기술에만 과도하게 편중되어 있는 CISO들의 업무시간

현재 CISO 업무의 77% 이상이 ‘기술’에만 할애되고 있는 상황

결국 모든 문제에 대한 해결을 기술로만 접근하려는 경향 보여

[보안뉴스 주소형] 정보보호최고책임자인 CISO의 업무가 기술에만 지나치게 편중되어 있다는 지적이 나왔다. 글로벌 회계법인 딜로이트(Deloitte)의 트랜지션 랩(Transition Lab)에 따르면 CISO의 역할은 크게 4가지로 나눌 수 있다. 1) 기술 전문가(technologist), 2) 전산 자산(computing asset) 관리자, 3) 고문(advisor), 4) 전략가(Strategist), 이렇게 네 가지 역할이 고루 분담되어 실행되어야 하는데 CISO들은 기술에만 업무시간의 77%를 할애하고 있는 상황으로 집계됐다.

이렇게 기술에 편중된 업무시간 개선이 안되는 요인은 간단하다. 아무리 신입 CISO들이 의욕을 가지고 이를 바꿔보려고 노력해도 결국은 회사정책이나 기존 CISO 업무 패턴에 부딪혀 버리기 때문이다. 이 같은 문제점을 해결해보고자 지난해 딜로이트 사이버 위협 서비스는 CISO 트랜지션 랩(Transition Lab)을 만들었다.

트랜지션 랩은 단 한 명의 CISO를 위한 맞춤 교육이 하루 만에 가능한 트레이닝 세션을 운영하고 있다. 트랜지션 랩을 실제로 체험해본 인티그리스(Integris)의 마이크 우드(Mike Wood) CISO는 “교실의 모든 벽면이 화이트보드로 도배되어 있는데 각기 다른 주제별로 스테이션이 나누어져 있다”고 말했다.

딜로이트 사이버 위협 서비스의 책임자인 마이크 와이엇(Mike Wyatt)은 이 같은 트레이닝을 위해 준비기간은 평균적으로 6주 정도가 소요된다고 말했다. 보안에 영향을 미치는 모든 정보들을 수집하고 해당 이슈들과 이해관계에 있는 집단(skateholders)들과의 토론 등을 거치고 있다고 설명했다.

“그들의 목소리를 들어보고 다양한 정보들을 모아보니 놀라운 점을 발견할 수 있었는데 그건 바로 대부분의 사람들이 새로운 CISO들의 성공을 간절히 바라고 있다는 점이었다.”

그렇게 수집되는 모든 정보들은 트레이닝 프로그램에 바로바로 활용됐다. 뿐만 아니라 사람들이 원하고 생각하는 CISO의 고유의 역할, 전략, 근무환경 등이 무엇인지에 대한 답변도 프로그램에 반영됐다.

“오랫동안 그들은 CISO에 대해 천천히 고민해볼 기회가 없었다”라고 와이엇을 말했다.

그는 해당 프로그램은 CISO 업무 현황을 파악하고 기존과 어떻게 차별화시켜 문제점들을 개선할 수 있는지에 대한 향후 3~6개월의 밑그림을 그리는 데 도움이 될 것이라고 덧붙였다.

트랜지션 랩은 지난 일 년간의 경험을 바탕으로 CISO 업계의 공통된 문제점을 파악했다고도 밝혔다.

“그들은 거의 모든 업무시간을 기술에만 쏟고 있다. 하지만 그들은 업무시간은 개편 되어야 한다. 특히 비즈니스 임무에 대한 계획 수립 등에 대한 고민에 시간을 투자할 필요가 있다.”

다국적 보험사인 AFLAC의 CISO인 팀 칼라한(Tim Callahan)도 이 같은 지적에 동의했다. “기술에만 너무 집중하다보면 모든 문제에 대한 해결을 기술로만 하려고 하는 경향이 생긴다. 가장 자신 있고 아는 게 ‘기술’뿐이 없으니 말이다.”

이어서 칼라한은 CISO로서 어떤 문제가 닥쳤을 때, 사람과 프로세스 안에서 각 문제 대한 해결방안을 찾아야 하는데 현재는 계속 기술로만 접근하고 있다고 우려했다. 현재 CISO는 공정한 거버넌스(governance)를 만들고 변화하는 환경에 맞는 전략을 수립하는 역할이 절실하다고도 덧붙였다.

“시대가 변화함에 따라 요구되는 리더십의 성격도 바뀌고 있다. 이제 우리에게 필요한 진정한 CISO는 미래를 내다볼 수 있는 예지력을 가진 리더다.”

우드 CISO 역시 이 같은 칼라한 CISO의 말에 적극 동의했다. “솔직히 나부터도 그렇다. 여전히 같은 전략적인 부분에만 집중해왔다. 하지만 조직의 다른 이해관계자들과 꾸준히 토론하고 의견을 공유해본 결과 조직에서 필요한 CISO의 역할이 무엇인지 깨달고 시각을 넓히려고 노력하고 있다.”

Copyrighted 2015. UBM-Tech. 117153:0515BC

[국제부 주소형 기자(sochu@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)