보안팀장이 개인정보 업무까지 맡고 있으면 CPO와 CISO를 같은 역할로 이해하기 쉽습니다. 둘 다 보호와 관리라는 말을 쓰고, 사고가 나면 함께 움직이기도 하니까요.
하지만 출발점은 다릅니다. CPO는 개인정보가 왜 수집되고 어떻게 이용·보관·파기되는지, 정보주체의 권리가 지켜지는지를 봅니다. CISO는 조직의 시스템과 정보자산에 어떤 위험이 있는지 찾고, 보안 통제가 실제로 작동하도록 책임집니다.
CPO와 CISO, 뭐가 다른걸까?
한줄요약하자하면, CPO는 개인정보 처리의 책임자이고 CISO는 정보보호 체계의 책임자입니다
CPO의 중심에는 개인정보가 있습니다. 신청폼에서 어떤 항목을 받는지, 수집 목적은 분명한지, 외부 업체에 맡기는 업무는 어떻게 관리하는지, 보유 기간이 지나면 어떻게 파기하는지를 살핍니다. 개인정보를 처리하는 과정과 정보주체의 권리가 기준입니다.
CISO의 중심에는 조직 전체의 정보보호 위험이 있습니다. 서비스와 서버, 계정과 네트워크, 클라우드와 외부 솔루션까지 어디가 공격받을 수 있는지 확인하고, 접근권한·취약점·로그·사고 대응 체계를 개선합니다. 개인정보는 CISO가 보는 중요한 보호 대상 중 하나지만, CISO의 범위가 개인정보에만 머물지는 않습니다.
1. CISO의 역할 정의
CISO는 보안 계획을 만들고, 위험을 찾아 개선하게 하는 역할입니다.
정보통신망법 제45조의3 제4항은 CISO 업무로 정보보호 계획의 수립·시행·개선, 정보보호 실태와 관행의 정기 감사·개선, 정보보호 위험의 식별·평가와 대책 마련, 교육·모의훈련의 수립·시행으로 정하고 있습니다.
실무에서는 이 업무가 자산 목록을 최신으로 유지하는 일, 중요한 계정 권한을 검토하는 일, 취약점 조치의 우선순위를 정하는 일, 로그와 사고 대응 절차를 시험하는 일로 이어집니다. 문제가 발견됐을 때 담당자와 기한, 조치 근거가 남아 있어야 다음 점검에서도 같은 문제가 반복되는지 확인할 수 있습니다.
2. CPO와 CISO의 관점 차이
개인정보를 다루는 서비스에서 접근권한, 로그, 암호화, 외부 솔루션 점검은 CPO와 CISO 모두에게 중요한 자료입니다. 다만 같은 자료를 보더라도 CPO는 개인정보 처리와 정보주체 영향의 관점에서, CISO는 기술적 위험과 보호조치의 관점에서 확인합니다.
예를 들어 신청자 명단이 공개됐을 가능성이 있다면 CISO는 노출 경로, 접근기록, 차단과 복구 조치를 확인합니다. CPO는 어떤 개인정보가 관련됐는지, 정보주체에게 어떤 영향이 있는지, 내부 절차에서 추가로 확인할 일이 무엇인지 봅니다. 한쪽이 다른 쪽의 업무를 대신한다기보다, 서로 다른 관점에서 바라보고, 현황을 맞춰야 하는 상황입니다.
3. CISO가 평소에 확인해야할 6가지
사고가 생긴 뒤에 자료를 모으기 시작하면 누락되기 쉽습니다. 아래 항목은 CISO가 정기 점검 때 확인할 수 있는 운영 기록이니, 조직 규모와 서비스 구조에 맞춰 항목과 주기를 조정해 보세요.
<평소에 확인해야할 6가지 리스트>
- 보호해야 할 시스템과 정보 자산 목록이 최신인가요?
- 중요한 계정과 접근권한을 정기적으로 검토했나요?
- 취약점과 보안 개선 과제의 우선순위를 정해두었나요?
- 로그/관제/사고 대응 절차를 실제로 시험해봤나요?
- 외부 솔루션과 수탁 환경의 보안 요구사항을 확인했나요?
- 임직원 교육과 모의 훈련의 결과를 제대로 남기고 있나요?
결론
중요한 것은 직함보다 역할과 기록을 나누는 것입니다!
CPO와 CISO를 한 사람이 함께 맡는 조직도 있습니다. 그럴 때도 업무를 한 줄로 묶기보다 개인정보 처리 쪽 판단과 정보보호 쪽 판단을 구분해 두는 편이 좋습니다. 그래야 사고나 점검이 생겼을 때 누가 어떤 근거를 확인하고 다음 조치를 정할지 빠르게 이어갈 수 있습니다.
캐치시큐는 신청·설문·동의처럼 개인정보를 수집하는 업무에서 수집 화면과 담당자, 처리 기록을 함께 확인할 때 활용할 수 있습니다. 캐치시큐와 함께 개인정보보호 관리를 효과적으로 해보세요.
CPO 업무도 함께 확인해 보세요
법령 원문 확인 경로
이 글은 일반적인 역할 구분을 위한 실무 자료입니다. 실제 지정·겸직·신고와 개별 사고 대응은 최신 법령과 조직 상황을 기준으로 확인해야 합니다.
