CISO·CIO·CDO: 보안, 사내 IT, 디지털 전환

개념

세 역할을 한 줄로

세 역할은 작은 회사에서는 한 사람이 겸하고, 큰 회사에서는 서로 견제하도록 분리하기도 한다.

CISO — 정보보호최고책임자

2021년 개정된 정보통신망법은 CISO의 업무를 이렇게 정리한다.

CISO가 보는 숫자: 취약점 조치 기간, 보안 사고 건수, 모의훈련 결과, 인증(ISMS·ISMS-P) 유지 여부.

한국에서 CISO는 '선택'이 아니다

세부 기준은 시행령 개정으로 바뀔 수 있다. 정확한 적용 여부는 원문과 법무 확인이 원칙이다. QA가 외울 것은 숫자보다 "CISO는 법이 요구하는 책임자이고, 보안 이슈의 공식 창구다" 라는 사실이다.

CISO와 개인정보 보호책임자(CPO)는 다르다

2024년 3월 15일 시행된 개인정보 보호법 시행령 개정으로, 일정 기준 이상 기업의 CPO에게는 개인정보 보호 경력 2년 이상을 포함해 개인정보 보호·정보보호·정보기술 경력 합산 4년 이상의 자격요건이 생겼다. 기존 지정자에 대한 유예기간은 2026년 3월 14일까지였다.

작은 회사는 CISO와 CPO를 한 사람이 겸하는 경우가 많다. 누가 맡고 있는지 이름을 알아두는 것이 QA의 첫 준비다.

QA가 CISO와 만나는 세 지점

1. 보안 결함 보고 — 일반 결함과 경로가 다르다

QA가 실무에서 자주 찾는 보안 결함.

[보안 결함 보고 — 제한 채널]
제목        회원가입 오류 시 전화번호가 애플리케이션 로그에 평문 기록
발견 환경   스테이징 (운영 반영 여부: 미반영 확인 / 확인 중)
영향 데이터 전화번호 (개인정보)
노출 범위   로그 조회 권한자 N명, 로그 보존 기간 30일
재현 조건   전각 숫자 전화번호 입력 → 500 오류 발생 시
임시 조치   스테이징 로그 해당 구간 삭제 요청
요청 사항   CISO·개인정보 보호책임자 영향 판단, 운영 로그 점검

2. 테스트 데이터 — 가장 흔한 사고 경로

ISMS-P 인증기준에는 QA 업무와 직접 닿는 항목이 있다. 합성 데이터·마스킹 같은 기법 자체는 모듈 7 레슨 2에서 다뤘으니, 여기서는 보안 책임자가 무엇을 통제하려 하는지 를 본다.

실제로 가장 자주 새는 곳은 결함 리포트 첨부물이다.

□ 스크린샷에 실제 고객 이름·전화번호·주소가 보이는가
□ 첨부한 로그·HAR 파일에 토큰, 쿠키, 개인정보가 들어 있는가
□ 운영 DB 조회 결과를 이슈 트래커에 붙여넣었는가
□ 운영 데이터를 외부 AI 도구에 붙여넣었는가 (모듈 18b 레슨 9)
□ 테스트용으로 받은 운영 덤프가 개인 PC에 남아 있는가

3. 인증 심사 증적

ISMS·ISMS-P 인증을 받은 회사는 심사 때 변경관리와 시험 수행 기록을 보여줘야 한다. 인증기준 2.8.2(보안 요구사항 검토 및 시험)는 보안 요구사항이 실제로 반영됐는지 시험하라고 요구한다.

QA의 테스트 계획·결과 기록이 곧 심사 증적이 된다. 그래서 인증 기업에서는 "테스트는 했는데 기록이 없다" 가 결함만큼 문제가 된다.

CIO — 사내 IT 시스템 관리

제품 기술을 맡는 CTO와의 차이는 레슨 6에서 다룬다. 한 줄로 CTO는 밖에 파는 것, CIO는 안에서 쓰는 것이다.

QA 접점 — 사내 시스템 도입의 사용자 인수 테스트(UAT)

사내 시스템은 사용자가 동료다. 테스트 설계보다 현업 사용자를 테스트에 참여시키는 운영이 핵심이다.

