CISO Office Augmentation

01 · 문제

보안 조직의 언어가 경영진 회의실에서 멈춥니다

취약점 건수와 패치율, 차단 건수는 보안 조직 안에서는 의미가 분명합니다. 그러나 그 숫자는 경영 판단으로 옮겨지지 않습니다. 무엇을 결정해야 하는지, 결정하지 않으면 무엇을 감수하는지가 그 안에 없기 때문입니다.

그 결과 보안 안건은 두 가지 방식으로만 상정됩니다. 사고가 났을 때, 그리고 규제가 요구할 때입니다. 둘 다 사후이고 둘 다 방어적입니다.

국내에서는 여기에 조건이 하나 더 붙습니다. CISO 의 법적 지위와 실제 권한이 어긋나 있는 경우가 많습니다. 정보보호 최고책임자 지정은 신고 사항이지만, 예산 편성과 조직 배치에 대한 실질 권한은 별도로 확보해야 합니다. 지정만 되어 있고 권한이 따르지 않으면 책임만 남습니다.

이 영역은 부르는 이름이 여럿입니다. vCISO · CISO as a Service · CISO Advisory 가 같은 것을 가리키며, 제안서와 계약서에서 용어가 섞이는 일이 잦습니다. 이름보다 중요한 것은 무엇을 맡고 무엇을 맡지 않는지의 경계이며, 이 문서는 그 경계를 4항에서 다룹니다.

02 · 기존 방식의 한계

세 가지 대안이 각각 다른 지점에서 멈춥니다

세 가지 모두 역량의 문제가 아니라 지속성의 문제입니다. 보안 리더십은 한 번 세우고 끝나는 것이 아니라 분기마다 같은 질문에 답해야 하는 운영 업무입니다.

무엇이 달라졌는가, 무엇을 닫았는가, 다음 분기에 무엇을 할 것인가. 이 세 질문에 매번 같은 기준으로 답할 수 있어야 보고가 축적됩니다.

03 · 접근

판단이 서는 구조를 만들고 그 구조를 분기마다 돌립니다

1. 01현황 진단자산·통제·조직·규제 요건을 같은 기준으로 측정해 시작점을 기록합니다.
2. 02위험의 사업 언어 전환기술 결함을 사업 영향으로 옮기고 경영진이 판단할 항목만 남깁니다.
3. 03조치 로드맵우선순위와 담당, 기한을 붙인 실행 계획으로 정리합니다.
4. 04보고와 재측정같은 기준으로 다시 재고 변화를 보고합니다. 다음 분기의 시작점이 됩니다.

핵심은 네 번째 단계입니다. 진단과 로드맵은 어느 컨설팅에서도 나오지만, 같은 기준으로 다시 재는 절차가 없으면 개선을 증명하지 못합니다. 증명하지 못하면 다음 예산의 근거가 사라지고, 근거가 없으면 다시 사고와 규제만 남습니다.

딜로이트의 CISO 프로그램 자산을 이 주기에 붙여 씁니다. 부임 초기 100일 계획, CISO 전환 워크숍(Transition Lab), 차세대 CISO 교육 과정이 각각 다른 국면에서 쓰입니다.

04 · 범위와 산출물

네 갈래로 나누고 각각의 산출물을 남깁니다

갈래	다루는 것	산출물
전략	보안 목표와 사업 목표의 정렬, 3개년 방향	보안 전략서 · 투자 우선순위표
거버넌스	조직·권한·정책 체계, 규제 대응 구조	권한 정의서 · 규정 대응 매핑표
보고	경영진·이사회 보고 지표와 주기	분기 보고 양식 · 지표 정의서
위기 준비	사고 대응 의사결정 경로, 훈련	대응 절차 · 의사결정 권한표

산출물의 성격이 일반 컨설팅과 다릅니다. 문서가 아니라 다음 분기에 다시 채울 양식입니다. 한 번 만들고 끝나는 보고서가 아니라 반복해서 쓰는 틀입니다.

위험 등록부와 조치 로드맵은 플랫폼 위에서 관리합니다. 표 계산기로 관리하던 위험 등록부는 담당이 바뀌면 유지되지 않고, 고객사가 여럿이면 기준도 흔들립니다.

05 · 의사결정 가치

보안 안건이 사후 보고에서 사전 판단으로 옮겨 갑니다

예산 논의의 언어가 바뀝니다. 「취약점 1,200건」이 아니라 「이 세 가지를 닫지 않으면 감수하는 것」으로 안건이 올라갑니다. 재무 부서가 판단할 수 있는 형태가 됩니다.

보고가 축적됩니다. 분기마다 같은 지표를 같은 기준으로 제시하므로 추세가 남습니다. 담당이 바뀌어도 앞의 논의가 이어집니다.

규제 대응이 부수 효과로 따라옵니다. ISMS-P 와 전자금융감독규정이 요구하는 문서 상당수가 이 주기의 산출물과 겹칩니다. 인증을 위해 따로 만들던 자료가 평시 운영에서 나옵니다.

위기 상황의 판단 시간이 줄어듭니다. 누가 무엇을 언제 결정하는지가 미리 정해져 있으면 사고 초기의 며칠이 절약됩니다. 그 며칠이 피해 규모를 좌우합니다.

06 · 적용 조건

조직의 상태에 따라 시작점이 달라집니다

경영진의 참여가 전제입니다. 이 서비스의 산출물은 경영진이 판단할 항목이므로, 판단할 사람이 자리에 없으면 문서만 쌓입니다. 착수 전에 보고 대상과 주기를 먼저 합의해야 합니다.

내부 담당을 반드시 지정해야 합니다. 외부가 전부 수행하면 역량이 남지 않고, 계약이 끝나면 구조도 함께 사라집니다. 진단과 보고 작성에 내부 인력이 참여하는 구간을 계약에 명시하십시오.

계열 구조를 먼저 확인해야 합니다. 지주사와 계열사의 보안 책임 경계가 정해지지 않은 상태에서 시작하면 산출물의 적용 범위가 모호해집니다.

07 · 전달 맥락

첫 분기에 시작점을 남기고, 그다음부터 비교합니다

첫 회차는 진단과 기준선 확보에 씁니다. 이 시점의 숫자가 이후 모든 보고의 비교 대상이 되므로, 완벽한 진단보다 다시 잴 수 있는 진단이 중요합니다.

두 번째 분기부터 변화를 보고합니다. 여기서부터 이 서비스의 성격이 드러납니다.

착수 전에 확정하는 편이 이후 재협의 비용이 낮은 항목은 다음과 같습니다.

질문 1  보고 대상은 누구이며 주기는 어떻게 되는가?
질문 2  분기 보고에 담을 지표를 서너 개로 좁힐 수 있는가?
질문 3  내부에서 이 주기를 함께 돌 담당이 지정되어 있는가?
질문 4  계열사를 범위에 포함하는가, 포함한다면 책임 경계는 어디인가?
질문 5  규제 대응 문서와 평시 산출물을 하나로 묶을 것인가?

기존 진단이나 인증 심사 결과가 있으면 첫 회차의 기간이 줄어듭니다. 착수 전에 확보 가능한 자료를 정리해 두시기 바랍니다.