?? ‘CISO’?? ??? ???? ????? ???? ??? ???? ??? ???. ??? ???? ???? ??? ???, ???? ??? ?? ??? ???? ?? ??? ?? ???? ???? ???? ??. Credit: insta_photos / Shutterstock 몇몇 CISO는 정말 문제가 많다. 그들이 보안을 몰라서도, 똑똑하지 않아서도 아니다. 자아가 앞서기 때문이다. 이들은 협업하고, 자기 인식이 있으며, 상식적인 인간으로서 어떻게 행동해야 하는지를 잊었다. 직함이 머리를 지배했고, 영향력은 중독이 되었으며, 벤더와 동료, 언론의 관심은 리더십과는 무관한 ‘중요한 사람’이라는 착각을 부추겼다. 솔직히 말해, 너무 많은 사람이 이를 지적하기를 두려워하고 있다. 그래서 지금 말한다. 이건 문제가 있다. 우리는 이 직책을 지나치게 미화한 나머지, 최악의 행동도 용인하고 심지어 보상하는 지경에 이르렀다. 모든 회의에서 과시하고, 반론을 용납하지 않으며, 고개만 끄덕이는 사람만 채용하고, 벤더와의 대화를 자아만족의 수단으로 활용하는 CISO가 점점 더 흔해지고 있다. 필자도 CISO로 일했고, 프로그램을 운영하며 어렵고 중대한 결정을 내려봤다. 실수도 많이 했다. 하지만 동시에 이런 경향이 확산되는 현장을 눈앞에서 지켜봤고, 이제 더 이상 외면하고 싶지 않다. 보안 커뮤니티 (The CISO Society)에서 자문 CISO로 활동 중인 은 “CISO의 자아는 너무나 연약해 개인 책임 보험이 필요할 정도”라며 “벤더는 그들을 숭배하고, 업계는 그들에게 무대만 제공할 뿐 누구도 제어하지 않고 있다”고 말했다. 힌들의 지적처럼 우리는 본질보다 직함을, 진정성보다 영향력을, 협업보다 통제력을 보상하는 구조를 만들었다. 그리고 CISO가 과시할수록 일부는 더욱 열광한다. 우리는 어떻게 여기까지 왔는가? 일부 책임은 시장에 있다. CISO 역할은 단기간에 주목을 받았고 수요도 폭증했다. 연봉이 뛰었고, 행사나 패널에 반드시 한 명쯤은 있어야 하는 인물이 되었다. 문제는, 이 역할의 중요성이 커진 만큼 모든 사람이 그 무게를 감당한 것은 아니라는 점이다. 애틀라시안(Atlassian)의 CISO 는 “어떤 사람은 단지 통제하고 싶어 하고, 어떤 이는 그것에 중독되어 있으며, 또 어떤 이는 열심히 일했으니 세상이 보상해줘야 한다고 느낀다”라고 말했다. 이 같은 ‘자격 의식’은 특히 타인을 대하는 방식에서 두드러진다. 예를 들어, 일부 CISO가 벤더를 대하는 태도를 보자. 나는 회의에서 폭군처럼 행동하는 CISO를 수없이 봤다. 무시하고, 비하하며, 대화 자체가 불가능하다. 이는 제품을 검증하거나 회의에 비판적인 태도를 견지하는 것과는 다르다. 일부는 정말로 세일즈 담당자가 당황하는 모습을 즐긴다. 이들은 문제를 해결하려는 의도 없이 회의를 일종의 권력 게임처럼 활용한다. 기술적 실수를 지켜보다가 ‘걸렸다’ 싶으면 재빨리 끼어들어 본인이 가장 똑똑한 사람임을 과시한다. 솔직히, 같은 CISO로서 나조차 동료들과 대화하는 게 지칠 때가 있다. 세일즈 친구들에게 말하고 싶다. 