롯데카드 전현직 CISO 모두 정직 - 지원 없고 책임만 있으면 누가 보안을 하려할까 ?

 

정보보안 업계에 다소 충격적인(?) 기사가 보도되었습니다.

 

 

[단독] 롯데카드 전·현직 CISO 모두 정직 확정…4년 동종업계 취업 제한, 금융권 ‘나쁜 선례’ 우려 확산 (데일리시큐, 2026.08.044)

https://www.dailysecu.com/news/articleView.html?idxno=207919

[단독] 롯데카드 전·현직 CISO 모두 정직 확정…4년 동종업계 취업 제한, 금융권 ‘나쁜 선례’ 우

 

 

• 2025년 8월 발생한 롯데카드 고객정보 297만명 유출 사고와 관련해 금감원이 전·현직 CISO에게 정직 처분 + 금융권 4년 취업제한을 최종 확정했다고 단독 보도. 보안팀장 2명은 각 3개월 감봉으로 확정.
• 이는 7월 31일 금융위가 의결한 기관 제재(신규 카드 발급 1.5개월 정지, 과징금 50억원)와는 별도의 개인 제재임을 명확히 함.
• 금감원은 패치 미적용, 개인정보 암호화 미이행, 백신 미설치 등을 근거로 기관뿐 아니라 개인 책임자에게도 책임을 물음.
• 금융권 반응은 우려 중심: "권한은 제한적인데 책임만 최대"라는 CISO 인터뷰를 통해, 이번 결정이 향후 CISO 기피·사고 은폐 문화로 이어질 수 있다는 우려를 전달. 전자금융거래법 개정으로 CISO 독립성·권한을 강화하겠다는 금융당국 정책 방향과 실제 제재 관행이 엇갈린다는 지적으로 마무리.

 

 

 

 

[롯데카드 CISO 제재 파문-①] 총알받이 전락한 CISO... 금융권 보안 인재 엑소더스 시작되나?

https://www.boannews.com/media/view.asp?idx=145052

[롯데카드 CISO 제재 파문-①] 총알받이 전락한 CISO... 금융권 보안 인재 엑소더스 시작되나?

 

• 데일리시큐와 같은 사안(전·현직 CISO 3개월 → 확정 시 정직 상당 중징계)을 다루되, **"100% 시스템 오류가 아닌 개인 책임으로만 몰아가는 것은 과도하다"**는 논조를 제목부터 전면에 내세움.
• 사고 원인으로 Oracle WebLogic CVE-2017-10271 취약점이 8년간 방치된 UPOP(온라인결제) 서버 침해를 재확인 — 관리되지 않은 Shadow IT 환경이 유출 경로였다는 배경 설명 포함.
• 업계 반발 내용에 상당 지면 할애: 사고 책임을 개인에 집중시키기보다 기업 전체의 거버넌스 문제로 접근해야 한다는 주장, CISO 역할 회피 문화 심화 우려, "권한 없이 책임만 지는 자리는 아무도 맡지 않으려 할 것" 등.
• 해외 사례 언급으로 확장: 최근 개인정보보호법 개정으로 CISO와 CPO 역할을 분리하고 위반 시 매출액 최대 3%까지 과징금을 부과하는 등 경영진 책임을 함께 강화하는 정책 흐름을 소개하며, 개인 징계 중심에서 기업 거버넌스 책임 강화로 정책 전환이 필요하다는 제언으로 마무리.

 

 

 

 

 

https://www.linkedin.com/posts/%EC%84%B1%EA%B6%8C-sungkwon-%ED%99%8D-hong-80275657_%EB%A1%AF%EB%8D%B0%EC%B9%B4%EB%93%9C-%EC%A0%84%ED%98%84%EC%A7%81-ciso-%EC%A0%95%EC%A7%81-%ED%99%95%EC%A0%95-%EB%B0%8F-%EB%8F%99%EC%A2%85%EC%97%85%EA%B3%84-4%EB%85%84%EA%B0%84-%EC%B7%A8%EC%97%85-%EC%A0%9C%ED%95%9C-%EA%B8%B0%EC%97%85-share-7490590099710033923-vLtf/

롯데카드 전현직 CISO 정직 확정 및 동종업계 4년간 취업 제한 기업 및 기관에 대한 자문을 다니