CISO의 주요 임무 ‘이사회 설득과 유도’

현재 속한 기업/기관이 언젠가 공격을 받게 될 것이다. 이는 가정이 아니다. 중요한 것은 ‘언제’일지다. 그리고 보안은 이제 더 이상 단순한 운영상의 문제가 아니다. 기술이 거의 모든 비즈니스 프로세스의 핵심적 구성요소로 자리매김하면서 보안은 이제 비즈니스 문제가 되었다. 결과적으로 정보보안은 이제 이사회가 다뤄야 할 문제다.

"최악의 상황이 발생한 경우에 고객, 파트너, 또는 정부당국 면전에서 우리가 할 수 있는 모든 것을 다 했다고 말할 수 있을까?"라 정보보안포럼(Information Security Forum)의 글로벌 부사장 스티브 더빈(Steve Durbin)이 말했다.

정보안포럼은 포춘 글로벌(Fortune Global) 500과 1000에 포함된 많은 기업들이 구성원으로 참여한 단체로, 그들을 대신해 보안 및 위험관리를 연구하고 분석하는 비영리 기관이다.

더빈은 “개인적으로 이사회는 이런 이슈를 따라 잡아야 할 뿐 아니라 미래에 대비할 수 있도록 기업/기관을 준비시켜야 한다고 생각한다"라고 말했다.

규제 준수가 아니라 위험관리가 중요하다
그는 준수성이 중요한 것이 아니라며, 중요한 것은 전반적인 위험관리라고 강조했다.

그는 "규제가 엄격한 산업계에 속해 있을 때는 규제를 준수해야 한다. 하지만 여기에는 위험 기반의 접근방식이 수반되어야 한다. 침입 또는 문제가 발생했을 때, 단순히 의자에 편하게 앉아 '우리는 의무를 다했다'고 말하는 상황은 바람직하지 못하다"라고 말했다.

그리고 더빈은 이를 위해 CISO(Chief Information Security Officer)가 한 걸음 더 나아가 이사회의 참여를 유도해야 한다며 다음과 같이 말했다.

"CISO의 역할은 단순히 순수한 기술에 초점을 맞추는 것에서 비즈니스 위험에 초점을 맞추고 비즈니스 언어로 기술에 능하지 못한 이사회에 메시지를 전달하는 것으로 크게 발전했다."

비즈니스에 능한 CISO는 기회가 있다
그는 이어 "여기에서의 결론은 이런 변화를 이룰 수 있는 기술에 능하고 현명한 CISO에게 기회가 있다는 점이다"라며, "그들이 어떻게 이런 메시지를 이사회에 전달하여 우리가 끊임없이 이야기하는 이런 민첩성의 문제를 해결할 수 있느냐의 관점에서 기회라 할 수 있다"라고 말했다.

ISF의 CEO 마이클 드 크레스피그니도 동의했다. 그는 "이사회와 CISO가 성공적으로 참여하면 기관은 관련된 위험을 해소하면서 오늘날의 정보 기술과 사이버 공간으로 인한 기회를 더욱 잘 활용할 수 있다"라고 진단했다.

이어 "위험/보상의 균형을 관리하기 위해 CISO는 반드시 기관 전체의 참여를 유도하고 대화를 변화시켜 의사 결정자들이 공감하며 비즈니스 목표와 일치하는 말로 정보 보안의 가치를 전달해야 한다"라고 말했다.

CISO는 서비스 제공자 접근방식을 취해야 한다
더빈은 CIO와 마찬가지로 CISO도 이제는 더욱 고객 또는 계정관리에 초점을 맞추어 기업을 위한 서비스 제공자가 되어야 한다고 주장했다. 다시 말해서 CISO와 보안 기능은 장애물과 교통경찰관이 아니라 기업이 안전한 방법으로 비즈니스 목표를 달성할 수 있도록 돕는 조력자가 되어야 한다는 것이다.

더빈은 "그들은 보안 전략 이상의 역할을 감당해야 한다. 다음과 같이 말해야 한다. ‘우리는 더 이상 보안 전략이 없다. 우리는 비즈니스 전략이 있다. 우리는 자체적으로 비즈니스 전략 내에 참여하여 함께 움직이고 있다'라고 말이다”라고 말했다.

그는 이어 “만약 비즈니스적 관점에서 BYO(Bring Your Own) 접근방식을 취하는데 있어서 충분한 가치가 있다면 이를 안전한 방법으로 실행하는 방법을 알아내야 한다"라고 덧붙였다.

그렇다고 해서 반드시 CISO가 이사회에 참석하여 대화를 나누어야 한다는 뜻은 아니라고 더빈은 말했다. CFO에게 보고하는 CISO는 경영진에 메시지를 전달할 수 있으며 CFO를 통해 이사회에 논점을 제기할 수 있다. 하지만 그는 누가 메시지를 전달하든 중요한 것은 메시지가 악성 소프트웨어의 수준에 관한 통계가 아니라 보안 기능이 비즈니스 목표를 달성하는데 있어서 기업에 어떤 도움이 될 지에 관한 것이어야 한다고 그는 강조했다.

CISO가 이사회의 참여를 유도하는데 도움이 되는 팁
최근의 보고서 이사회 참여: 사이버 위험과 보상의 균형(Engaging with the Board: Balancing cyber risk and reward)에서 ISF는 CISO가 이사회의 참여를 유도하는데 필요한 정의, 준비, 유도, 검토 등 4점 계획을 제시했다.