ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다.
이번 문서는 정보보호 주요 직무자 기술서다.
이름만 보면 회사의 주요 직원과 담당 업무를 정리한 인사 문서처럼 보인다. 하지만 실제로는 정보보안과 관련된 업무를 누가 담당하고, 어떤 책임과 권한을 가지며, 구체적으로 무엇을 수행해야 하는지 정리하는 자료였다.
ISO/IEC 27001:2022의 5.3항은 정보보안과 관련된 역할·책임·권한을 지정하고 조직 내에 전달하도록 요구한다. 특히 정보보호 관리체계가 표준의 요구사항에 부합하도록 관리할 책임과, 관리체계의 성과를 최고경영진에게 보고할 책임과 권한도 지정해야 한다.
이 문서는 그러한 역할을 명확하게 정리하는 데 활용할 수 있는 방법 중 하나다. 다만 ISO 27001이 반드시 ‘정보보호 주요 직무자 기술서’라는 특정 문서명이나 양식을 요구하는 것은 아니다.
관련 기준은 ISO/IEC 27001:2022 공식 안내 페이지에서 확인할 수 있다.
1. 직무자 목록부터 정리한다
문서에는 제·개정 이력과 주요 직무자 목록이 포함되어 있었다.
목록에는 주요 직무자의 구분, 역할, 소속 부서, 직책, 이름 등 담당자를 식별하고 책임 범위를 파악하는 데 필요한 정보가 들어간다.
예를 들어 정보보호 책임자와 실무 담당자뿐 아니라 인사, 교육, 물리적 보안, 정보자산 운영 등 정보보안 관리체계와 관련된 직무도 포함할 수 있다.
여기서 CISO와 CPO는 구분해서 이해할 필요가 있다. CISO는 정보보호 관리체계에서 정보보안 책임을 맡는 직무를 설명할 때 사용하는 명칭이다. 반면 CPO, 즉 개인정보 보호책임자는 국내 「개인정보 보호법」 제31조에 따른 지정 대상과 요건을 확인해야 하는 별도의 법적 역할이다. CPO의 지정 의무는 ISO 27001 자체가 일률적으로 부과하는 요구사항이 아니다. 관련 내용은 국가법령정보센터의 개인정보 보호법 제31조에서 확인할 수 있다.
이번 문서에서는 직무자 목록뿐 아니라 각 직무를 구체적으로 설명하는 세부 항목도 마련되어 있었다.
2. 직무별 상세 기술서에는 무엇이 들어갈까?
각 주요 직무에는 담당 업무와 책임을 구체적으로 작성할 수 있도록 별도의 탭이나 세부 항목이 구성되어 있었다.
| 항목 | 작성 내용 |
|---|---|
| 직무 개요 | 해당 직무의 목적과 업무 영역 |
| 역할 | 직무의 기본 책임과 수행 목적 |
| 직무 정의 정보 | 담당 업무의 범위와 관련 정보 |
| 근무 위치 | 업무를 수행하는 조직 또는 장소 |
| 직무 역할 상세 | 실제 수행 업무와 세부 책임 |
목록에 ‘정보보호 담당자’라고 적혀 있더라도 그 사람이 정책 관리까지 맡는지, 취약점 점검과 개선 관리를 수행하는지, 내부감사를 지원하는지까지는 알기 어렵다.
상세 기술서에서는 이런 내용을 구분해 기록한다. 그래야 담당자는 자신의 역할을 이해할 수 있고, 다른 부서에서도 필요한 보고나 협조를 누구에게 요청해야 하는지 파악하기 쉽다.
공개용 글에서는 실제 직원 이름과 구체적인 근무 위치 대신 직무와 책임을 중심으로 설명하는 편이 적절하다. 아래의 직무 예시는 특정 회사의 실제 조직도를 그대로 나타내는 것이 아니라, 일반적인 작성 방식을 이해하기 위한 것이다.
3. 정보보안은 IT 부서만의 일이 아니었다
직무 목록을 살펴보면서 인상 깊었던 점은 정보보안과 관련된 역할이 생각보다 넓다는 것이었다.
일반적으로 다음과 같은 직무들을 고려해 볼 수 있다.
| 직무 영역 | 주요 역할 예시 |
|---|---|
| 정보보호 관리 | 정보보호 정책 운영, 관리체계 점검, 성과 및 개선사항 보고 |
| CISO·정보보호 담당 | 보안 업무 총괄 또는 실무 수행, 위험 및 보안 현안 관리 |
| 개인정보 보호 | 개인정보 처리 및 보호 관련 책임 수행 |
| 인사·조직관리 | 입·퇴사 및 조직 변경 정보 관리, 관련 부서와 업무 조정 |
| 인사 교육관리 | 교육 대상과 일정 관리, 이수 현황 및 결과 기록 |
| 물리적 보안 | 시설 출입과 보호구역, 물리적 보안 장비 관리 |
| 의사소통·대외 대응 | 보안 관련 내부·외부 의사소통의 담당자와 절차 관리 |
| 정보자산 운영 | 정보자산 등록, 변경, 운영 현황 및 회수 관리 |
실제 직무의 명칭과 범위는 회사의 조직구조에 따라 달라질 수 있다. 여러 역할을 한 사람이 겸직하는 조직도 있고, 업무별로 여러 부서가 나누어 담당하는 조직도 있다.
중요한 것은 모든 일을 별도의 직책으로 만드는 것이 아니라 필요한 업무의 책임자와 권한을 빠짐없이 정하는 것이다.
