보안 거버넌스 — 정보보호위원회 운영과 보안 조직 리딩

보안 프레임워크도 조직도 없는 상태에서, 정보보호위원회·정책 체계·보안 조직을 세워 운영했습니다.

조직	시기	역할
트렌비	2021.06 – 2024.12	CISO · CPO — 보안 조직 리딩

출발점 — 보안 정책도, 의사결정 구조도, 전담 조직도 없었습니다.

문제

기술적 통제는 만들 수 있습니다. 어려운 건 그 통제를 누가 정하고 누가 바꾸는가입니다.

보안 요구사항이 사업 일정과 부딪힐 때, 판단 주체가 없었습니다. 결국 매번 목소리 큰 쪽이 이겼습니다.
정책 문서가 있어도 개정 주기와 승인 주체가 없으니 금방 현실과 어긋났습니다.
경영진은 보안 리스크를 "사고가 나면 보고받는 것"으로만 알고 있었습니다.

제약

전담 보안 조직이 없는 상태에서 시작했습니다.
CISO·CPO·SRE Lead를 한 사람이 겸했습니다. 시간이 유일한 병목이었습니다.
통제를 늘리면 개발 속도가 떨어집니다. 그러면 조직이 통제를 우회하기 시작합니다.

설계

1. 정보보호위원회 — 결정의 자리를 만들다

보안 의사결정 협의체를 주관하고, 경영진 대상 보안·개인정보 리스크 보고 체계를 운영했습니다.

위원회의 값은 회의 자체가 아니라 결정이 기록되는 자리가 생긴다는 데 있습니다. "보안팀이 반대했다"가 아니라 "위원회에서 이렇게 결정했다"가 되면, 그 결정은 사람이 바뀌어도 남습니다.

2. 대외적으로 선임된 책임자

서비스 이용약관에 고지된 공식 CPO였습니다. 개인정보 처리방침과 위탁 현황에 대한 대외 책임을 직접 부담하는 자리입니다.

내부 선임과 대외 공개 선임은 무게가 다릅니다. 이름이 약관에 적히면 판단의 기준도 달라집니다.

3. 보안 조직 리딩

보안 실무 조직을 이끌면서 정보보호·개인정보보호·플랫폼 신뢰성을 하나의 판단 체계로 운영했습니다.

세 영역이 한 사람 아래 있었던 덕에 "기술적으로 무엇이 일어났는가"와 "규제상 무엇을 해야 하는가" 사이에 번역 단계가 없었습니다. 개인정보 유출 사고 대응에서 이 구조가 가장 크게 작동했습니다.

다만 이건 조직 규모 때문에 가능했던 것이고, 권장할 구조는 아닙니다.

4. 정책 체계와 승인 구조 — 무신사에서 이어진 작업

장애관리 프레임워크에서 같은 문제를 다시 풀었습니다.

13개 영역 SOP와 부록 체계로 문서화, 개정 이력 관리와 최종 승인권자 역할
의사결정 이원화 — 사고 진행 중에는 IC 단일 지휘로 승인 게이트 제거, 정책·프로세스 결정은 DACI로 Driver·Approver 명문화

속도가 필요한 결정과 책임이 필요한 결정을 하나의 절차로 묶으면 둘 다 잃습니다.

결과

정보보호위원회 운영과 경영진 리스크 보고 체계 정착
3년여 보안 무사고 운영
정책 문서가 개정 주기와 승인권자를 갖춘 체계로 전환
보안 결정이 개인의 판단이 아니라 기록된 합의가 됨

회고

정책이 지켜지지 않는 이유는 대개 내용이 아니라 단어였습니다. "예외"나 "결함" 같은 말이 붙으면 사람들은 규정을 지키기보다 피합니다. Close 게이트를 "무엇이 없으면 닫을 수 없는가"에서 "무엇이 갖춰지면 닫을 수 있는가" 로 다시 쓰자 같은 항목인데 통과율이 달라졌습니다. 기준을 완화한 게 아니라 표현을 바꾼 것입니다.

통제가 일을 불편하게 만들면 우회로가 생깁니다. 그래서 설계 기준은 항상 하나였습니다 — 생산성을 저해하지 않는 수준의 통제 범위. AI 거버넌스 프레임워크를 만들 때도 같은 기준을 씁니다.

정보보호위원회 CISO/CPO 보안 정책 체계 DACI 경영진 리스크 보고 승인 게이트