삼성카드, IT 예산 11.7% 정보보호 투자…춘천 DR센터 연 1회 이상 전환훈련 실시

핵심 요약

- 삼성카드, 2026년 IT 예산 중 11.7%를 정보보호에 투자하며 전년(8.6%) 대비 3.1%p 증액 - 춘천전산센터를 재해복구(DR)센터로 운영하며 연 1회 이상 DR 전환 훈련 정례화 - 김이태 사장 주도로 '10년 무사고' 달성, 정보보호를 비용이 아닌 핵심 인프라로 인식

주요 내용

삼성카드가 2026년 정보보호 투자를 대폭 확대하며 재해복구 체계 고도화에 나섰다. 전체 IT 예산의 11.7%를 정보보호 분야에 편성한 것은 금융권 평균(약 7~9%)을 크게 상회하는 수준이다. 이는 김이태 사장의 '보안은 비용이 아닌 인프라'라는 경영 철학이 실제 예산 배분으로 구현된 사례로 평가된다.

특히 춘천전산센터를 재해복구(DR)센터로 운영하며 연 1회 이상 DR 전환 훈련을 의무화한 점이 주목된다. 일반적으로 많은 기업이 DR센터를 구축하고도 실제 전환 훈련은 형식적으로 진행하거나 수년에 한 번만 실시하는 것과 대조적이다. 삼성카드는 정기적인 실전 훈련을 통해 재해 발생 시 실제 전환 가능성을 검증하고 있다.

정보보호 전담 인력도 전체 IT 인력 중 상당 비율을 차지하는 것으로 알려졌다. 내부통제 체계 역시 체계적으로 구축되어 있으며, 이러한 노력의 결과로 10년간 중대 보안사고 없이 운영되고 있다. 금융권에서 정보유출이나 시스템 장애가 빈발하는 상황에서 이는 특기할 만한 성과다.

삼성카드의 사례는 정보보호와 재해복구가 단순히 규제 준수 차원을 넘어 기업의 지속가능경영을 위한 핵심 투자 영역임을 보여준다. 특히 카드사업의 특성상 24시간 무중단 서비스가 필수적이라는 점에서 DR센터 운영과 정기 훈련은 사업연속성 확보의 기본 요건이다.

전문가 시각

재해복구센터 구축보다 중요한 것은 실제 재해 상황에서 작동 가능한 체계를 유지하는 것이다. 필자가 LH공사 재해경감우수기업 인증심사를 수행하며 확인한 바에 따르면, 많은 기업이 DR센터를 보유하고 있지만 실제 전환 훈련은 부실하거나 시나리오 기반의 부분 훈련에 그치는 경우가 대부분이다. 삼성카드의 연 1회 이상 DR 전환 훈련은 ISO 22301(비즈니스연속성경영시스템) 요구사항인 '정기적 훈련 및 검토'를 충실히 이행하는 모범 사례다.

IT 예산 대비 11.7%의 정보보호 투자는 단순 비율을 넘어 경영진의 의지를 보여주는 지표다. 기업재난관리 관점에서 볼 때, 정보보호와 재해복구는 분리된 영역이 아니라 통합적으로 관리되어야 한다. 사이버 공격이나 랜섬웨어 감염도 재해의 한 유형이며, 이에 대한 대응체계(백업, 복구, 대체 운영)는 자연재해 대응과 동일한 프레임워크로 접근해야 한다. 삼성카드의 사례는 재해경감우수기업 인증 기준 중 '재해예방 투자 실적'과 '비상대응체계 구축' 항목의 실무 적용 모델로 활용 가능하다.

CPPG·ISMS-P 연계 포인트

재해복구(DR) 체계 구축 및 정기 훈련: ISMS-P 인증기준 2.8.5(재해복구)는 중요 정보시스템에 대한 재해복구 체계 마련과 정기적 훈련·점검을 요구한다. 단순 센터 구축이 아닌 실제 전환 가능성 검증이 핵심이며, 연 1회 이상의 전환 훈련은 심사 시 주요 확인 사항이다.

사업연속성계획(BCP)과 IT 예산 배분: ISO 22301 인증 및 재해경감우수기업 평가에서는 재해예방·대응을 위한 실질적 투자가 평가된다. IT 예산 중 정보보호 비중은 조직의 위험관리 성숙도를 나타내는 지표로, 산업 평균 대비 상회하는 투자는 경영진의 리더십과 조직문화를 보여주는 객관적 증거로 인정된다.