KT, CISO·CPO 분리와 보안 인력 2배 확대로 AI 사업 시대 정보보호 거버넌스 강화

핵심 요약

- KT가 CISO(최고정보보호책임자)와 CPO(개인정보보호책임자) 분리를 통해 정보보호 거버넌스 체계 고도화 추진 - 정보보안 인력 2배 확대 및 외부 전문가 영입으로 조직 역량 강화 - AI 사업 확대에 따른 신규 보안 위협 대응 체계 마련이 중장기 과제로 부각

주요 내용

KT가 박윤영 대표 체제 출범과 함께 정보보호 조직 구조의 전면 개편에 나섰다. 가장 주목할 만한 변화는 CISO와 CPO의 역할 분리다. 이는 2026년 현재 AI 기술 도입이 가속화되면서 개인정보 처리 환경이 복잡해진 상황에서, 기술적 보안과 개인정보보호 컴플라이언스 영역에 각각 전문성을 집중하겠다는 전략으로 풀이된다.

정보보안 인력을 기존 대비 2배 수준으로 확대하고 외부 전문가를 영입하는 계획도 포함됐다. 통신사업자는 정보통신망법과 개인정보보호법상 주요 의무 대상이며, 특히 KT는 2024년 개정된 AI기본법 시행 이후 AI 서비스 제공 과정에서 발생하는 개인정보 처리 이슈에 더욱 민감하게 대응해야 하는 상황이다.

통신사들이 본업인 통신 서비스를 넘어 AI 사업으로 영역을 확장하면서, 새로운 유형의 정보보호 위협에 직면하고 있다. 특히 생성형 AI 서비스는 학습 데이터, 프롬프트 입력, 출력 결과 전 과정에서 개인정보가 노출될 위험이 존재하며, AI 모델 자체의 보안 취약점도 관리 대상이 되고 있다.

KT의 이번 조직 개편은 단순한 인력 확충을 넘어, AI 시대에 맞는 정보보호 거버넌스 체계를 선제적으로 구축하려는 시도로 평가된다. CISO는 AI 인프라 보안, 모델 보안, 위협 탐지 등 기술적 측면에 집중하고, CPO는 AI 학습 데이터의 개인정보 처리, 정보주체 권리 보장, 법규 준수 등 컴플라이언스 측면을 전담하는 구조가 예상된다.

전문가 시각

ISMS-P 인증 기준에서 최고경영자의 정보보호 및 개인정보보호 책임을 명확히 규정하고 있으며, CISO와 CPO의 역할 분리는 조직 규모와 처리 정보의 복잡도에 따라 권장되는 모범 사례다. 특히 AI 서비스를 제공하는 사업자의 경우, AI기본법 제51조(신뢰할 수 있는 인공지능)와 개인정보보호법 제3조의2(가명정보의 처리 등) 사이의 정합성을 유지하려면 전문 조직의 분리 운영이 실질적으로 필요하다. KT의 사례는 대규모 AI 서비스 사업자들에게 조직 거버넌스 설계의 참고 모델이 될 수 있다.

다만 인력 확대만으로는 불충분하며, AI 개발·운영 생명주기 전반에 걸친 보안 프로세스 정립이 수반되어야 한다. 바이브 코딩(Vibe Coding) 등 AI 보조 개발 도구 사용이 확산되면서 자동 생성 코드의 보안 취약점 검증, AI 모델 학습 과정의 데이터 거버넌스, 프롬프트 인젝션 공격 대응 등 새로운 보안 통제가 필요하다. CISO와 CPO가 협업하여 'AI 보안 및 개인정보보호 통합 가이드라인'을 수립하고, 개발·보안·개인정보보호 부서 간 유기적 협력 체계를 구축하는 것이 2026년 현재 시점에서 가장 시급한 과제다.

CPPG·ISMS-P 연계 포인트

1. 정보보호 조직 및 최고책임자의 지정 (ISMS-P 1.1.2)
개인정보 처리 규모가 크고 AI 등 신기술을 활용하는 조직은 CISO와 CPO를 분리 지정하여 각 영역의 전문성을 강화할 수 있다. 이 경우 두 책임자 간 협업 체계, 보고 라인, 권한과 책임의 명확한 구분이 문서화되어야 하며, 정기적인 합동 회의 및 위험 평가가 이루어져야 한다.

2. 개인정보 영향평가 및 AI 윤리 검토 (개인정보보호법 제33조, AI기본법 제52조)
AI 서비스 도입 시 개인정보 영향평가(PIA)와 AI 윤리 영향평가를 통합적으로 수행해야 한다. 특히 학습 데이터의 개인정보 포함 여부, 비식별 조치의 적정성, AI 출력 결과의 개인정보 재식별 위험 등을 사전 검토하고, CPO 주도로 법무·윤리·보안 부서가 참여하는 크로스펑셔널 검토 체계가 필요하다.