현대·롯데 CISO가 말하는 ‘현실 보안’... “통제는 맥락이고, 공시는 설득이다” 작성일 02-10 46 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8S3BW5b0sD"> <p contents-hash="bbfe8e01370c7df31420930e8fe5be7e11eec26605366855e2dc610bf3f93e51" dmcf-pid="6v0bY1KpsE" dmcf-ptype="general"><strong>제150차 CISO포럼, 기술적 방어자 넘어 ‘비즈니스 파트너’로서의 CISO 역할론 재정립<br>반형철 현대면세점 CISO “예산 한계 극복하려면 ‘맥락’ 읽는 동적 통제 필수” <br>김재귀 호텔롯데 CISO “정보보호 공시, 규제 아닌 ‘투자 확보’ 위한 설득 도구”</strong></p> <p contents-hash="f1c7fa8e505fb3ffb860c7159cb566f90f4d4a98bfe7de036c0b3d771a09f9e5" dmcf-pid="PTpKGt9Urk" dmcf-ptype="general">[보안뉴스 조재호 기자] 정보보호최고책임자(CISO)의 역할이 단순한 ‘기술적 방어자’를 넘어 ‘경영의 번역가’이자 ‘현장의 지휘관’으로 진화하고 있다. 화려한 인프라 자랑이 아닌, 척박한 현실 속에서 임직원을 보안의 주체로 변화시키고 경영진을 설득해낸 ‘현장의 해법’이 공개됐다.</p> <p contents-hash="741baab8e67dc772b0cca7946abc0c086d88548fc3978ec449852b151279a719" dmcf-pid="QyU9HF2uIc" dmcf-ptype="general">한국CISO협의회가 개최한 ‘제150차 CISO포럼’에서는 반형철 현대면세점 CISO의 ‘화려하지 않은 곳에서 가장 단단하게 - 비즈니스의 흐름을 읽고 가치를 더하는 CISO 실전노트’와 김재귀 호텔롯데 CISO의 ‘정보보호공시, 보안을 경영의 언어로 풀어가는 여정’을 주제로 2026년 기업 보안의 실질적인 고민과 생존 전략을 공유했다.</p> <figure class="figure_frm origin_fig" contents-hash="267b7baf594a2c3845212d9de0f364167e851ae45800a50af8aeac7cd1445155" dmcf-pid="xWu2X3V7OA" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/10/552815-KkymUii/20260210140654863hrnt.jpg" data-org-width="750" dmcf-mid="f1gDxiwaDr" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/10/552815-KkymUii/20260210140654863hrnt.jpg" width="658"></p> </figure> <div contents-hash="7a3cec171ff50f92e5cd5a1fd11b94582ce09fee3861c1287c032fc86de8132c" dmcf-pid="yMcOJaIkDj" dmcf-ptype="general"> <div> <p>▲이기주 CISO협의회장이 인사말을 하고 있다. [출처: 보안뉴스]</p> </div> <br><strong>100% 차단은 환상... ‘맥락(Context)’을 읽는 동적 통제</strong> <br>첫 번째 연사로 나선 반형철 현대면세점 CISO는 “우리는 예산과 인력이 무한하지 않은 ‘평범한 조직’”이라며 제한된 리소스 내에서의 고효율 보안 전략을 제시했다. </div> <p contents-hash="faf4f00d742996a82b0f2f7a8b703d0d94f664029d27233487ec39fc159296d9" dmcf-pid="WRkIiNCEEN" dmcf-ptype="general">그가 제안한 해법은 ‘핵심 속성 조합 동적 통제’다. 모든 것을 무조건 차단하는 제로트러스트는 현실적으로 불가능하므로, 사용자·기기 등의 정적 속성과 접속 상황(Context)이라는 동적 속성을 결합해 위험도에 따라 데이터 노출을 제어하는 방식이다.</p> <p contents-hash="393cdae22170c5e1d26d160abb84676515803e11db17bb5e4892b16dada4d8a7" dmcf-pid="YeECnjhDOa" dmcf-ptype="general">반 CISO는 “권한이 있는 사용자라도 안전하지 않은 상황이라면 데이터를 보여주지 않는 것이 현실적인 제로트러스트”라고 설명했다. 