금융기관의 정보보호 거버넌스 정립 방안 연구 : 실무적 관점에서 CIO와 CISO간 역할과 책임의 명확화

국문 초록 (Abstract)

다중 다종 융합이 현실화하는 금융시대에 정보기술과 정보보호는 기업의 핵심 업무로 인식되고 있으며, 조직의 지속 성장과 안정을 위한 전략적 개념으로 이해되고 있다. 고객정보 유출이 금융기관이나 기업의 존망을 결정할 수도 있다는 점을 수차례의 사고를 통해 경험하게 되면서 이러한 인식은 경영자 층에도 뿌리를 내리게 되었다. 정부도 정책적 대안을 마련하지 않을 수 없는 환경이 되자 금융정보보호 거버넌스가 정책의 우선순위를 차지하게 되었고 이어 각 금융기관은 정보기술과 정보보호 최고 책임자를 임명하여 정보기술과 정보보호 거버넌스를 위한 조직을 만들었다. CIO와 CISO는 전략적 연계(Strategic Alignment), 가치 전달(Value Delivery), 위험관리(Risk Management), 자원관리(Resource Management), 성과관리(Performance Management)의 영역에서 고유의 역할을 수행하여 거버넌스 체계를 이행하고 있다.
그러나, 전자금융거래법에서 일정 규모 이상의 기업에 대해 CIO와 CISO 겸직을 금지함으로서 현실적으로 두 제도간의 역할과 책임이 애매한 상황이 있다. 또한, 정보기술과 정보보안의 몇몇 프로세스에서는 정보기술 거버넌스와 정보보안 거버넌스가 제안하고 있는 특정 프로세스에 대해서는 역할과 책임이 상충되는 부분이 존재하고 있다.
본 연구를 통해 CIO와 CISO간의 역할과 책임에 대한 가이드를 제시하고 자 한다. 금융기관의 정보기술과 정보보호 최고책임자간의 역할과 책임간의 충돌되는 주요 프로세스를 COBIT 5와 금융보안원 거버넌스 가이드북을 참조하여 도출하였다. 조사 항목은 4개 영역(위험관리, 운영관리, 보안서비스관리, 성과 및 준수 모니터링과 평가 및 진단)으로 각각의 프로세스별로 RACI 차트(수행책임: Responsible, 최종책임: Accountable, 협조: Consulted, 통보: Informed)를 적용하여 금융기관의 운영 실태와 COBIT 5와 정보보호 거버넌스의 가이드 수준을 비교 분석하였다. 이를 통해 금융기관의 이슈 프로세스에 대한 현황을 진단하고 성공적인 기업 경영을 지원하는 데, CIO와 CISO 간의 협치를 위한 역할과 책임의 가이드를 제안하고 자 한다.
조사 결과 ‘위험관리’ 와 ‘보안 서비스(접근통제 포함)’ 프로세스는 정보보안 거버넌스의 가이드를 준용하여 위험관리의 총괄책임을 CISO에 두어 금융기관이 수용 가능한 위험 수준을 관리하고 사고 대응 체계에 대한 자율책임을 강화해야 한다. CISO의 기본 역할 외에 정보보호 투자에 대한 성과 평가와 모니터링의 역할과 책임이 부여 되어 기업 비즈니스를 지원할 수 있는 경영적 정보보호 전략가로서 CFO(재무담당 최고 책임자) 마인드 요구하고 있다. 그럼으로 CIO는 정보기술 비즈니스 및 운영 관리 책임자로서, CISO는 기업 보안 책임자로서 역할과 책임이 분리 되어야 한다.

목차 (Table of Contents)

• 목 차
• 1. 서론 1
• 2. 정보기술과 정보보호 거버넌스 2
• 2.1. 거버넌스의 개념 및 필요성 2
• 2.1.1. 거버넌스의 개념 2
• 2.1.2. 거버넌스의 필요성 3
• 2.2. 금융기관의 정보기술 환경 5
• 2.2.1. 국내 금융기관의 환경 변화 5
• 2.2.2. 금융회사 전산시스템의 특징 7
• 2.3. 정보기술 거버넌스와 정보보호 거버넌스 7
• 2.3.1. 정보기술 거버넌스의 개념과 체계 7
• 2.3.2. 정보보호 거버넌스의 개념과 체계 12
• 2.3.3. 정보기술과 정보보호 거버넌스의 관계 16
• 2.3.3.1. 분리 모델(CEO 직근 모델) 18
• 2.3.3.2. 통합 모델(CIO 직근 모델) 19
• 2.3.3.3. 소결 20
• 3. 금융기관 정보보호 거버넌스 도입 현황과 쟁점 21
• 3.1. 금융기관 정보보호 거버넌스의 도입 의의 21
• 3.1.1. 도입 배경 및 법적 근거 21
• 3.1.2. 도입 의의 23
• 3.2. 금융기관 정보보호 거버넌스 도입 현황 24
• 3.2.1. 인력 부문 24
• 3.2.2. 예산 부문 26
• 3.3. 정보기술과 정보보호 거버넌스간의 역할관계의 주요 쟁점 26
• 3.3.1. 책임자의 위상 26
• 3.3.2. 공통 기능과 고유 기능의 관계 28
• 4. CIO와 CISO 간의 역할과 책임에 대한 사례조사 31
• 4.1. 조사연구의 개관 31
• 4.2. 사례 조사 32
• 4.2.1. 조직 부문 32
• 4.2.2. 위험관리 부문 33
• 4.2.3. 운영관리 부문 35
• 4.2.4. 보안서비스관리 부문 36
• 4.2.5. 성과 및 준수 모니터링, 평가, 진단 부문 40
• 5. 결론 41
• 참고문헌 42
• 부록(설문지) 49