인사·입사·퇴사 관리가 정보보안과 연결되는 이유
예를 들어 직원이 입사하면 업무에 필요한 계정과 권한을 부여하고 장비를 지급해야 한다. 퇴사할 때는 계정을 회수하고 출입권한을 제거하며 지급된 자산을 확인해야 한다.
이 업무는 인사팀만으로 끝나지 않는다. 인사 담당자가 입·퇴사 정보를 관리하고, IT 담당자가 계정과 접근권한을 처리하며, 자산 관리 담당자가 지급 장비를 확인하는 식으로 여러 역할이 연결될 수 있다.
그런데 각 담당자의 책임이 불분명하다면 문제가 생길 수 있다. 인사팀은 퇴사 처리가 끝났다고 생각하지만 IT 부서에는 정보가 전달되지 않아 계정이 남아 있는 상황도 발생할 수 있기 때문이다.
그래서 직무 기술서에는 업무 수행 주체뿐 아니라 다른 부서에 전달해야 할 정보와 후속 조치 책임도 구체적으로 정리할 필요가 있다.
물리적 보안과 대외 의사소통도 역할을 정해야 한다
물리적 보안 담당자는 출입 관리와 보호구역 운영 등 시설에 대한 보호 업무를 맡을 수 있다. IT 시스템의 기술적 통제가 잘 되어 있더라도 장비가 설치된 공간에 대한 접근이 제대로 관리되지 않으면 별도의 위험이 발생할 수 있다.
대외 의사소통 역시 담당자와 절차를 정리해둘 수 있다. ISO 27001의 7.4항은 정보보안과 관련해 무엇을, 언제, 누구에게 전달할지와 의사소통을 담당하는 주체 및 방법을 결정하도록 다룬다.
예를 들어 보안사고가 발생해 외부 문의에 대응해야 한다면 공식 입장을 누가 검토하고 전달할지 내부 절차에 따라 정해두는 것이다. 다만 사고 대응과 법정 신고 등의 책임은 별도의 사고대응 체계와 적용되는 법적 의무에 따라 구체화해야 한다.
4. 담당자가 없거나 겸직하는 경우도 고려해야 한다
직무 기술서를 작성하면서 실제 운영 측면에서 함께 고려할 부분이 있다. 바로 담당자의 부재와 직무분리 문제다.
특정 업무를 한 사람만 담당하도록 지정했다면 그 사람이 휴가를 가거나 퇴사했을 때 업무가 중단되지 않도록 대리자를 정하거나 인수인계 방법을 마련해야 한다.
예를 들어 정보보호 담당자가 장기간 부재할 때 누가 보안 현안을 확인하고, 누가 긴급 보고를 진행하며, 어떤 자료를 인계받아야 하는지 정해두면 업무 공백을 줄일 수 있다.
또 하나는 한 사람이 업무를 수행하고 그 결과를 승인하거나 독립적으로 점검하는 역할까지 모두 맡는 상황이다.
조직 규모가 작으면 한 사람이 여러 업무를 겸직할 수밖에 없는 경우도 있다. 하지만 권한 부여와 승인, 점검을 한 사람이 모두 처리하면 오류나 부적절한 작업을 독립적으로 발견하기 어려워질 수 있다.
따라서 가능한 경우 업무 수행과 승인·점검 역할을 분리하고, 인력상 분리가 어렵다면 다른 책임자의 사후 검토 등 보완 통제를 마련할 수 있다. 이는 직무분리와 역할·책임 관리라는 정보보안 원칙과도 관련된다.
5. 직무 변경 시에는 인수인계와 역할 안내까지 관리한다
직무 기술서에는 제·개정 이력도 포함되어 있었다. 여기서 중요한 것은 문서의 버전을 기록하는 데 그치지 않고, 실제 인사나 조직 변경이 발생했을 때 책임이 함께 이전되도록 관리하는 것이다.
담당자가 변경되었다면 새 담당자가 어떤 업무를 맡게 되었는지, 현재 진행 중인 개선 과제는 무엇인지, 정기 점검과 보고 일정은 어떻게 되는지 인수인계해야 한다.
직무와 책임이 바뀐 후에는 관련 담당자와 협업 부서에도 변경사항을 알려야 한다. 새 담당자가 자신의 책임과 권한을 이해하지 못하면 문서에는 역할이 지정되어 있어도 실제 업무에서 혼선이 생길 수 있기 때문이다.
이 부분은 ISO 27001의 7.2항 역량과 7.3항 인식 요구사항과도 관련된다. 업무를 맡은 사람이 필요한 역량을 갖추고, 정보보호 정책과 자신의 역할, 요구사항을 준수하지 않았을 때의 영향을 이해하도록 지원하는 것이다.
정보보호 직무 기술서는 책임이 실제 업무로 이어지도록 하는 문서였다
정보보호 주요 직무자 기술서를 살펴보면서 직책과 이름을 지정하는 것만으로는 충분하지 않다는 점이 드러났다.
담당자는 자신의 역할을 알아야 하고, 책임과 권한이 명확해야 한다. 부재 시 업무를 이어받을 사람이 있어야 하며, 업무 수행과 승인·점검 사이에서 불필요한 이해충돌이 생기지 않도록 운영해야 한다.
이 문서의 핵심은 정보보안에 필요한 역할을 지정하는 데서 끝나지 않고, 그 역할을 맡은 사람이 책임을 이해하고 실제 업무를 수행할 수 있도록 만드는 것이었다.