일정 요건에 해당하는 정보통신서비스 제공자는 정보보호 최고책임자(CISO)를 지정해야 합니다.
사이버 공격과 정보 유출 위협이 증가하면서 기업의 정보보호를 전담하고 관리하는 CISO의 역할도 더욱 중요해지고 있습니다. CISO는 기업의 정보보호 정책을 수립하고 보안 위험을 관리하는 등 기업의 정보보호 체계를 총괄하는 책임자입니다. 이에 따라 일정 요건에 해당하는 정보통신서비스 제공자는 정보통신시스템 등의 보안과 정보의 안전한 관리를 위해 정보보호 최고책임자(CISO)를 지정하고 과학기술정보통신부장관에게 신고해야 합니다.
특히 정보보호 최고책임자(CISO) 지정·신고 제도는 단순한 행정 절차를 넘어, 기업의 정보보호에 대한 책임과 권한을 명확히 하고 체계적인 보안 관리 체계를 마련하기 위한 중요한 제도입니다. 따라서 기업에서는 CISO 지정 대상과 신고 요건, 절차를 정확히 확인하고 관련 의무를 놓치지 않도록 관리하는 것이 중요합니다. 그렇다면 어떤 기업이 CISO를 지정·신고해야 하며, CISO는 어떤 업무와 자격 요건을 갖춰야 할까요? 오늘의 포스팅에서는 정보보호 최고책임자(CISO) 지정·신고 제도부터 주요 업무, 신고 대상 및 제외 대상, 자격 요건, 겸직 제한, 신고 방법까지 기업에서 꼭 알아두어야 할 내용을 하나씩 살펴보겠습니다.
정보보호 최고책임자(CISO)의 주요 업무는 무엇인가요?
정보보호 최고책임자(CISO)는 Chief Information Security Officer의 약자로, 기업의 정보통신시스템 등에 대한 보안과 정보의 안전한 관리 등 정보보호 업무를 총괄하는 최고책임자를 의미합니다. 정보보호 최고책임자(CISO)는 정보보호 관련 업무에 대한 최종 결정권과 책임을 가지며, 정보보호 업무 관련 예산·인사에 대한 직접적인 권한을 가집니다. 대표적인 주요 업무는 아래와 같습니다.
1.정보보호 계획의 수립·시행 및 개선
정보통신망의 안정성과 신뢰성을 확보하기 위해 관리적·기술적·물리적 보호조치를 포함한 종합적인 정보보호 계획을 수립하고 시행·개선합니다.
2. 정보보호 실태와 관행의 정기적인 감사 및 개선
기업의 정보보호 실태와 관행을 조사하거나 관련 대상자로부터 보고를 받고, 정기적인 감사를 통해 개선이 필요한 사항을 확인하고 관리합니다.
3. 정보보호 위험의 식별·평가 및 정보보호 대책 마련
하드웨어·소프트웨어의 결함이나 시스템 설계상의 취약점 등을 통해 발생할 수 있는 정보보호 위험을 식별·평가하고 적절한 보안 대책을 마련합니다.
4. 정보보호 교육과 모의훈련 계획의 수립·시행
정보보호를 위해 최소 연 1회 이상 필요한 교육과 침해사고 모의훈련 계획을 수립하고 시행합니다.
정보보호 최고책임자(CISO) 지정·신고 대상은 어떻게 되나요?
정보보호 최고책임자(CISO) 지정·신고 대상 여부는 먼저 신고 의무 제외대상자에 해당하는지 확인하면 쉽게 판단할 수 있습니다. 원칙적으로 신고 의무 제외대상자를 제외한 정보통신서비스 제공자 중 정보보호 필요성이 큰 ‘중기업’ 이상은 정보보호 최고책임자(CISO)를 지정하고 과학기술정보통신부장관에게 신고해야 합니다. 신고 의무가 발생한 날부터 180일 이내에 신고해야 하며, 전임자의 퇴사나 인사이동 등으로 정보보호 최고책임자(CISO)가 변경된 경우에도 신고 기한을 확인해야 합니다.
1. 신고 의무 제외 대상자
다음에 해당하는 정보통신서비스 제공자는 정보보호 최고책임자(CISO) 신고 의무가 제외됩니다.
