우리 회사도 CISO를 지정해야 할까 — 의무 대상과 겸직 제한 판단 기준
“CISO를 지정하라”는 말은 들었는데, 우리 회사가 정말 대상인지부터 헷갈리는 경우가 많습니다. 지정했더라도 겸직이 가능한지, 신고는 해야 하는지에서 또 막힙니다.
이 글은 정보통신망법상 CISO 지정 의무를 실무자가 스스로 판단할 수 있도록 순서대로 정리한 것입니다.
CISO가 무엇인가
정보보호 최고책임자(Chief Information Security Officer)입니다. 조직의 정보보호 업무를 총괄하는 책임자로, 정보통신망법 제45조의3에 근거가 있습니다.
이름에 ‘최고책임자’가 들어가 있지만, 중요한 것은 직함이 아니라 실제로 그 역할을 수행할 수 있는 위치와 권한입니다. 형식적으로 이름만 올려두면 사고 발생 시 책임 문제가 커집니다.
CISO와 CPO는 다릅니다
실무에서 가장 흔한 혼동입니다. 근거 법률부터 다릅니다.
CISO와 CPO의 차이 | 업로드 파일 : b2.png
CISO는 정보통신망법, CPO는 개인정보 보호법에 근거합니다. 보호 대상도 다릅니다. CISO는 정보자산 전반을, CPO는 개인정보를 봅니다.
한 사람이 CISO와 CPO를 겸할 수는 있습니다. 다만 뒤에서 설명할 겸직 제한 대상에 해당하면 CISO는 다른 직무를 겸할 수 없으므로, 이 경우에는 분리해야 합니다.
지정 의무, 이 순서로 판단하십시오
CISO 지정 의무 판단 흐름 | 업로드 파일 : b1.png
Q1. 정보통신서비스를 제공하는가
정보통신망법은 정보통신서비스 제공자를 대상으로 합니다. 웹사이트나 앱을 통해 서비스를 제공한다면 대체로 여기에 해당합니다. 온라인 서비스가 전혀 없는 제조업이라면 망법상 지정 의무는 발생하지 않을 수 있습니다.
Q2. 신고 의무 면제 요건에 해당하는가
일정 규모 이하 사업자는 지정 신고 의무가 면제될 수 있습니다. 자본금 규모 등이 기준이 되며, 시행령에 구체적으로 정해져 있습니다.
면제와 미지정은 다릅니다. 신고 의무가 면제되더라도 사업주 또는 대표자가 CISO로 간주되는 구조입니다. “우리는 면제니까 아무것도 안 해도 된다”는 해석은 위험합니다.
Q3~Q4. 겸직 제한 대상인가
여기가 핵심입니다. 다음 장에서 자세히 다루겠습니다.
겸직 제한 — 가장 자주 틀리는 부분
일정 규모 이상의 기업은 CISO가 다른 직무를 겸할 수 없습니다. 정보보호 업무에만 전념해야 한다는 취지입니다.
| 구분 | 기준 |
| 기준 ① | 자산총액 5조원 이상인 정보통신서비스 제공자 |
| 기준 ② | ISMS 인증 의무 대상이면서 자산총액 5천억원 이상인 정보통신서비스 제공자 |
둘 중 하나에 해당하면 CISO는 겸직이 제한됩니다. 즉 CIO나 CTO가 CISO를 함께 맡을 수 없고, CPO도 겸할 수 없습니다.
실무에서 자주 나오는 실수 — “우리는 ISMS 의무 대상이니까 무조건 겸직 불가”라고 판단하는 경우입니다. 기준 ②는 ISMS 의무 대상 + 자산총액 5천억원 이상을 동시에 충족해야 합니다.
자격 요건은 어떻게 되나
아무나 지정할 수 있는 것은 아닙니다. 시행령은 정보보호 또는 정보기술 분야의 학위나 경력을 요구합니다.
| 구분 | 요건(개요) |
| 학위 기반 | 정보보호 또는 정보기술 분야 학위 + 일정 기간 이상의 관련 업무 경력 |
| 경력 기반 | 정보보호 분야 업무 경력 일정 기간 이상 |
| 겸직 제한 대상 | 위 요건에 더해 더 엄격한 경력 기준이 적용됨 |
자격 요건의 구체적인 연수와 인정 범위는 시행령에 상세히 규정돼 있고 개정 이력이 있습니다. 지정 전에 반드시 최신 시행령 조문을 확인하십시오. 자격 미달자를 지정하면 지정 자체가 무효가 될 수 있습니다.
신고는 어떻게 하나
CISO를 지정하면 과학기술정보통신부에 신고해야 합니다. 지정한 날부터 정해진 기간 안에 신고해야 하며, 변경 시에도 신고 대상입니다.
실무에서 자주 놓치는 것이 변경 신고입니다. 인사이동으로 담당자가 바뀌었는데 신고를 하지 않아 지적받는 사례가 있습니다.
| 시점 | 할 일 |
| 최초 지정 | 지정 후 정해진 기간 내 신고 |
| 담당자 변경 | 변경 신고 |
| 조직 개편 | 지정 요건 재검토 후 필요 시 신고 |
| 매년 | 자산총액·매출 변동에 따른 의무·겸직 요건 재확인 |
실무 체크리스트
| 항목 | 확인 |
| 우리 회사가 정보통신서비스 제공자인가 | ☐ |
| 신고 의무 면제 요건에 해당하는가 | ☐ |
| 자산총액 5조원 이상인가 | ☐ |
| ISMS 의무 대상이면서 자산총액 5천억원 이상인가 | ☐ |
| 지정하려는 인물이 자격 요건을 충족하는가 | ☐ |
| 겸직 제한 대상인데 다른 직무를 겸하고 있지 않은가 | ☐ |
| 과기정통부 신고를 완료했는가 | ☐ |
| 최근 변경 사항에 대한 변경 신고를 했는가 | ☐ |
| CISO의 역할과 권한이 사내 규정에 명시돼 있는가 | ☐ |
마치며
CISO 지정은 서류 한 장으로 끝나는 일처럼 보이지만, 실제로는 조직의 보안 거버넌스를 어떻게 설계할 것인가의 문제입니다.
특히 권한 없는 CISO는 사고가 났을 때 책임만 지게 됩니다. 지정할 때 역할과 권한, 보고 라인을 사내 규정에 명확히 적어두시길 권합니다. 그게 담당자를 보호하는 장치입니다.
다음 글에서는 개인정보 열람 요구 대응을 다루겠습니다. 기한이 정해져 있어 실수하기 쉬운 영역입니다.
이 글은 공개된 법령과 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 요건과 기준은 개정될 수 있으므로 국가법령정보센터에서 최신 조문을 확인하시고, 판단이 어려운 사안은 전문가 자문을 받으시기 바랍니다.
태그
#CISO #정보보호최고책임자 #정보통신망법 #CPO #개인정보보호책임자 #겸직제한 #보안거버넌스 #보안실무 #컴플라이언스
'ISMS-P 실무' 카테고리의 다른 글
| ISMS-P 인증 준비, 처음 맡았다면 이 순서대로 (실무자 로드맵) (0) | 2026.08.25 |
|---|