지식 · IT·데이터·DX

CISO · CPO · 정보보호 최고책임자와 개인정보 보호책임자

Chief Information Security Officer and Chief Privacy Officer

📂IT·데이터·DX⏱읽기 3분📊실무🔗관련 7

CISO이란?

한 줄 정의
CISO(Chief Information Security Officer, 정보보호 최고책임자)는 회사의 정보보호 전반을, CPO(Chief Privacy Officer, 개인정보 보호책임자)는 개인정보 처리의 적법성을 책임지는 직책입니다. 법령에 따라 지정과 신고가 요구되는 회사가 있습니다.
이 주제, 사내 교육으로📚 관련 과정💬 교육 문의
⚡ 3줄 요약
  • 사고가 나면 누가 답하는가를 정하는 직책
  • 대상·겸직·자격 요건은 최신 법령 확인
  • 임원 인사 뒤 신고·규정 갱신이 자주 빠진다

CISO와 CPO를 지정하면 바뀌는 것은 '보안 사고가 나면 누가 답하는가'입니다. 지정 전에는 IT 팀장이 보안도 겸하고 개인정보는 인사팀이나 법무팀이 사안마다 맡는 식이어서, 사고가 나면 책임자를 찾는 데 하루가 걸립니다. 두 직책이 정해지면 보안 정책을 승인하고 사고를 보고받고 당국에 신고하는 사람이 한 명으로 모이고, 교육·점검·예산 요구도 그 사람의 이름으로 올라갑니다. 두 직책은 다루는 대상이 달라서 한 사람이 겸하는 것이 늘 가능하지는 않다는 점이 설계의 출발점입니다.

CISO는 정보통신망법에, CPO는 개인정보보호법에 근거를 둡니다. CISO는 해킹·유출·시스템 장애 같은 정보 자산 전반의 보호를 맡고, 정보통신서비스 제공자 가운데 일정 요건에 해당하면 지정해 과학기술정보통신부에 신고해야 합니다. CPO는 개인정보 처리 방침, 수집·이용·파기의 적법성, 정보주체의 권리 보장을 맡으며 개인정보를 처리하는 사업자 대부분이 지정 대상이 되는 구조입니다. 어떤 규모부터 전담 임원을 두어야 하는지, 다른 업무와 겸직이 가능한지, 어떤 자격이나 경력을 요구하는지는 법령 개정으로 여러 차례 바뀌어 왔으므로 최신 고시와 소관 기관 안내로 확인해야 합니다.

교육·인사 부서와의 접점은 두 가지입니다. 첫째, 연간 개인정보보호 교육과 정보보호 교육은 CPO·CISO의 이름으로 계획과 실시 결과가 남아야 하므로, 교육팀이 과정을 짜더라도 승인과 기록의 주체는 이들입니다. 둘째, 인사 데이터는 회사 안에서 가장 민감한 개인정보여서 채용·평가·퇴직 기록의 보관과 파기 기준을 CPO와 함께 정해야 합니다. 12월 임원 인사에서 CISO·CPO 담당 임원이 바뀌면 신고 사항 변경과 내부 규정의 책임자 이름도 함께 갱신해야 하며, 이 누락이 점검에서 자주 지적됩니다.

현장에서 가장 자주 어긋나는 지점은 이름만 올려 두는 것입니다. 서류상 CISO가 영업 담당 임원이고 보안 보고를 한 번도 받은 적이 없다면, 사고 때 '책임자가 몰랐다'는 사실 자체가 더 큰 문제가 됩니다. 대상이 아닌 회사가 지정 의무가 있다고 잘못 알고 급히 외부 인력을 임원으로 올리는 반대의 혼란도 있습니다. 두 직책을 자동으로 한 사람에게 몰아 겸직 제한에 걸리거나, 정보보호 예산과 인력을 요구할 권한 없이 책임만 지우는 구조도 흔합니다. 우리 회사가 어느 법의 어떤 요건에 해당하는지를 먼저 확인하고, 그다음에 사람을 정하는 순서가 맞습니다.

💡 쉽게 말하면
건물에 소방안전관리자를 두는 것처럼, 이름만 올리고 한 번도 점검을 안 하면 불이 났을 때 그 이름이 가장 먼저 불립니다.
실무에서 왜 중요한가
연말 법정교육 가운데 개인정보보호 교육의 계획·실시 기록은 CPO 이름으로 남아야 하고, 12월 임원 인사로 책임자가 바뀌면 교육팀이 가장 먼저 그 변경을 알아야 합니다.
유래와 출처

CISO는 미국 기업에서 1990년대 중반 정보보안 전담 임원으로 등장한 직책이며, 국내에서는 정보통신망법이 정보보호 최고책임자 지정·신고 제도를 두면서 법적 직책이 되었습니다. CPO는 개인정보보호법이 개인정보 보호책임자 지정을 규정하면서 정착했고, 두 제도 모두 대상과 요건이 여러 차례 개정되어 왔습니다.

출처 · 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제45조의3 · 개인정보 보호법 제31조
사례로 이해하기

가상의 사례로 살펴보겠습니다. 회원 수 48만 명의 온라인 쇼핑몰을 운영하는 임직원 210명의 A사는 서류상 CISO와 CPO가 모두 CFO로 되어 있었습니다. 10월 자체 보안 점검에서 '보안 보고를 받은 기록이 없다'는 지적이 나왔고, 12월 임원 인사를 앞두고 대표가 책임자 구조를 다시 짜라고 지시했습니다.

