CISO/CPO 법정 지정·겸직 제한 및 직무 상충 통제 쟁점

핵심 판단

전자금융거래법상 CISO 겸직제한 대상 여부, 개인정보보호법상 CPO 자격·독립성 요건을 충족하는지, 보안조직이 개발/운영과 직무 분리되어 자기 점검(self-audit)의 이해상충이 없는지가 핵심 판단이다.

배경

CISO/CPO가 IT 개발·운영을 겸직하면 자신이 구축한 시스템을 스스로 점검하게 되어 독립적 통제가 무력화된다. 일정 규모 이상 금융회사·기업은 겸직 제한 및 전담 지정 의무가 있다.

주요 쟁점 및 심사 포인트

• 전자금융거래법상 CISO 겸직제한(총자산·종업원 기준) 대상 및 준수 여부
• CPO 지정·자격요건 및 개인정보 처리부서로부터의 독립성 확보 여부
• 보안-개발-운영 간 직무 분리 및 상호견제 체계 존재 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 1.1.2 최고책임자의 지정
• 1.1.3 조직 구성
• 2.2.1 주요 직무자 지정 및 관리
• 2.2.2 직무 분리

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「전자금융거래법」 제21조의2(정보보호최고책임자 지정)
  • 일정 기준 이상 금융회사는 CISO를 지정하고 겸직을 제한 → 대상 판단·겸직 위반 확인.
• 「정보통신망법」 제45조의3(정보보호 최고책임자의 지정 등)
  • 정보통신서비스 제공자의 CISO 지정·신고 및 겸직 제한 요건.
• 「개인정보 보호법」 제31조(개인정보 보호책임자의 지정)
  • 개인정보처리자는 CPO를 지정하고 업무 독립성·불이익 금지 보장.(2023 개정으로 자격요건 강화, 최신본 확인 권장)

참고 가이드

• 「금융권 ISMS-P 인증기준 점검항목 안내서」 1.1.2 관련
• 「개인정보 처리 통합 안내서」 보호책임자 부분

심사 시 확인사항 (증적)

• CISO/CPO 지정 공문·이력, 겸직 현황 및 신고 내역
• 조직도상 보안조직 보고체계(독립 보고선) 및 직무기술서
• 보안점검 주체와 시스템 운영 주체의 분리 증적

주요 결함 사례

CISO가 IT운영본부장을 겸직하여 자신이 직접 운영하는 시스템의 보안점검을 스스로 수행(직무 상충).

보완 대책

1. 겸직제한 대상 확인 후 CISO 전담 지정 및 독립 보고체계 수립
2. 보안점검·감사 주체를 운영조직과 분리하고 상호검증 절차 도입

연관 쟁점

• [ISSUE-042] CISO·경영진 정기 보고 및 이사회 의결 쟁점
• [ISSUE-020] 내부 점검(감사) 독립성 확보 및 결함 이행 재검증 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)