<표> 주요 시중은행 CISO 선임현황(5.14일 현재) 각사 취합/디지털데일리

[디지털데일리 이상일기자]‘전자금융거래법 시행령’개정안이 15일부터 전면 적용되면서 금융회사는 정보보호최고책임자(CISO)를 지정해 운영해야 하지만 아직 금융권의 인선작업이 마무리 되지 않은 것으로 나타났다.

하지만 금융당국의 CISO 선임 기준이 다소 완화되면서 시중은행 대부분은 CIO가 CISO를 겸직하는 방향으로 굳어진 상태다.

이번 전자금융거래법 일부 개정안은 전자금융거래의 안전성과 신뢰성을 확보하고 전자금융업의 건전한 발전을 위해 금융기관이 정보보호최고책임자를 지정해 조직 내 정보보호 위험을 상시적으로 관리하도록 하는 것을 주 내용으로 한다.

또, 영업주가 종업원 등에 대한 관리·감독상 주의 의무를 다한 경우에는 처벌을 면하게 함으로써 양벌규정에도 책임주의 원칙이 관철되도록 했다.

그리고 양벌규정의 적용대상이 되는 일부 벌칙조항 중 벌금형이 별도로 규정되어 있지 않은 경우에는 벌금액을 개별적으로 규정함으로써 벌칙 적용을 명확히 했다.

무엇보다 이번 개정안에서 업계의 관심을 끌고 있는 것은 정보보호최고책임자 지정과 그 자격이다. 그동안 금융권에선 CISO의 자격요건이 현실과 다소 맞지 않는 부분이 있다고 지적해왔다. 

하지만 지난 9일 관보에 고시된 CISO의 자격 요건이 보다 구체화되면서 금융권의 CISO 선임은 좀 더 속도를 낼 것으로 보인다. 

일단 IT관련 유관자격‧학력이 있으면 전문학사학위 취득 후 4년 이상 정보보호경력 또는 ‘6년이상 IT경력을 보유한 자’에서 ‘5년 이상의 IT경력을 보유한 자’로 다소 완화됐다.

또 정보보호업무를 수행한 기간과 정보기술 업무를 수행한 기간은 서로 중복해 인정하지 않지만 정보기술 업무 수행 기간이 인정요건에 미달하는 경우 정보보호업무를 수행한 기간을 일정비율로 환산해 정보기술 업무 수행 기간으로 합산할 수 있게 했다.

이에 따라 대부분의 시중은행은 기존 CIO가 CISO역할까지 겸직하는데 큰 어려움이 없을 것으로 전망하고 있다. 

KB국민은행은 기존 CIO를 맡고 있는 유석흥 부행장이 CIOS를 겸직키로 했으며 하나은행도 권오대 정보전략본부장이 겸직한다. 또 경남, 광주, 대구은행도 기존 CIO가 CISO를 겸직키로 했다. 

다만 농협은행과 기업은행은 별도 CISO를 선임키로 했다. 농협은행은 현재 선임을 완료했으며 기업은행은 최근 정보보호 조직과 연계해 은행장 승인을 기다리고 있는 상태다. 
 
하지만 카드사를 비롯한 아직 일부 대형 금융기관들은 CIO 선임 작업을 완료하지 못한 상황이다. 또 내부 인사기준에 따라 CISO 선임작업이 미진한 금융사들도 있는 상태.

한편 금감원 관계자는 “15일부터 시행령이 적용되지만 CISO 선임이 보고 대상은 아니다”라며 “다만 현재 선임 상황을 알아보고 있고 향후 조사시 미진한 부분에 대해선 조치를 취하게 될 것”이라고 밝혔다.

<이상일 기자>2401@ddaily.co.kr