기업 절반이 CISO 둔다…AI 확산에 역할도 '전사 위험관리'로

인공지능(AI)이 기업 업무 전반으로 파고들면서 최고정보보호책임자(CISO)의 역할도 달라지고 있다. 사이버보안을 책임지는 '보안 게이트키퍼'를 넘어 조직 곳곳에 흩어진 AI 위험을 연결하고 조정하는 역할이 커지고 있다.

딜로이트는 최근 발간한 'AI가 일상화된 기업에서 CISO 역할 재정립' 보고서를 통해 AI 확산으로 CISO의 역할이 전사 위험관리 영역으로 확대되고 있다고 밝혔다.

딜로이트는 CISO의 평가 기준이 사이버보안을 넘어 △AI 사업에 대한 보안 통합 △조직의 보안문화와 구성원 인식 제고 △위험 감소를 통한 사업 가치 창출 등으로 확대되고 있다고 설명했다.

CISO 역할 확대는 AI 관련 위험이 더 이상 보안 부서에만 한정되는 사안이 아니기 때문이다. AI는 데이터와 시스템에 접근하고 업무 의사결정에 관여하고 있다. 이에 따라 AI 위험이 운영·데이터·컴플라이언스·협력사·재무·사업 부문까지 걸쳐 발생하고 있다.

딜로이트는 CISO가 모든 AI 위험을 직접 책임질 순 없다고 강조했다.

대신 각 부문의 책임 주체와 의사결정 권한을 명확히 하고 보안 통제와 모니터링, 대응 체계를 연결하는 역할을 맡아야 한다고 조언했다. 각 사업 부문이 위험을 나눠 관리하되 CISO가 이를 연결하는 '전사 위험 조정자' 역할을 맡는 방식이다.

CISO 직책을 두는 조직도 늘고 있다. 딜로이트가 세계 각국 고위 기술 리더 662명을 대상으로 조사한 결과 응답자의 49%가 자신이 속한 조직에 CISO 직책이 있다고 답했다. 이는 2023년 31%에서 3년 만에 18%포인트 증가한 수치다.

국내에서는 금융회사·전자금융업자, 정보통신서비스 제공자 등이 CISO를 둬야 한다. 이와 별개로 개인정보를 처리하는 공공기관·기업·단체는 개인정보보호책임자(CPO) 지정 의무가 있다.

보안업계 한 관계자는 “보안 관련 직책이 다양해진 만큼 각 직책의 역할과 책임(R&R)을 명확히 구분해중복과 공백 없이 조직의 보안 체계가 제대로 작동할 수 있도록 해야 한다”고 말했다.

박진형 기자 jin@etnews.com