기술적 통제의 한계를 보완하는 것은 결국 ‘사람’과 ‘문화’였다. 반 CISO는 임직원을 잠재적 내부 위협자가 아닌, 보안 사고를 가장 먼저 감지하는 ‘휴먼 센서’(Human Sensor)로 정의했다.</p> <p contents-hash="1471829f6b8aabccfd231ee2cad49b368edb0a8945095954f84c1ee53418ec97" dmcf-pid="GLsTNDyOmg" dmcf-ptype="general">그는 “모의해킹 훈련에서 악성 메일을 신고한 직원에게 치킨 쿠폰이나 기프트 카드를 제공하며 ‘성취감’을 줬다”며 “이러한 긍정적 경험이 쌓이자 실제 악성 메일 유포 시에도 직원들이 자발적으로 신고해 사고를 예방하는 성과로 이어졌다”고 밝혔다.</p> <figure class="figure_frm origin_fig" contents-hash="f9b02b26568ddeb75ce07b0caa3af5303f437c16c46ade7289e97f364b65f692" dmcf-pid="HoOyjwWIro" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/10/552815-KkymUii/20260210140656143cmoo.jpg" data-org-width="750" dmcf-mid="4kdNfxjJsw" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/10/552815-KkymUii/20260210140656143cmoo.jpg" width="658"></p> </figure> <div contents-hash="09e18a84adea0b978cf080e9c4fba6ef5f2846a172a2612599726db1f0e9e332" dmcf-pid="XgIWArYCrL" dmcf-ptype="general"> <div> <p>▲(왼쪽부터) 현대면세점 반형철 CISO, 호텔롯데 김재귀 CISO가 주제 발표를 하고 있다. [출처: 보안뉴스]</p> </div> <br><strong>정보보호 공시, ‘규제’가 아닌 ‘경영의 언어’로 치환해야</strong> <br>이어 발표한 김재귀 호텔롯데 CISO는 정보보호 공시제도를 ‘경영진과의 소통 창구’로 재정의했다. 그는 공시 준비 과정에서 겪는 가장 큰 어려움으로 ‘모호한 투자 경계’를 꼽았다. </div> <p contents-hash="763a663b5f815a02ecfa1d14036469e6a1c86a714c2fcfdbb3f90e0cc511a735" dmcf-pid="ZaCYcmGhrn" dmcf-ptype="general">김 CISO는 “IT 예산과 보안 예산의 경계가 불분명해 자료 준비부터 난항을 겪는 것이 현실”이라면서도 “공시는 기업의 보안 수준을 수치화해 경영진에게 객관적 데이터를 제시하고, 미래 투자를 이끌어낼 수 있는 가장 강력한 무기”라고 강조했다.</p> <p contents-hash="d7ba3c616b7e0cb242a817905ef90eee71cc3980e421807bccdfe2da8594f16a" dmcf-pid="5NhGksHlmi" dmcf-ptype="general">다만 제도의 경직성에 대해서는 우려를 표했다. 김 CISO는 “제도 초기와 달리 최근의 검증 과정은 회계 감사처럼 수치의 정합성만 따지는 ‘면도날 검증’으로 변질된 측면이 있다”며 “도입이 논의 중인 ‘공시 등급제’가 자칫 기업 줄 세우기로 변질되어 현장의 피로도를 높이지 않도록 신중한 접근이 필요하다”고 제언했다.</p> <p contents-hash="bb9fcff4dd64a9504aed75affa399c2d92cd128fd8efac239903c1d281ca5b4f" dmcf-pid="1jlHEOXSEJ" dmcf-ptype="general">이번 150차 CISO포럼은 CISO들이 겪는 예산의 한계와 규제 준수의 압박, 그리고 이를 극복해 나가는 구체적인 노하우가 공유되며 참석자들의 호응을 얻었다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 국가인공지능전략위, ‘대한민국 인공지능행동계획’ 국무회의에 보고 02-10 다음 쿠팡 정보유출 규모 3367만건 확인 02-10 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
