[디지털데일리 이민형기자] 최근 한국스탠다드차타드(SC)은행이 CISO를 부행장급으로 승격했다는 소식이 금융·보안업계에서 화제다. SC은행의 신임 CISO에는 김홍선 전 안랩 대표가 선임됐다.

업계에서는 SC은행의 ‘CISO의 부행장 승격’이 파격적이라는 평가가 나온다. 현재 대부분의 금융회사들의 CISO 직급은 상무, 전무다.

최고정보책임자(CIO) 직급이 부행장인 사례는 많지만 CISO의 직급이 부행장인 경우는 많지 않다. 이는 보안이 기업경영에 있어 부가적인 요소로 인식되고 있기 때문이다.

한 금융회사의 임원은 “보안사고를 경험한 금융사이기 때문에 가능했던 일이 아닐까 싶다”며 “결과적으로는 금융권 CISO의 위치가 격상돼 좋은 선례로 남을 것 같다”고 전했다.

하지만 이러한 분위기가 국내 금융권 전체로 확산되기는 아직 이른 것 같다. 금융권에서도 NH농협은행과 SC은행 모두 금융사고를 경험했기 때문에 어쩔 수 없이 CISO 격상이라는 결정을 내렸을 것이라는 추정이 많다.

실제로 여전히 많은 금융회사의 CIO가 CISO를 겸직하고 있다는 사실도 이를 뒷받침한다.

성완종 의원(새누리당)에 따르면, 지난 2012년 5월 이후 선임된 국내 금융사의 CIO와 CISO 345명 중 78% 수준인 269명이 겸직하고 있는 것으로 나타났다.

금융사 4곳 중 3곳은 CIO가 CISO를 겸직하고 있는 셈이다. 국내 9개 시중은행에서 독립적인 CISO를 선임한 곳은 국민은행과 NH농협은행, SC은행 세 곳에 그쳤다.

CIO가 CISO를 겸임할 경우 CISO의 역할 수행은 사실상 불가능하다. CIO는 회사가 보유한 정보를 활용해 사업전략을 구상하는 역할을 수행하지만, CISO는 회사의 정보보안을 담당하는 역할로 CIO와 반대되는 입장이기 때문이다.

이 때문에 국회에서도 CIO와 CISO 겸직을 금지하는 법안을 발의하고 입법을 추진하고 있는 상황이다.

기업이 강력한 보안체계를 구축하기 위해서는 우선 보안을 총괄할 수 있는 인물을 찾아 CISO로 단독 선임하고, 이에 합당한 권한을 부여해야 한다. 권한이 없는 책임자는 보안문제 해결에 힘을 쓸 수 없다.

SC은행의 부행장급 CISO 선임 사례가 금융권 CISO에 대한 인식변화의 초석이 되길 기대해본다.

<이민형 기자>kiku@ddaily.co.kr