이진규 네이버 CISO, 보안인 이사회 소통 전략 공유
“이사회가 들어야 할 재무적 리스크로 번역해 전달해야”

[보안뉴스 조재호 기자] “보안 실무자 입장에서 보고하고 싶은 방어 실적에만 매몰되지 마십시오. 이사회가 비즈니스 관점에서 반드시 들어야 할 치명적 리스크를 그들이 이해할 수 있는 철저한 재무적 언어로 변환해 전달하는 것이 차세대 CISO의 진정한 역할입니다.”


이진규 네이버 CISO가 강연을 진행하고 있다. [출처: 보안뉴스]

이진규 네이버 최고정보보호책임자(CISO)는 7일 서울 용산 피스앤파크컨벤션에서 열린 ‘CISO 코리아 2026’에서 ‘이사회를 설득하는 보안 커뮤니케이션’을 주제로 발표하며 기술적 성과를 재무적 리스크로 번역하는 고도화된 이사회 소통 전략을 소개했다.

그는 보안 전문가와 경영진 간에 형성된 언어 장벽 해소에 집중했다. 최근 상법 개정 및 대법원 판례에 따라 이사회 전원에게 엄격한 내부통제시스템 구축 및 감시 의무가 부여됐다. 이에 따라 CISO 정기 보고는 단순한 실무 공유가 아니라 사고가 터졌을 때 이사회의 연대 배상 책임을 방어해 주는 견고한 ‘법적 방어막’이 돼야 한다는 것이다.

이 CISO는 “형식적 안건 승인만으로 이사회의 감시 의무가 충족되던 온정적 시대는 대법원 판례와 함께 끝났다”며 “이제 CISO가 제공하는 객관적이고 전략적인 위협 보고서는 단순한 실무 브리핑을 넘어, 보안 사고가 발생할 경우 이사회의 연대 배상 책임을 방어해 주는 가장 견고한 ‘법적 방어막’으로 기능해야 한다”고 말했다.

모호한 상·중·하 위협 평가를 배제하고, ‘특정 랜섬웨어 감염 시 비즈니스 다운타임 손실액이 130억원을 초과할 확률이 30퍼센트에 달한다’ 같은 구체적이고 재무적인 ‘사이버위험 정량화(CRQ)’ 기법을 도입해야 한다는 설명이다.

이사회 보고 전략의 기준을 바꾸는 지표 전환의 중요성도 강조했다. 이 CISO는 보안 조직이 관성적으로 보고해 온 ‘임직원 교육 수료율 98% 달성’이나 ‘취약점 패치 적용 건수’ 등 모호한 사후 보고 대신 ‘사내 비승인 클라우드 계정 사용 시도 급증’과 같이 기업의 잠재적 위험 노출도를 사전적으로 경고하는 선제적 ‘핵심위험지표’(KRI)로 이사회의 시각을 교정해야 한다고 제언했다. 보안 부서가 전사적 비즈니스 리스크를 꿰뚫고 있는 거버넌스의 주체임을 객관적으로 입증해야 한다는 것이다.

이러한 KRI 중심 통제는 기업의 실제 비즈니스 전략과 유기적으로 맞물려야 실효성을 거둘 수 있다. 단순히 방화벽을 세우는 방어적 태도를 넘어 클라우드 마이그레이션이나 AI 서비스 기획 초기 단계부터 개입하는 ‘시큐리티 바이 디자인’(Security by Design)을 실현해야 이사회의 전폭적 신뢰를 얻을 수 있기 때문이다.

정보보호 활동에 이사회가 직접 연계될 수 있도록 글로벌 표준에 연동된 직관적 대시보드와 인포그래픽 활용도 권고했다. 정기 보고 외에도 이사회와 CISO 간 비공개 회의를 신설하고 경영진이 참여하는 모의 해킹(FTX) 훈련을 가동해 조직 전반의 ‘사이버 복원력’과 위기 대응 근육(Muscle Memory)을 실전 단위에서 점검하라고 조언했다.

이 CISO는 “정보보호 조직은 더 이상 회사 예산만 소모하는 ‘코스트 센터’가 아니다”라며 “기업의 핵심 비즈니스 전략을 지원해 가장 안전하게 수익 창출을 돕는 ‘밸류 드라이버’이자 전략적 파트너로서 이사회와 새로운 기준을 정립할 때”라고 말했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>