당신들의 느낌은 착각이 아니다. 우리 중 일부는 기본적인 존중조차 없는 대화를 어렵게 만든다. 이런 태도는 리더십이 아니라 직함으로 포장한 불안감일 뿐이다. API 보안 솔루션 업체 트레이서블(Traceable)의 필드 CTO 는 이를 “펑크 아티스트 증후군”이라 표현했다. 이들은 스스로를 지나치게 ‘쿨’하거나 ‘원칙적’, 혹은 ‘특별한 존재’로 여기며 협업할 필요조차 없다고 여긴다. 그는 이를 “사라지기를 원하지 않는 이미지에 갇힌 취약한 남성성”이라 분석했다. 물론 남성만의 문제는 아니지만, 낯설지 않은 패턴이라는 사실은 부정할 수 없다. 이 문제는 벤더와의 관계에만 그치지 않는다. 조직 내부에서도 그대로 드러난다. 많은 CISO는 리더십 파이프라인을 구축하지 않는다. 대신 자신에게 반기를 들지 않는 사람들로 팀을 채운다. 전략은 직접 통제하고, 영향력은 독점한다. 그리고 나중에 혁신이 멈추거나 인재가 떠나도 놀라워한다. 리스크 관리 소프트웨어 업체 반타(Vanta)의 CISO 은 “자아는 벽을 세우고, 진정한 리더십은 신뢰를 쌓는다. 최고의 CISO는 이 차이를 안다”고 말했다. 이 차이는 중요하다. 특히 팀의 성공이 리더의 경청력, 적응력, 협업 역량에 달려 있다면 더욱 그렇다. 동물 병원 체인점 운영 기업 벳코어(Vetcor)의 CSO 는 “이들은 ‘예스맨’ 채용을 멈춰야 한다. 당신과 의견이 다른 사람을 원해야 한다”라고 지적하며 “절대 권력은 절대적으로 부패한다”고 정리했다. 이는 단지 철학적 이상이 아니라 실용적 조언이다. 보안은 본질적으로 마찰과 논쟁, 맥락이 필요한 분야다. 모두가 리더의 말에 고개만 끄덕인다면, 이는 리더십이 없거나, 팀이 입을 닫았다는 신호다. 이제 우리는 어디로 가야 하는가? 이 문제를 멈추기 위해, 더는 이 사안을 ‘남의 일’로 여겨서는 안 된다. 단지 직함이 있다는 이유로 유독한 행동을 변명해서도 안 되며, 리더십을 가장 목소리가 크거나 이력이 긴 사람들만을 위한 성역처럼 다뤄서도 안 된다. 이 글은 단순한 불만 표출이 아니라, 기준을 끌어올리기 위한 시도다.보안은 더 이상 기술적 기능에 그치지 않는다. 이제는 리더십의 영역이다.따라서 우리는 프레임워크나 자격증을 넘어, CISO가 어떤 태도로 임해야 하는지를 조직 안팎, 이사회, 그리고 산업 전반에 걸쳐 공통적으로 이해해야 한다. 그래서 이 글을 쓴다. 모든 해답을 갖고 있어서가 아니라, 이제 이 직업에 새로운 기준이 필요하기 때문이다. 새롭게 기대해야 할 행동 양식, 그리고 우리 모두가 스스로에게, 그리고 서로에게 요구할 수 있는 표준이 필요하다. 이는 단순한 준법의 문제가 아니라, 행동의 문제다. 우리가 어떻게 리더십을 실천하고 있는가에 관한 이야기다. 이제부터 소개할 내용은 ‘CISO 행동규범’이다. 체크리스트가 아니라 하나의 사고방식이다. 이 기준에서 스스로의 모습을 볼 수 있다면 잘하고 있는 것이다. 그렇지 않다면, 왜 그런지 자문해볼 때다. 어느 쪽이든, 이것이 기준이다. 우리 모두 한번 이 기준을 살펴보자. CISO 행동규범 겸손하게 리드하라, 오만함은 버려라. 