CISO의 시선으로 바라본 정보보안 실무 : 보안은 신뢰이고, 신뢰는 생존이다

최재영

저자:최재영
1989년부터2016년까지포스코DX정보보안사업부에서26년간근무하며,그룹사및패밀리사의정보보안전략수립부터관리체계구축,침해사고대응에이르기까지보안실무전반을진두지휘했다.퇴직후에도정보보안커뮤니티‘보안이야기(SecurityStory)’를운영하며현장의끈을놓지않고있다.ISO27001선임심사원이자소프트웨어기술자로서기업보안컨설팅,강의,칼럼연재등활발한활동을이어가고있다.특히지자체및공공기관과협력해대국민정보보호인식제고를위한교육과캠페인(‘정보보안뭣이중헌디’등)에앞장서며,대중과소통하는보안전문가로자리매김했다.저서로는『괜찮아,겁내지마널지켜줄게─끝날때까지끝난게아니다』(2022)외2권이있다.

프롤로그─기술의숲을지나,사람과신뢰의바다로

1부/공통편

1장정보보안은왜늘사고이후에만중요해지는가
2장보안은장비가아니라사람의습관에서무너진다
3장해킹보다더무서운것은무관심이다
4장‘설마우리회사가?’라는생각이가장위험하다
5장개인정보는데이터가아니라사람의인생이다
6장보안사고는시스템이아니라조직문화에서시작된다
7장랜섬웨어보다먼저감염되는것은조직의안일함이다
8장보안교육을매년해도사고는반복되는이유
9장AI시대,정보보안은어디까지준비되어있는가
10장보안은통제가아니라신뢰의기술이다
11장해커는시스템보다사람을먼저공격한다
12장보안은‘나중에’가아니라‘지금’해야한다
13장사이버공격은이미전쟁이되었다
14장디지털시대의신뢰는보안에서시작된다
15장보안은숨기는기술이아니라지켜내는책임이다
16장해킹은기술의문제가아니라인간심리의문제다
17장정보보안전문가가결국사람을공부하게되는이유
18장정보보안은두려움이아니라준비의영역이다
19장‘귀찮다’하는순간보안은무너진다
20장패스워드하나가회사를무너뜨리는시대
21장보안은공포가아니라문화다
22장AI해킹시대,인간은무엇을준비해야하는가
23장보안의적은해커가아니라방심이다
24장보안은결국책임의문제다
25장정보보안은결국사람을지키는일이다

2부/대학생편

1장신입보안담당자가가장먼저배워야할현실보안
2장대학생이정보보안을공부하며반드시준비해야할현실역량
3장자격증보다중요한실무감각은무엇인가
4장AI시대,정보보안실무자는어떻게살아남아야하는가
5장대학생보안동아리가실무보다놓치기쉬운것들
6장실무자가말하는가장현실적인정보보안공부법
7장정보보안커리어10년후살아남는사람들의공통점
8장정보보안직무를꿈꾸는대학생들이꼭알아야할현실
9장보안관제10년이내게가르쳐준것들
10장정보보안담당자가반드시읽어야할인간심리학
11장정보보안실무자가성장하는가장빠른방법
12장정보보안직무,환상과현실
13장현장에서살아남는보안실무자의조건
14장정보보안담당자가꼭가져야할태도
15장보안인재는어떻게성장하는가
16장정보보안담당자의사명감
17장실무자가알려주는현실적인보안이야기
18장정보보안경력26년이남긴교훈
19장정보보안실무자의성장곡선은왜가파른가
20장실무자가말하는진짜보안사고사례
21장정보보안직무를꿈꾸는대학생들에게
22장보안실무자의커리어로드맵
23장신입보안담당자가가장먼저배워야할것
24장정보보안직무의장래는밝은가
25장정보보안전문가로살아간다는것

3부/실무자편

1장보안관제10년보다중요한단한가지역량
2장정보보안실무자가반드시길러야할보고능력
3장해커보다무서운내부자의실수와방심
4장현업이보안을싫어하는진짜이유
5장정보보안담당자의번아웃은왜반복되는가
6장보안사고는왜늘‘기본’에서시작되는가
7장보안담당자가조직안에서고립되는이유
8장랜섬웨어보다더무서운운영관리부재
9장로그는쌓였는데왜사고는막지못했는가
10장생성형AI와정보유출,기업은무엇을준비해야하는가
11장정보보안실무자의커뮤니케이션이중요한이유
12장좋은보안담당자는기술보다질문을잘한다
13장SOC·SIEM보다중요한사고대응체계
14장보안정책은왜현장에서무너지는가
15장정보보안실무자가AI를활용하는방법
16장공급망해킹시대,협력사보안은선택이아니다
17장산업현장에서실제로가장많이발생하는보안사고유형
18장정보보안담당자의보고서가조직을살릴수도,망칠수도있다
19장정보보안실무자가가장먼저버려야할착각
20장퇴사자계정하나가회사를무너뜨린다
21장보안담당자가밤잠을설칠수밖에없는이유
22장사고는시스템이아니라운영에서터진다
23장보안은구축보다유지가어렵다
24장사고대응에서가장중요한것은속도다
25장해커보다먼저움직이는보안조직만들기