자본금 1억 원 이하인 정보통신서비스 제공자
「중소기업기본법」 제2조제2항에 따른 소기업
중기업 중 아래 어느 하나에도 해당하지 않는 정보통신서비스 제공자
전기통신사업자
정보보호 관리체계(ISMS) 인증의무대상자
개인정보처리자
통신판매업자
다만 신고하지 않더라도 사업주나 대표자를 정보보호 최고책임자(CISO)로 지정한 것으로 간주합니다.
2. 정보통신서비스 제공자
위의 신고 의무 제외대상자에 해당하지 않는 정보통신서비스 제공자는 정보보호 최고책임자(CISO) 지정·신고 대상이 될 수 있습니다. 정보통신서비스 제공자는 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 의미합니다. 따라서 모든 전기통신사업자는 정보통신서비스 제공자에 해당하며, 그 밖의 기업은 영리 목적, 전기통신역무 이용 여부, 정보 제공 또는 정보 제공 매개 여부 등을 기준으로 판단합니다.
정보보호 최고책임자(CISO)는 어떤 자격을 갖춰야 할까요?
1. 일반 자격요건(정보통신망법 시행령 제36조의7제4항)
지정·신고 의무 대상의 정보보호 최고책임자(CISO)는 일반 자격 요건을 갖추어야 하며, 임직원급으로서 다음 중 어느 하나의 자격요건을 갖추어야 합니다.
정보보호 또는 정보기술 분야 석사 학위 이상
정보보호 또는 정보기술 분야 학사 학위 + 3년 이상 경력
정보보호 또는 정보기술 분야 전문학사 학위 + 5년 이상 경력
정보보호 또는 정보기술 분야 업무경력 10년 이상
정보보호 관리체계 인증심사원 자격
정보보호 관련 업무 담당 부서의 장으로 1년 이상 근무
2. 특별 자격요건(정보통신망법 시행령 제36조의7제6항)
겸직금지 대상에 해당하는 정보보호 최고책임자는 위 일반 자격요건을 충족하고 상근하는 자로서, 다음 중 어느 하나의 특별 자격요건을 추가로 갖추어야 합니다.
정보보호 분야 업무경력 4년 이상
정보보호 분야 업무경력과 정보기술 업무경력을 합산한 기간이 5년 이상 (2년 이상은 정보보호 분야 업무 경력 필요)
정보보호 최고책임자(CISO)가 다른 업무를 겸직할 수 있을까요?
정보보호 최고책임자(CISO)는 기업의 정보보호 업무를 총괄하는 책임자인 만큼, 일정 요건에 해당하는 정보통신서비스 제공자는 정보보호 최고책임자(CISO)의 겸직이 제한됩니다.
1. 겸직 금지 대상
직전 사업연도 말 기준 자산총액이 5조 원 이상인 정보통신서비스 제공자
정보보호 관리체계(ISMS) 인증 의무 대상자 중 직전 사업연도 말 기준 자산총액이 5천억 원 이상인 정보통신서비스 제공자
※ 자산총액은 개별 법인별로 산정합니다.
2. 정보보호 최고책임자(CISO)의 지위 기준
겸직금지 대상 기업은 정보보호 최고책임자(CISO)를 지정할 때 직위와 지위도 함께 확인해야 합니다.
① 정보보호 최고책임자(CISO)의 직위
겸직금지에 해당하는 대상기업은 「정보통신망법 시행령」 제36조의7제1항에 따라 이사(「상법」 제401조의2제1항제3호에 따른 자 또는 같은 법 제408조의2에 따른 집행임원을 포함)로 정보보호 최고책임자(CISO)를 지정해야 합니다.
② 정보보호 최고책임자(CISO)의 지위
정보보호 최고책임자의 지위는 형식적인 직위가 아니라, 정보통신망법 제45조의3제4항 각 호의 정보보호 업무를 실질적으로 책임지는 자를 의미합니다. 대내외적으로 인정될 만한 이사급 호칭을 사용하고, ‘실질적 의사 결정’ 여부를 종합적으로 확인합니다.
정보보호 최고책임자(CISO) 신고는 어떻게 하나요?
정보보호 최고책임자(CISO) 지정·신고는 회사 대표자 또는 정보보호 최고책임자가 온라인 또는 오프라인으로 진행할 수 있습니다.
1. 온라인 신고
과학기술정보통신부 전자민원센터에서 ‘회원가입 또는 비회원 로그인 → 전자민원신청 → 민원신청 → 신청인 정보 입력’을 통해 온라인으로 신고할 수 있습니다.
2. 오프라인 신고
지역별 관할 전파관리소를 통해 방문·우편 또는 팩스로 접수할 수 있습니다.