CDO — 디지털 전환(DX)을 이끄는 사람

Chief Digital Officer. 오프라인·수작업 중심의 사업 방식을 디지털로 바꾼다. 금융·제조·유통 같은 전통 산업에서 특히 흔한 직함이다.

CDO가 보는 숫자: 디지털 채널 매출 비중, 디지털 채널 이용률, 전환 과제 진척.

DX 프로젝트에서 QA가 특히 볼 것

또 하나의 CDO — Chief Data Officer

같은 약어로 데이터 책임자를 뜻하기도 한다(레슨 1). 데이터 거버넌스, 데이터 품질, 데이터 활용, 개인정보·윤리를 맡는다.

데이터 품질은 흔히 이런 차원으로 본다.

사례 — 결함 리포트가 사고를 키운 날

탐색 중 다른 사용자의 주문 상세가 보이는 결함을 찾았다. URL의 주문 번호를 바꾸면 남의 주문이 열렸다. QA는 평소 하던 대로 좋은 결함 리포트 를 썼다.

네 항목 모두 일반 결함에서는 올바른 작성법이고, 이 건에서는 전부 문제였다.

보안 담당자가 발견하고 리포트를 비공개로 돌렸지만, 그 사이 캡처가 메신저로 공유된 상태였다. 결함 자체보다 리포트가 만든 2차 노출이 더 번거로운 일이 됐다.

바꾼 절차는 네 줄이었다.

세 번째가 균형점이다. 완전히 안 적으면 추적이 안 되고, 다 적으면 공격 설명서가 된다. 그래서 공개 트래커에는 존재와 영향만, 상세는 비공개 경로에 둔다.

여기서 남는 교훈이 둘이다. 첫째, 좋은 결함 리포트의 규칙이 보안 건에서는 반대로 작동한다(모듈 6 레슨 2의 "증거를 남긴다" 가 여기서는 위험이 된다). 둘째, 결함 트래커는 개인정보를 담도록 설계된 시스템이 아니다 — 한 번 들어가면 보관 기간·접근 통제·삭제 의무가 그 시스템에 따라붙는다.

실무에서 왜 필요한가

보안·개인정보 이슈는 다른 결함과 경로·속도·기록 방식이 모두 다르다. 일반 결함처럼 팀 전체가 보는 트래커에 재현 절차를 자세히 적거나, 다음 출시 판단 회의까지 기다리는 순간 결함이 사고로 바뀐다. 모듈 16 레슨 5·14에서 취약점을 찾는 법을 배웠다면, 이 레슨은 찾은 뒤 누구에게, 어떻게 넘기는가 를 다룬다.

한국에서는 CISO와 개인정보 보호책임자가 법이 요구하는 책임자라, 보고받을 사람이 이미 정해져 있다. 모르는 것은 QA뿐인 경우가 많다. 그리고 ISMS·ISMS-P 인증을 받은 회사라면 테스트 기록이 곧 심사 증적 이라, 테스트를 했는지보다 남겼는지가 문제가 되는 순간이 온다.

사내 시스템 도입(CIO)과 디지털 전환 프로젝트(CDO)는 제품 테스트와 일하는 방식이 다르다. 사용자가 동료이고, 요구사항이 사람 머릿속에 있고, 합격 기준이 "업무가 멈추지 않는가"다. 금융·제조·공공 분야의 QA 자리에서는 이 경험이 제품 테스트 경험만큼 중요하게 다뤄진다.

채용시장에서의 위치

• 핀테크·커머스·헬스케어 공고에 "보안 테스트 기본 이해(OWASP)", "개인정보 처리 이해" 가 자주 들어간다.
• ISMS·ISMS-P 인증 기업은 테스트 증적 관리 경험을 우대한다.
• 금융·제조·SI의 DX 프로젝트 QA 는 UAT 진행과 현업 커뮤니케이션 능력을 본다.
• 데이터 QA·데이터 품질 직무가 따로 생기고 있다. 모듈 9 레슨 5의 SQL이 여기서 쓰인다.
• 면접 질문: "테스트에 운영 데이터를 써야 한다면 어떻게 하시겠습니까?" — 승인·모니터링·삭제로 답하면 된다.

질문별로 갈리는 지점을 보면 이렇다.