당신이 회의실에서 가장 똑똑한 사람이라면, 인사를 잘못한 것이다. 견고한 시스템과 더 뛰어난 사람들을 만들고, 당신에게 도전할 수 있는 이들과 함께하라. 틀렸다는 것을 받아들일 수 없다면, 당신은 리더가 아니라 조직의 리스크다. 보안을 비즈니스에 맞추라. 매출, 복원력, 운영 명확성을 뒷받침하지 못하는 보안은 단순한 비용에 불과하다. 당신의 회사가 실제로 어떻게 돈을 버는지 이해하고, 장애물이 아니라 결과에 당신의 업무를 연결하라. 실수를 인정하라. 목소리 내어 말하라. “내가 틀렸다.” 전문 용어 뒤에 숨지 말고, 팀원에게 책임을 전가하지 말라. 책임지는 모습을 보여야 당신이 만든 문화가 조직에 뿌리내린다. 다른 부서를 존중하라. 법무, 재무, 제품, 인사, IT 부서는 당신이 보지 못하는 관점을 갖고 있다. 이들을 장애물로 여기면 신뢰를 얻을 수 없다. 이사회는 ‘락스타’ 같은 자아 과잉 인물을 원하지도, 필요로 하지도 않는다. 사실, 원래부터 그랬다. 리스크를 소유한 척하지 마라. 리스크의 주인은 비즈니스다. 당신의 역할은 통제가 아니라 명확성을 제공하는 것이다. 리더십 전략이 공포에 기반했다면, 리스크 기반 의사결정을 지원하는 게 아니라 조작하고 있는 셈이다. 공급업체를 사람으로 대하라. 날카로운 질문을 하고, 높은 기준을 세워라. 하지만 사람의 시간을 낭비하거나 게임처럼 다루지 말라. 단지 중요한 사람처럼 보이고 싶어 회의에 참석하는 거라면, 차라리 집에 있어라. 벤더는 당신의 팬이 아니라 파트너다. 보안 커뮤니티의 문지기가 되지 마라. 누가 ‘자격이 있는지’ 당신이 정할 수 없다. 연구자, 엔지니어, 신입이라도 제대로 일하고 있다면 마땅히 존중받아야 한다. 테이블을 좁히지 말고 넓혀라. 멘토링하고, 육성하고, 가르쳐라. 지식을 움켜쥐고 자리를 지키려 한다면 이미 리더로서 실패한 것이다. 진정한 리더는 또 다른 리더를 만든다. 아는 것을 아끼지 말고 공유하라. 자신이 대체 가능하도록 만들어라. 이는 위협이 아니라 리더의 본질이다. 당신이 떠난 뒤 프로그램이 무너진다면, 기능이 아닌 왕국을 만든 것이다. 진정한 리더십은 스스로 확장된다. 불평을 멈추고, 해결에 나서라. 모두가 문제는 알고 있다. 이를 해결하는 사람은 소수다. 그 소수가 되어라. 그것이 진짜 리더십이다. 이 글은 누군가를 공격하려는 목적이 아니다. 도전장을 내미는 것이다. 이 분야에는 옳은 일을 하려는 사람이 많다. 하지만 직함 뒤에 숨는 사람도 적지 않다. 이 글을 읽고 불편함을 느꼈다면 괜찮다. 오히려 그래야 할지도 모른다. 불편함은 그것을 정면으로 마주할 준비가 되어 있다면, 충분히 의미 있는 자극이 될 수 있다. 이제는 “CISO”라는 직함을 이유로 잘못된 행동을 변명하는 관행을 멈춰야 한다. 결과뿐 아니라 그 과정에 대해서도 서로에게 책임을 묻는 문화를 만들어야 한다. 영향력을 숭배하는 대신, 진정성에 보상하는 환경을 만들어야 한다. 자만을 버려라. 진짜 리더가 되자.dl-ciokorea@foundryco.com ???? ???? ??? ??? IT ??? ???? ??? ????! ??? ??? ??? ?????. ????