한미전략투자공사, 정보보호 전담인력 공채…ISMS-P 인증 체계 강화 신호

핵심 요약

- 한미전략투자공사, 정보보호 분야 전문인력 1명 공개채용 진행 - IT 분야 1명과 별도로 정보보호 전담인력 채용, 조직 내 보안 독립성 확보 의지 - 금융투자업계의 ISMS-P 인증 대비 정보보호 조직 강화 추세 반영

주요 내용

한미전략투자공사가 2026년 정보보호 분야 전문인력 채용을 공고하며 보안 조직 강화에 나섰다. 이번 채용은 비투자군 부문에서 진행되며, IT 분야와 정보보호 분야를 각각 1명씩 별도 채용한다는 점에서 정보보호 조직의 독립성을 확보하려는 의도가 명확하다.

특히 주목할 점은 팀장급 연봉이 1억 4,600만원 수준으로 책정되어 있다는 것이다. 이는 금융투자업계가 정보보호 전문인력 확보를 위해 경쟁력 있는 보상체계를 마련하고 있음을 보여준다. 준법감시팀장과 함께 정보보호 분야 인력을 별도 채용하는 구조는 컴플라이언스와 정보보호의 투트랙 전략을 의미한다.

2026년 현재 금융투자업계는 개인정보보호법 개정과 ISMS-P 인증 의무화 대상 확대에 따라 정보보호 조직 재편을 가속화하고 있다. 특히 전년도 대비 개인정보 침해사고가 증가하면서 사전 예방적 보안 체계 구축이 업계 전반의 과제로 부상했다.

한미전략투자공사의 이번 채용은 단순 인력 충원을 넘어 ISMS-P 인증 준비 또는 갱신 과정의 일환으로 해석된다. 정보보호 전담조직 구성은 ISMS-P 인증기준의 핵심 요구사항이며, 전문인력 배치 여부가 심사 시 중요한 평가 포인트가 되기 때문이다.

전문가 시각

정보보호 전담인력의 별도 채용은 ISMS-P 인증기준 2.1.1(정보보호 최고책임자 지정) 및 2.1.2(정보보호 조직 구성·운영)의 핵심 요구사항을 충족하기 위한 전략적 조치다. 실무 심사 경험상, IT 부서 내 겸직 형태가 아닌 독립된 정보보호 전담인력 배치는 심사 시 조직의 정보보호 의지를 평가하는 중요한 지표가 된다. 특히 금융투자업의 경우 자본시장법상 정보교류 차단 의무와 개인정보보호법상 안전조치 의무가 동시에 적용되므로, 전문성을 갖춘 독립조직 운영이 필수적이다.

다만 인력 채용만으로는 ISMS-P 인증 요구사항을 완전히 충족할 수 없다. 채용된 정보보호 담당자에게 실질적 권한과 책임을 부여하고, 경영진 보고 체계를 명확히 수립해야 한다. 또한 정보보호 예산 편성 권한, 보안정책 승인 절차, 임직원 교육 주관 권한 등 실질적 역할을 명문화하지 않으면, 형식적 조직 구성으로 평가되어 심사 시 지적사항으로 도출될 가능성이 높다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.1.2 정보보호 조직 구성·운영
- 정보보호 전담조직의 독립성 확보 여부 확인: IT 부서와 별도 보고라인 구성, 겸직 금지
- 정보보호 담당자의 직무기술서 검토: 역할·책임·권한의 명확성, 경영진 직접 보고 체계
- 관련 법령: 개인정보보호법 제31조(개인정보 보호책임자의 지정), 시행령 제32조(전문인력 배치 기준)

2. 인증기준 2.1.4 정보보호 교육
- 신규 채용 정보보호 담당자의 역량 검증: 관련 자격증(CPPG, CISSP 등) 보유 여부
- 연간 정보보호 교육계획 수립 시 전담인력의 역할 명시 여부
- 관련 법령: 개인정보보호법 제28조(개인정보취급자에 대한 교육), 금융위원회 IT검사 매뉴얼

3. 인증기준 2.2.1 정보보호 정책 수립·이행
- 정보보호 전담인력이 정책 수립·검토·승인 프로세스에 참여하는 체계 구축 여부
- 정보보호위원회 등 의사결정 기구 내 전담인력의 위상과 발언권 확보 여부
- 관련 법령: 자본시장법 제42조의2(정보교류 차단 장치), 개인정보보호법 제29조(안전조치의무)

CPPG·ISMS-P 연계 포인트

개인정보 보호책임자(CPO) vs 정보보호 최고책임자(CISO)
개인정보보호법상 개인정보 보호책임자는 임원급 이상으로 지정해야 하며(법 제31조), ISMS-P 인증기준의 정보보호 최고책임자와 역할이 중첩될 수 있다. 금융투자업의 경우 두 역할을 동일인이 겸직하거나, 명확한 업무 분장을 통해 별도 운영할 수 있다. 시험 출제 시 CPO와 CISO의 법적 지정 요건, 업무 범위, 보고 체계 차이를 묻는 문제가 빈출된다.

정보보호 전담조직의 독립성 요건
ISMS-P 인증기준 2.1.2는 정보보호 조직이 다른 부서로부터 독립적으로 운영되어야 함을 요구한다. '독립성'의 판단 기준은 ①별도 보고라인 ②예산 편성 권한 ③인사 평가의 독립성 ③정책 승인 권한 등이다. IT 부서 산하 보안팀 형태는 독립성 요건 미충족으로 판단될 수 있으며, 특히 금융투자업처럼 이해상충 가능성이 높은 업종에서는 더욱 엄격히 적용된다. CPPG 시험에서는 조직 구성 사례를 제시하고 독립성 충족 여부를 판단하는 유형이 자주 출제된다.