첫 번째와 두 번째가 가장 변별력이 크다. 둘 다 보안 건을 실제로 다뤄 본 사람의 답이고, 특히 두 번째는 일반 결함 리포트의 규칙이 여기서는 반대로 작동한다는 것을 아는 답이다.

네 번째는 인증 기업 지원에서 바로 쓰인다. "증적" 이라는 단어를 쓸 수 있으면 심사를 겪어 본 사람으로 읽힌다.

실습 과제

과제 1 — 결함 리포트 첨부물 점검 (15분)

최근 결함 리포트 10건(본인 것 또는 공개 이슈 트래커)의 첨부물을 점검한다.

한 건이라도 나오면 팀의 결함 리포트 템플릿에 "첨부물 개인정보 확인" 항목을 추가하자고 제안한다.

과제 2 — 보안 결함 보고서 작성 (15분)

레슨 7 사례 B(전각 전화번호 → 500 오류 + 로그 평문 기록)를 위 제한 채널 보고 템플릿으로 작성한다.

• 운영 반영 여부를 "확인됨/미확인" 으로 명확히 쓴다
• 재현 절차는 보고서 본문이 아니라 제한된 첨부로 분리한다

[보안 결함 보고 — 제한 채널]
제목        회원가입 오류 처리 시 개인정보가 애플리케이션 로그에 평문 기록
발견 환경   스테이징 / 운영 반영 여부: 미확인  ← 첫 번째 확인 요청
영향 데이터 전화번호
노출 범위   스테이징 로그 조회 권한자 약 15명, 로그 보존 30일
재현 조건   (제한 첨부 참조)
발견 일시   출시 D-2 14:20
임시 조치   스테이징 해당 기간 로그 삭제 요청 (인프라팀, 14:40)
요청 사항   1) 운영 코드 동일 여부 확인
            2) CISO·개인정보 보호책임자 영향 판단
            3) 핫픽스 전 출시 여부 판단 자료 제공

과제 3 — 테스트 데이터 정책 초안 (15분)

팀에 제안할 1쪽짜리 정책을 쓴다.

1. 기본 원칙      합성 데이터 우선, 운영 데이터 사용은 예외
2. 예외 절차      승인자(CISO/CPO), 사용 범위, 기간
3. 보관           어디에, 누가 접근, 암호화
4. 삭제           시험 종료 후 N일 이내, 삭제 기록
5. 첨부물         스크린샷·로그 마스킹 규칙
6. AI 도구        운영 데이터 입력 금지

과제 4 — 사내 시스템 UAT 시나리오 (15분)

"경비 정산 SaaS 도입" 을 가정하고 UAT 시나리오 5개를 쓴다.

과제 5 — 데이터 품질 점검 쿼리 (15분)

db-fiddle 에 간단한 테이블을 만들고 차원별 쿼리를 실행한다. (모듈 9 레슨 5 연결)

-- 완전성: 필수값 누락
SELECT COUNT(*) FROM users WHERE email IS NULL OR phone IS NULL;
 
-- 유일성: 가입 완료 이벤트 중복 (레슨 7 사례 C)
SELECT user_id, COUNT(*) AS cnt
FROM events
WHERE event_name = 'sign_up_complete'
GROUP BY user_id
HAVING COUNT(*) > 1;
 
-- 일관성: 주문 금액과 결제 금액 불일치
SELECT o.id, o.total_amount, p.amount
FROM orders o
JOIN payments p ON p.order_id = o.id
WHERE o.total_amount <> p.amount;
 
-- 적시성: 마지막 이벤트 적재 시각
SELECT MAX(created_at) FROM events;

과제 6 — AI 결과 검증 (10분)

평소 쓰는 AI 도구(ChatGPT·Claude·Gemini 등)에 요청한다.

직원 80명, 연매출 300억원 규모의 온라인 쇼핑몰은 정보보호 최고책임자(CISO)를 지정하고 신고해야 하는가? 근거 조항과 함께 설명하라.