3. 제출서류
정보보호 최고책임자(CISO) 신고 시 다음 서류를 제출합니다.
정보보호 최고책임자 지정신고서
법인등기사항증명서 또는 사업자등록증 사본
신고서에는 신고인 정보와 함께 정보보호 최고책임자(CISO)의 성명, 연락처, 직책·직급, 겸직 여부, 정보보호·정보기술 분야 관련 업무경력 등을 작성합니다.
정보보호 최고책임자(CISO) 지정·신고 의무를 이행하지 않거나 법에서 정한 기준에 해당하는 임직원을 정보보호 최고책임자(CISO)로 지정하지 않은 경우 기준에 따라 최대 3,000만 원의 과태료가 부과될 수 있습니다.
정보보호 최고책임자(CISO) 지정·신고와 함께 올인원 PC보안 서비스 엑소스피어로 안전한 정보보호 체계를 마련해 보세요!
정보보호 최고책임자(CISO) 지정·신고는 기업의 정보보호 책임 체계를 마련하기 위한 시작점입니다. 정보보호 계획을 수립하고 보안 위험을 식별·평가하는 것뿐만 아니라, 실제 업무 환경에서 보안 정책이 제대로 적용되고 있는지 지속적으로 점검하는 것도 중요합니다. 특히 임직원이 사용하는 PC는 악성코드 감염, 정보 유출, 비인가 프로그램 사용 등 다양한 보안 위협이 발생하는 대표적인 엔드포인트입니다. 따라서 정보보호 최고책임자(CISO)와 보안 담당자는 전사 PC의 보안 상태를 점검하고, 정보보호 정책을 실제 업무 환경에 적용·관리할 수 있는 체계를 함께 마련할 필요가 있습니다.
엑소스피어는 백신과 정보유출예방(DLP) 기능을 포함한 SaaS 기반의 올인원 PC보안 서비스로, 전사 PC의 보안 상태를 점검하고 다양한 보안 정책을 하나의 환경에서 관리할 수 있도록 지원합니다.
1. 엔드포인트 중심의 통합 보안 기능 제공
정보보호 최고책임자(CISO)가 수립한 정보보호 정책이 실제 임직원의 PC 환경에서 적용되기 위해서는 다양한 보안 위협을 하나의 환경에서 관리할 수 있어야 합니다. 엑소스피어는 실시간 및 예약 백신 검사, 랜섬웨어 방어, 악성 URL 차단, PC 보안 점검(OS 패치, 방화벽 설정, 비밀번호 관리 등), IT 자산 정보 수집, USB 통제, 파일 반출 관리, 개인정보 검출 및 암호화, 출력물 보안 등 다양한 기능을 제공합니다. 이를 통해 외부 위협에 대한 대응뿐만 아니라 내부 정보 유출 방지까지 전사 PC를 중심으로 통합 관리할 수 있습니다.
2. 법적 요구사항을 반영한 보안 통제와 운영 관리
정보보호 계획을 수립하는 것만큼 중요한 것은 정책이 실제 업무 환경에서 제대로 이행되고 있는지 지속적으로 확인하는 것입니다. 엑소스피어는 접근통제, 접속기록 관리, 악성코드 대응, 취약점 점검 등 법률에서 요구하는 기술적 보호조치를 실제 운영 환경에서 이행할 수 있도록 지원합니다. 또한 정책 기반 보안 통제를 PC 단위에서 적용하고 관리할 수 있으며, 관리자 페이지를 통해 보안 점검 결과, 사용자 행위, IT 자산 정보를 통합적으로 확인할 수 있습니다. 이를 통해 정보보호 최고책임자(CISO)와 보안 담당자는 정보보호 규정에 따른 보안 활동을 실제 업무 환경에서 실행하고 지속적으로 점검할 수 있습니다.
