 리스크를 관리하고 최소화하는 역할을 맡습니다. 이처럼 우선순위가 다른 두 역할이 충돌하는 것은 자연스러운 현상입니다.
CISO와 CIO를 한 사람이 겸임할 수 있을까?
전문가들은 두 역할의 겸임을 적절하지 않다고 봅니다. 두 직위는 책임과 관심사가 달라 이해 상충이 발생할 수 있으며, 우선순위가 서로 다른 만큼 CIO가 두 역할을 공정하게 수행하기 어렵습니다. 규제 요건을 제외하더라도, CIO에게 독립적이고 공정한 CISO 역할까지 겸하도록 요구하는 것은 지나친 부담입니다.
CISO에서 CIO로 성장할 수 있을까?
가능합니다. 실제로 조에티스(Zoetis Inc.)의 Executive Vice President이자 최고 정보·디지털 책임자(CIDO)인 와파 마밀리(Wafaa Mamilli)는 CISO로 시작해 2010년 CIO로 승진한 사례를 보여줍니다. 조에티스는 세계 최대 규모의 기업 중 하나입니다.
미국 연방 정부의 CISO 역사
미국 연방 정부의 CISO는 행정관리예산실(OMB) 소속으로 미국 대통령에게 보고하는 고위직이자 최고 정보 책임자(CIO) 산하의 직위입니다.
- 그레고리 토우힐(Gregory Touhill): 2000년대에 임명되었으나 2017년 1월 사임했습니다.
- 그랜트 슈나이더(Grant Schneider): 전임 부 CISO로서 토우힐의 뒤를 이어 직위를 수행했습니다.
- 크리스 드루샤(Chris DeRusha): 2021년 1월에 CISO 직을 맡았습니다.
워싱턴 주의 사이버 보안 책임자
워싱턴 주의 사이버 책임자는 주 최고 정보 책임자가 임명한 빈od 브라흐마푸람(Vinod Brahmapuram)으로, 워싱턴 주의 부 최고 정보 책임자를 겸임합니다. 그는 주의 사이버 보안 전략 방향을 설정·조율하는 책임을 지니며, 주지사와 입법부에 해당 분야의 핵심 이슈에 대해 자문합니다.
CISO는 좋은 직업인가?
IT 보안 책임자는 IT 커리어의 정점으로 여겨집니다. 마치 모든 IT 보안을 관장하는 부서를 이끄는 오성장군과 같은 존재입니다. CISO는 오늘날 보안 전문가들 사이에서 가장 명망 있고 보수가 좋은 직업으로 알려져 있으며, 강한 책임감을 행사함으로써 기업의 보안 수준을 한 단계 끌어올릴 수 있는 위치에 있습니다.
CIO와 CTO 중 누가 더 많이 버나요?
Glassdoor에 따르면 CTO의 평균 연봉은 $166,246입니다. 반면 CIO 잡지가 2010년 발표한 'State of the CIO Survey'에 따르면 CIO의 평균 연봉은 $219,300으로 집계되었습니다. 결국 어느 쪽이 더 많이 받는지는 전적으로 회사의 요구 사항과 상황에 따라 달라집니다. 어떤 경우에는 CTO가, 어떤 경우에는 CIO가 더 유리합니다.
CIO와 CTO 중 어느 쪽이 더 흔한가?
일반적으로 CIO는 내부 지향적인 역할을 합니다. CIO는 내부 고객(사용자)과의 관계를 관리하고 조직의 IT 인프라를 총괄합니다. 반면 CTO는 외부 지향적이며, 기술 자체와 혁신에 더 초점을 맞춥니다. 다만 컴퓨터 및 기술 기업들이 점점 CIO와 CTO 직위를 분리하는 추세입니다.