자가 체크리스트

• CISO·CIO·CDO의 책임을 한 줄씩 구분해 말할 수 있다
• 정보통신망법상 CISO 업무 4가지를 안다
• CISO 지정·신고가 정보통신망법 제45조의3의 의무임을 안다
• 겸직 제한 대상 기준(자산총액 5조원, ISMS 의무대상 중 5천억원)을 안다
• CISO와 개인정보 보호책임자(CPO)의 근거 법과 범위를 구분한다
• 보안 결함은 제한 채널로 즉시 보고하고 운영에서 재현하지 않음을 안다
• 보안 결함 보고에 영향 데이터·노출 범위·운영 반영 여부를 넣을 수 있다
• ISMS-P 2.8.3·2.8.4가 QA 업무와 어떻게 연결되는지 설명할 수 있다
• 결함 리포트 첨부물이 개인정보 유출 경로가 될 수 있음을 안다
• 테스트 기록이 인증 심사 증적이 됨을 안다
• 사내 시스템 UAT를 업무 시나리오와 현업 참여로 설계할 수 있다
• DX 프로젝트의 암묵적 업무 규칙 리스크를 설명할 수 있다
• Chief Digital Officer와 Chief Data Officer를 구분하고 데이터 품질 5차원을 안다

흔한 실수

• 보안 결함을 공개 트래커에 재현 절차와 함께 올린다. 공격 방법을 사내에 퍼뜨리는 셈이 된다.
• 운영 환경에서 취약점을 재현해 본다. 재현은 테스트 환경에서만 한다.
• 보안 이슈를 다음 출시 회의까지 기다린다. 일정과 무관하게 즉시 보고한다.
• CISO와 개인정보 보호책임자를 같은 것으로 본다. 근거 법과 범위가 다르다. 한 사람이 겸해도 요청 내용은 구분한다.
• 법 적용 여부를 QA가 단정한다. 기준은 개정될 수 있다. 원문과 법무 확인이 원칙이다.
• 결함 리포트 첨부물을 점검하지 않는다. 스크린샷·HAR 파일이 가장 흔한 유출 경로다.
• 테스트 기록을 남기지 않는다. 인증 기업에서는 기록 없는 테스트가 심사에서 없는 테스트다.
• UAT를 QA 혼자 진행한다. 사내 시스템의 합격 판단은 실제 업무 담당자가 해야 한다.
• Chief Digital Officer와 Chief Data Officer를 혼동한다. 한쪽은 전환, 한쪽은 데이터 품질이 관심사다.

참고 자료

• 정보보호 최고책임자 지정신고 (과학기술정보통신부 CRMS)
• CISO 지정·신고제도 관련 정보통신망법 개정과 시사점 (법무법인 세종 뉴스레터)
• 정보통신망법 (국가법령정보센터) — 제45조의3, 제76조
• 개인정보 보호법 (국가법령정보센터) — 제31조
• ISMS-P 인증 (KISA) — 인증기준 원문
• OWASP Top 10
• Chief digital officer vs. chief technology officer (TechTarget)
• CVE·CVSS 개요 (NIST NVD) — 취약점 심각도를 공통 기준으로 말하는 방법

이 커리큘럼 안에서

• 모듈 26 레슨 1 — CxO 지도. 세 역할의 위치
• 모듈 26 레슨 3 — CFO. 보안 투자도 결국 숫자로 비교된다
• 모듈 26 레슨 7 — 경영진 보고. 보안 건의 보고 경로와 형식
• 모듈 6 레슨 1~2 — 결함 생명주기·리포트. 보안 건에서 규칙이 달라지는 지점
• 모듈 7 레슨 2 — 테스트 데이터·가명처리. 운영 데이터 사용의 조건
• 모듈 7 레슨 3 — 환경. 외부 발송 차단과 운영 키를 두지 않는 원칙
• 모듈 8 레슨 1 — 규제가 기록을 요구하는 배경. "증적" 의 의미
• 모듈 9 레슨 5 — SQL. 데이터 품질 점검의 도구
• 모듈 15~16 — 보안·접근성 테스트. 취약점을 찾는 쪽
• 모듈 25 레슨 8 — 안전과 보안의 교차점

한 줄 정리 — 보안·개인정보 건은 경로·속도·기록 방식이 모두 다르다. 공개 트래커에는 존재와 영향만, 상세는 비공개 경로로 — 좋은 결함 리포트의 규칙이 여기서는 반대로 작동한다. 그리고 한국에서는 CISO와 개인정보 보호책임자가 법이 지정한 책임자라 보고받을 사람이 이미 정해져 있고, 인증 기업이라면 테스트 기록이 곧 심사 증적이다.