  1. 경영지원팀 윤 팀장은 먼저 정보통신망법과 개인정보보호법에서 A사가 어느 요건에 해당하는지 법무 자문을 받았고, 회원 규모 기준으로 두 직책 모두 지정 대상이라는 답을 받았습니다.
  2. CFO는 '숫자는 보지만 보안 보고는 한 번도 못 받았습니다'라고 인정했고, 대표는 12월 인사에서 IT 본부장을 CISO로, 법무 담당 이사를 CPO로 나눠 지정하기로 했습니다.
  3. 지정 뒤 2주 안에 CISO 신고 사항 변경을 소관 기관에 제출했고, 내부 정보보호 규정과 개인정보 처리방침의 책임자 이름·연락처를 같은 날 고쳤습니다.
  4. 교육팀은 내년 개인정보보호 교육 계획을 CPO 결재로 올리도록 양식을 바꿨고, 인사팀은 퇴직자 인사 기록 파기 기준을 CPO와 함께 다시 정리해 보관 항목 27개 중 9개를 파기 대상으로 분류했습니다.
  5. 분기 보안 보고를 제도화한 뒤 첫해에 CISO가 보고받은 보안 이슈는 14건, 그중 당국 신고 대상은 0건이었고, 이듬해 외부 점검에서 책임자 관련 지적은 3건에서 0건으로 줄었습니다.
관련 용어
개인정보보호법 · PIPA살아있는 개인을 알아볼 수 있는 모든 정보의 수집·이용·제공·파기를 규율하는 한국의 개인정보보호법(Personal Information Protection Act). 원칙은 '동의 기반, 목적 내 최소 수집, 기간 후 파기'다.ISMS-P · 정보보호 관리체계 인증기업의 정보보호와 개인정보보호 관리 체계(Personal Information & Information Security Management System)가 기준에 맞게 수립·운영되는지를 심사해 부여하는 국내 인증으로, 일정 요건에 해당하는 사업자는 ISMS(Information Security Management System) 인증이 법적 의무입니다.개인정보보호 교육개인정보 보호법에 따라 개인정보처리자가 업무상 개인정보를 다루는 개인정보취급자에게 정기적으로 실시해야 하는 교육으로, 안전한 수집·이용·보관·파기 방법을 다룹니다.보안 인식 교육 · 모의 피싱 훈련임직원이 수상한 메일과 요청을 알아보고 신고하도록 습관을 만드는 교육으로, 실제와 비슷한 가짜 피싱 메일을 보내 반응을 재는 모의 훈련을 함께 운영합니다.IT 거버넌스IT 거버넌스는 회사의 IT 투자와 운영이 경영 목표에 맞게 가도록 누가 무엇을 결정하고 어떻게 책임지는지를 정한 의사결정 틀입니다. IT 부서의 업무 절차가 아니라 경영진이 IT를 통제하는 구조를 뜻합니다.개인정보 처리위탁 · 제3자 제공개인정보를 회사 밖으로 넘길 때 우리 회사의 업무를 대신 시키는 것이면 처리위탁, 받는 쪽이 자기 업무와 이익을 위해 쓰는 것이면 제3자 제공으로 갈리며 지켜야 할 절차가 달라집니다.인사기록 관리와 개인정보인사 업무에서 수집·보관하는 개인정보를 목적 범위에서 최소한으로 관리하고, 접근 권한과 보관 기간을 통제하는 실무입니다.
이 용어와 연결된 교육
📚개인정보교육나눔경영컨설팅 기업교육 · 대면/온라인과정 보기 →
이 주제로 사내 교육이 필요하신가요?
담당자 맞춤 커리큘럼·견적을 바로 받아보세요.
교육 문의하기
📚 관련 과정 보기🗂 전체 커리큘럼📄 무료 자료실🔎 용어사전 홈
최종 수정 2026-10-17 · 감수 김종혁

자주 묻는 질문

정보통신서비스 제공자 가운데 일정 요건에 해당하는 회사가 대상이며, 요건은 자산 규모·매출·이용자 수 등으로 정해지고 개정되어 왔습니다. 우리 회사가 해당하는지는 최신 법령과 과학기술정보통신부·한국인터넷진흥원 안내로 확인하는 것이 안전합니다.
회사 규모와 업종에 따라 겸직이 허용되기도 하고 제한되기도 합니다. 두 직책은 다루는 대상이 달라 한 사람이 맡으면 어느 한쪽이 소홀해지기 쉽고, 일정 규모 이상에서는 겸직 제한 규정이 적용될 수 있으므로 최신 기준을 확인한 뒤 결정해야 합니다.
연간 개인정보보호 교육과 정보보호 인식 교육의 계획 승인, 실시 기록 보관, 미이수자 관리가 대표적입니다. 교육 내용은 교육팀이 준비하더라도 계획과 결과는 CPO·CISO 이름으로 남아야 점검 때 증빙이 됩니다.
신고 대상 회사라면 변경 신고를 하고, 내부 규정·개인정보 처리방침·홈페이지에 적힌 책임자 정보를 함께 고쳐야 합니다. 12월 임원 인사 뒤 이 갱신이 빠져 점검에서 지적받는 일이 많으므로 인사 발령과 동시에 처리하는 체크리스트를 두는 것이 좋습니다.