KT·LG유플러스 개인정보 유출 사고, 처벌보다 CISO 역할 재정의가 우선이다

핵심 요약

- 2026년 7월 개인정보보호위원회가 KT·LG유플러스 개인정보 유출 사고에 대해 제재 조치를 발표했으나, 처벌만으로는 근본적 보안 문제 해결 불가 - CISO의 형식적 지위가 아닌 실질적 의사결정 권한과 경영진 직접 보고 체계 구축이 핵심 과제 - ISMS-P 인증 심사 시 CISO의 독립성·전문성·권한 범위를 실질적으로 평가하는 기준 강화 필요

주요 내용

2026년 7월 개인정보보호위원회가 발표한 KT와 LG유플러스에 대한 개인정보 유출 사고 제재는 국내 통신업계에 큰 파장을 일으켰다. 그러나 ISMS-P 선임심사원으로 30회 이상 현장 심사를 수행한 백남정 박사는 "처벌이 곧 보안은 아니다"라는 명제를 제시하며, 이번 사고의 본질적 문제점을 지적한다.

이번 사고에서 드러난 가장 큰 문제는 CISO(Chief Information Security Officer)의 역할이 형식적 수준에 머물러 있다는 점이다. 많은 기업들이 법적 요건 충족을 위해 CISO를 임명하지만, 실제로는 경영진과의 직접 소통 채널 부재, 예산 및 인력 배정에 대한 실질적 권한 결여, 보안 정책 결정 과정에서의 배제 등의 문제가 반복적으로 발견되고 있다.

백남정 박사는 정보관리기술사, 정보시스템 수석감리원으로서의 다년간 경험을 바탕으로, CISO가 단순히 사고 발생 시 책임을 지는 직책이 아니라 사전에 위험을 식별하고 경영진에게 직접 보고하며 필요한 자원을 확보할 수 있는 실질적 권한을 가져야 한다고 강조한다. 특히 ISMS-P 인증을 보유한 기업들조차 인증 유지를 위한 문서화 작업에만 집중하고, 실제 보안 거버넌스 구축에는 소홀한 경우가 많다는 점을 지적한다.

현장 심사 경험에 따르면, 보안 사고의 상당수는 기술적 취약점보다는 조직 내 의사결정 구조의 문제, CISO의 권한 부족, 경영진의 보안에 대한 인식 부족에서 기인한다. 따라서 사고 발생 후 담당자를 처벌하는 것만으로는 동일한 유형의 사고가 반복될 수밖에 없다.

전문가 시각

ISMS-P 인증심사원이자 개인정보 역량평가 전문인력으로 활동하는 백남정 박사는 기업들이 CISO의 역할을 근본적으로 재정의해야 한다고 주장한다. CISO는 단순히 정보보호 부서장이 아니라, 이사회 또는 CEO에게 직접 보고하는 C-Level 임원으로서 위상을 가져야 하며, 보안 예산 편성 및 집행에 대한 실질적 결정권, 보안 정책 위반 시 업무 중단 권한, 신규 서비스 출시 전 보안 검토 거부권 등을 보유해야 한다.

특히 ISMS-P 인증을 준비하거나 유지하는 기업들은 인증 획득 자체를 목표로 삼기보다는, 인증 기준에서 요구하는 보안 거버넌스를 실질적으로 구축하는 것에 집중해야 한다. 형식적인 보안 조직도와 문서만으로는 실제 사고를 예방할 수 없으며, CISO가 경영진과 독립적으로 소통하고 필요한 의사결정을 신속하게 내릴 수 있는 환경 조성이 선행되어야 한다.

ISMS-P 심사원 체크포인트

1. 관리체계 수립 및 운영(1.1.1, 1.1.2) - 최고경영자의 역할과 CISO 권한
ISMS-P 인증기준 1.1.1(경영진의 참여)와 1.1.2(최고경영자의 지정)는 CISO의 독립성과 권한을 명시적으로 요구한다. 심사 시 ▲CISO의 조직 내 위치(CEO 직속 여부) ▲이사회 또는 경영회의 참석 권한 ▲보안 예산 편성 및 집행 권한의 실질성 ▲보안 정책 결정 시 최종 승인 권한을 구체적으로 확인한다. 개인정보보호법 제31조(개인정보 보호책임자의 지정)는 책임자의 업무와 권한을 명시하도록 규정하고 있으며, 단순히 직책만 부여하고 실질적 권한이 없는 경우 법적 요건을 충족하지 못한 것으로 판단될 수 있다.

2. 개인정보 유출사고 대응 및 재발방지(3.5.1, 3.5.2)
ISMS-P 인증기준 3.5.1(개인정보 유출 및 오·남용 방지), 3.5.2(개인정보 유출사고 등의 대응)는 사고 대응 체계뿐만 아니라 재발방지 대책의 실효성을 요구한다. 심사 시 ▲사고 발생 시 CISO의 의사결정 권한 범위 ▲경영진 보고 체계의 신속성 ▲재발방지를 위한 조직·인력·예산 변경 권한을 중점 점검한다. 개인정보보호법 제34조(개인정보 유출 통지 등)는 유출 사실 통지를 규정하나, 실무에서는 통지 이전에 CISO가 사고 심각성을 판단하고 필요한 조치를 즉시 취할 수 있는 권한 보유 여부가 더 중요하다.

3. 정보보호 조직 및 역할(1.2.1, 1.2.2)
ISMS-P 인증기준 1.2.1(조직 구성), 1.2.2(역할 및 책임 할당)에서는 보안 조직의 독립성과 전문성을 평가한다. 심사 시 ▲CISO의 타 업무 겸직 여부(개발, 운영 부서 겸직 시 이해충돌 발생) ▲보안 조직의 인력 규모 적정성 ▲CISO 임명 시 정보보호 전문성 검증 절차를 확인한다. 특히 대규모 개인정보 처리 기업의 경우 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)에 따라 임원급 CISO 지정이 의무화되어 있으며, 이를 형식적으로 준수하는지 실질적으로 이행하는지를 구분하여 평가한다.

CPPG·ISMS-P 연계 포인트

보안 거버넌스(Security Governance): CISO의 역할과 권한은 보안 거버넌스의 핵심 요소다. CPPG(Certified Privacy Protection General) 시험에서는 개인정보 보호책임자(CPO)의 법적 지위, 권한, 책임 범위를 출제하며, ISMS-P 인증에서는 이를 조직 구조, 보고 체계, 의사결정 프로세스로 구체화하여 평가한다. 실무에서는 CPO/CISO가 경영진과 독립적으로 소통하고, 보안·개인정보보호 관련 의사결정에서 거부권(Veto Power)을 행사할 수 있는지가 핵심 판단 기준이다.

책임성과 실효성의 균형(Accountability vs. Effectiveness): 처벌 중심 접근은 책임성(Accountability)을 강조하지만, 실효성(Effectiveness) 없는 책임 추궁은 조직 내 방어적 태도만 강화한다. ISMS-P 심사에서는 사고 발생 시 처벌 절차뿐만 아니라, 사고 예방을 위한 사전 통제(Preventive Control)와 CISO의 권한 강화 정도를 종합적으로 평가한다. CPPG 시험에서도 개인정보보호법의 처벌 조항과 함께, 사업자의 자율적 보호조치 강화 방안(법 제29조)을 연계하여 출제하는 경향이 있다.