3. IT 자산 식별부터 취약점 조치까지 이어지는 운영 체계 지원
정보보호 최고책임자(CISO)가 정보보호 위험을 식별하고 평가하기 위해서는 먼저 기업에서 어떤 IT 자산이 사용되고 있는지 파악하고, 각 자산의 보안 상태를 지속적으로 확인하는 과정이 필요합니다. 엑소스피어는 IT 자산 및 인터넷 접점 자산을 자동으로 식별하고 최신 상태로 관리할 수 있으며, 취약점 점검 결과를 기반으로 조치까지 이어지는 운영 체계를 제공합니다. 또한 엑소스피어 유료 고객을 대상으로 ‘KISA ‘보안 취약점 클리닝 서비스’를 무상으로 제공하여 취약점 관리의 실행력을 더욱 강화할 수 있습니다. 엑소스피어에서 제공하는 보안 취약점 클리닝 서비스는 PC 내 구버전·취약 소프트웨어를 자동으로 탐지하고, 최신 보안 패치 버전으로 업데이트하거나 삭제할 수 있도록 지원합니다. 주요 기능으로는 프로그램 버전 및 설치 경로를 자동으로 확인하는 자동 탐지 엔진, ‘안전/취약/조치대상’으로 구분해 관리하는 정책 기반 조치, 관리자 개입 없이 수행되는 원격 패치 및 삭제, 그리고 일일 점검 및 조치 현황을 확인할 수 있는 리포트 제공 기능이 있습니다. 해당 기능은 별도의 추가 설치 없이 기존 에이전트에서 활성화할 수 있으며, 추가 비용 없이 이용 가능합니다. 이를 통해 취약점 점검 이후 조치까지 이어지는 지속적인 보안 관리 환경을 구축할 수 있습니다.
4. 데이터 보호 및 사후 추적 체계 지원
정보보호 최고책임자(CISO)의 주요 업무 중 하나는 정보보호 위험을 식별하고 적절한 정보보호 대책을 마련하는 것입니다. 특히 기업 내부에서 발생할 수 있는 정보 유출을 예방하기 위해서는 중요 데이터가 어떻게 반출되고 있는지 관리하고, 필요한 경우 사후에 그 이력을 확인할 수 있는 체계가 필요합니다. 엑소스피어는 ‘반출파일 백업’ 부가서비스를 통해 파일 반출 시 원본 데이터를 자동으로 백업하고, 반출 및 다운로드 이력을 체계적으로 관리할 수 있습니다. 이를 통해 데이터 통제와 사후 추적성을 확보하고, 정보 유출 사고에 대비할 수 있습니다.
5. 지속 가능한 보안 운영과 보안 인증 대응 지원
정보보호 최고책임자(CISO)의 역할은 정보보호 계획을 수립하는 데서 끝나지 않습니다. 계획에 따라 보안 활동이 실제로 수행되고 있는지 확인하고, 발견된 위험을 지속적으로 개선하는 과정이 필요합니다. 엑소스피어는 표준화된 보안 정책과 통합 로그 관리 기능을 통해 ISMS 인증, ISO27001과 같은 보안 인증 대응 항목을 지원합니다. 계정 관리, 권한 관리, 사용자 인증 등 주요 통제 항목을 체계적으로 운영할 수 있으며, 관리자 페이지를 통해 필요한 보안 활동과 현황을 확인하고 감사 대응에 필요한 자료를 신속하게 확보할 수 있습니다.
정보보호 최고책임자(CISO) 지정·신고 이후에는 정보보호 계획이 실제 업무 환경에서 제대로 이행되고 있는지 지속적으로 확인하는 것이 중요합니다. 엑소스피어는 전사 PC의 보안 상태 점검부터 외부 위협 대응, 정보 유출 방지, IT 자산 및 취약점 관리까지 다양한 보안 기능을 하나의 서비스로 제공하여 정보보호 최고책임자(CISO)와 보안 담당자의 보안 운영을 지원합니다. 우리 회사의 PC 보안 관리 환경을 직접 점검하고 싶다면 엑소스피어를 경험해보세요!
지금 ‘무료체험 시작하기’를 통해 회원가입하시면, 2주 동안 엑소스피어의 주요 기능을 무료로 체험해보실 수 있습니다. 무료체험 기간 동안 기능이나 서비스 도입과 관련해 궁금한 점이 있으시면 언제든지 문의해 주세요. 전문 담당자가 빠르게 안내해 드리겠습니다. 감사합니다!
▶ 함께 읽으면 좋은 포스팅
CISO의 역할부터 정보보호 규정 수립, 보안문화 정착 방법까지 더 자세히 알아보고 싶다면 아래 포스팅을 함께 확인해 보세요.
CISO 필수 가이드! 정보보호 규정 수립 방법과 보안문화 정착 전략
[참고 자료]
과학기술정보통신부, KISA 한국인터넷진흥원 - 정보보호 최고책임자 겸직 금지 대상기업 가이드라인(2024.02)
과학기술정보통신부, KISA 한국인터넷진흥원 - 정보보호 최고책임자 지정·신고제도 안내서(2024.09)