4부/CISO편

1장CISO는기술자가아니라경영자여야한다
2장보안은비용인가,생존인가
3장CISO가이사회와CEO를설득하는방법
4장정보보안은기술이아니라책임의문제다
5장산업보안과정보보안은왜함께가야하는가
6장중소기업보안이대한민국산업경쟁력을결정한다
7장개인정보보호는법무가아니라경영의영역이다
8장기술중심보안이실패하는이유
9장보안은통제가아니라위험을관리하는기술이다
10장디지털전환시대,정보보안이기업경쟁력이되는순간
11장CISO는왜늘사고이후에만호출되는가
12장CISO의언어는기술이아니라경영이어야한다
13장기업이보안을외면하면반드시대가를치른다
14장데이터유출은사고가아니라경영실패다
15장정보보호는IT부서일이아니라전사적책임이다
16장보안이강한조직은무엇이다른가
17장CISO가CEO에게반드시던져야할질문
18장디지털전환보다더중요한것은보안전환이다
19장위기의순간,진짜실력있는보안조직이드러난다
20장보안없는혁신은모래위의성과같다
21장기업보안수준은회의실에서결정된다
22장개인정보유출보다더무서운신뢰상실
23장보안예산보다중요한보안철학
24장보안은조직의DNA가되어야한다
25장결국살아남는조직은보안이강한조직이다

에필로그─시스템의끝에서,결국사람을만나다

부록
1.보안인의시간표:일상에서경영까지
2.ISO27001:2022,ISMS,ISMS-P심사대응가이드
3.보안협력네트워크구축및실무능력강화
4.독자에게제공할가치와약속
5.소원지기가26년간걸어온길

책속으로

많은보안실무자들이여전히자신이담당하는좁은영역만바라본다.보안관제담당자는모니터화면만,개발자는코드만,시스템담당자는서버만바라보며각자의숲에갇혀있다.그러나진정한보안은조직,사람,경영,정책,예산,리스크,법규등모든요소가유기적으로맞물려돌아가는‘거버넌스’위에서비로소작동한다.
이책을집필하게된궁극적인이유는바로여기에있다.
필자는실무자들이기술중심의사고에서벗어나조직전체를조망하고리스크를관리하는‘CISO의시선’을갖도록돕고싶었다.
---p.7

이제우리는사고방식의대전환을맞이해야한다.특히AI가공격의도구가된지금,과거의방식으로는살아남을수없다.공격자는이제사람이잠든새벽세시를기다릴필요도없다.딥페이크와자동화된악성코드는1초에수천번조직의허점을찌르며진화한다.
사고이후의보안은예방이아니라‘복구’와‘수습’일뿐이다.진정한보안전문가의역할은사고가터졌을때밤을새워복구하는것이아니라,사고가터질수없는구조와문화를만드는것이다.이를위해선단순한장비도입을넘어,전구성원이보안을자신의업무에티켓으로받아들이는‘보안거버넌스’가확립되어야한다.
---p.21

현장에서정말보안이강한조직들을보면공통점이있다.작은이상징후도그냥넘기지않는다.실수를숨기지않는다.책임보다개선을먼저생각한다.현업과지속적으로소통한다.보안을“함께지키는것”으로본다.
즉,보안을특정부서일로치부하는것이아니라사내에조직문화로자리잡고있다.
보안사고는어느날갑자기서버에서시작되는것처럼보인다.하지만실제로는훨씬이전부터시작되고있었을가능성이크다.무관심,방심,침묵,책임회피,형식적인문화.이런것들이쌓여결국사고가된다.
---p.47

보안은결국책임의문제다.정보보안은단순기술업무가아니다.조직이얼마나책임감있게움직이는가의문제다.
위험을외면하지않는가?작은문제를무시하지않는가?기본을지키고있는가?변화에대응하고있는가?
이런태도들이결국조직수준을결정한다.
우리는종종보안을미래의과제로생각한다.하지만공격자는기다려주지않는다.사고는준비가끝난뒤찾아오는것이아니다.방심하고있을때찾아온다.
26년간현장을지켜보며확실히느낀것이있다.
보안은“언젠가해야하는일”이아니다.지금해야하는일이다.그리고오늘미룬작은문제하나가내일조직전체를흔드는위기로돌아올수도있다.
결국살아남는조직은보안을가장먼저움직인조직들이다.
---p.82