금감원, 롯데카드 해킹 사태 관련 정보보호 책임자 고강도 제재... 보안 인력 동요
정보보호 사고 특성 무시, 모든 과실 개인에 전가
“보안은 개인 아닌 조직 전체의 거버넌스 과제”

[보안뉴스 조재호 기자] 금융감독원이 지난해 발생한 297만명 규모의 고객 개인신용정보 유출 사고와 관련해 롯데카드 전현직 정보보호최고책임자(CISO)에게 정직 3개월 등 중징계를 확정하면서 금융권 보안 인력들이 동요하고 있다.

100% 예방할 수 없는 사이버보안 영역에서 권한은 제한된 실무 책임자에게 무한 책임을 묻는 방식은 불합리하다는 지적이다.


[출처: 연합]

롯데카드 사건의 발단은 지난해 8월로 거슬러 간다. 신원 미상의 해커가 8년간 보안 패치가 누락된 구형 웹로직 서버의 취약점(CVE-2017-10271)을 악용해 유니온페이 온라인 결제(UPOP) 가맹점으로 침투했다. 장기간 사용되지 않아 보안관제 대상에서 제외된, 이른바 ‘잊혀진 IT’(Shadow IT) 환경이 통로로 악용되며 297만명의 민감 금융 정보가 유출됐다.

금융위원회는 롯데카드에 신규 카드 발급 업무정지 1년 6개월, 과징금 50억원 등 제재를 의결했다. 이어 전현직 CISO에게 정직 3개월 및 금융권 취업 제한 4년이라는 인적 제재도 확정했다. 보안 점검 의무를 소홀히 한 중과실이라는 판단에 따른 것이다.

이번 제재에 보안 실무자들은 반발하는 분위기다. 사모펀드인 MBK파트너스 인수 이후 단기 수익 창출에 밀려 롯데카드 정보보호 예산은 대폭 감축됐고, 노후 서버 교체 등 핵심 보안 인프라 투자가 지연된 점 등 구조적 문제를 봐야 한다는 것이다.

익명을 요구한 한 금융권 보안 관계자는 “보안 사고의 책임을 개인에게만 묻는 방식은 실질적 보안 강화로 이어지지 않는다”며 “CISO의 권한과 책임을 균형 있게 설계하고 보안을 개인이 아닌 경영진과 조직 전체의 거버넌스 과제로 접근해야 한다”고 말했다.

다른 보안 담당자는 “이번 중징계는 금융권의 보안 전문성을 오히려 퇴화시키는 결정”이라며 “권한은 없이 무한 책임만 강요받는 구조 속에서 앞으로 누가 사명감과 전문성을 가지고 CISO나 최고개인정보책임자(CPO)를 맡으려 하겠는가 걱정이 커진다”고 말했다. 이어 “결국 보안 최고 책임자 자리가 실질적 리스크 관리보다는 퇴직 전 책임만 고스란히 뒤집어쓰는 ‘총알받이’로 전락할 것이라는 우려의 목소리가 커지고 있다”고 말했다.

엄벌 위주 규제가 전체 보안 생태계를 붕괴시킬 수 있다는 비판도 제기된다. 8년간 취약점을 방치한 것은 일차적으로 실무적 과실임이 분명하나, CISO에게 예산 집행권과 인력 구성권이 보장되지 않은 상태에서 결과에 대한 징벌만 가해지는 것은 근본적 해결책이 될 수 없다는 지적이다.

또 다른 현장 실무자는 “이번 중징계 선례로 인해 유능한 보안 담당자들이 CISO 보직을 회피하는 현상이 심화될 것”이라며 “결국 방어력 개선보다는 제재를 피하기 위한 면피성 서류 작업에 몰두하는 ‘페이퍼 보안’만 고착화될 위험이 크다”고 말했다.

이번 제재는 기업의 보안 책임성과 거버넌스 독립성을 의무화하는 정부 정책 전환 기조와도 들어맞지 않는다는 의견이 나온다.

최근 개정된 개인정보보호법 시행령은 정보보호최고책임자(CISO)와 최고개인정보책임자(CPO)의 역할 분리를 의무화하고, 유출 사고 발생 시 전체 매출액의 최대 3%를 과징금으로 부과하는 등 경영진 책임을 대폭 강화했다. 기업 정보보호 정책을 심의 및 의결하는 정보호호위원회 설치 등을 골자로 하는 정보통신망법 개정안도 통과됐다.

국가 정책 흐름이 사후 징계에서 사전 컴플라이언스 내재화로 이동했음을 시사한다. 금융권 역시 실무자 개인에 대한 처벌에 머물지 않고 조직 전체의 보안 거버넌스를 한층 강력하게 재편해야 할 시점이라고 전문가들은 입을 모았다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>