내 개인정보 괜찮을까?

금융은 특히 민감합니다. '내 돈'과 관련이 있으니까요.

금융 앱은 회원가입도 더 까다롭죠. 주민등록증 인증에, 계좌 인증까지 철저하게 본인임을 증명해야 합니다. 분명 그 모든 것이 내 돈을 보호하기 위한 절차임을 알아도, '이거 이렇게 찍어서 올려도 되는거야?' 이런 생각이 드는 것도 사실입니다.

어니스트펀드는 고객정보 보호를 위해 어떻게 하고 있을까요? 어니스트펀드의 정보보호 최고책임자에게 직접 이야기를 들어봤습니다.

안녕하세요. 간단한 자기소개 부탁드립니다. 

네, 안녕하세요. 정보보호 최고책임자(CISO)  최병건입니다. 어니스트펀드에서 고객들에게 서비스를 제공함에 있어 필요한 보안성을 갖추기 위한 규정, 구체적인 정책, 리스크 통제 등의 업무 전반을 책임지고 있습니다.

* CISO : Chief Information Security Officer

정보보호 최고책임자로서 가장 중요하게 생각하는 것이 있을까요?

저는 '어니스트펀드'라는 회사의 이름에 당당할 수 있어야 한다고 생각해요. 저마다 정직함에 대해 갖고 있는 정의는 다르겠지만 제가 정의하는 정직함은 바로 Trust, 신뢰입니다. 그리고 고객들이 돈을 투자하고, 돈을 빌리는 서비스를 운영함에 있어 가장 최고의 신뢰는 바로 보안이라고 생각해요. 이름이 어니스트펀드인데 고객들이 신뢰할 수 없다면, 고객입장에서는 조금 더 큰 의문이 생길 것 같아요. 그래서 저는 정말 이름을 지키기 위해 고객들과의 약속, 직원들과의 약속을 만들어가고 있습니다.

어떤 일을 하시는지 궁금해요.

저는 How를 만드는 사람이에요.

법령은 모두 '~해야 한다'로 끝나요. 예를 들어 개인정보 보호법 제3조에 이런 항이 있어요.

개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.

법에서는 무엇을 해야 한다고만 정의할 뿐, 어떻게 하라고는 나와 있지 않죠.

저는 개인정보보호법, 전자금융거래법, 온투법, 신용정보법 등의 법령에 위배되지 않도록, 고객들의 정보가 안전하게 보호되고 회사가 내외부의 보안 사고로부터 안전할 수 있도록 How에 대한 가이드를 만들고 팀원들에게 길을 안내합니다.

또 회사에서 자발적으로 <개인정보보호위원회>를 설립해 운영하고 있어요. 정보보호를 위한 중요 정책에 대해 주기적으로 회의를 하고, 보완해나갑니다. 이렇게 위원회를 내부에서 만들어 실제로 운영하는 조직은 흔하지 않다고 생각되어 자부심을 갖고 감사하게 생각하고 있습니다.

어니스트펀드는 온라인투자연계금융업(이하 온투업)에 해당하기 때문에 지켜야 하는 것들이 있다고 들었어요.

네, 온투법 제 30조에 따라 매년 '온라인 정보관리 실태점검'을 시행하고 금융위원회와 어니스트펀드 홈페이지에 그 결과를 보고해야 합니다. 140개 정도의 신용정보법과 관련한 체크 리스트를 기반으로 하는데요, 이번에 처음 실시한 실태 점검에서 전 팀원들과의 협업으로 96%의 우수한 이행률을 달성할 수 있었어요. 

이럴 때에도 저는 '신뢰'를 한번 더 고려해요. 아무래도 온투업 자체가 우리나라에서 17년 만에 생긴 금융기관이다 보니까, 온투업 업체들 중 처음 시행한 점검에서 어니스트펀드만큼 우수한 이행률을 보인 업체는 아직 보지 못했습니다. 어니스트펀드에서는 '점검을 시행했음. 얼만큼 잘 했음.'에서 끝나지 않고 아무리 작더라도 어떤 부분에서 부족했고 앞으로 어떻게 개선할 것인지까지 밝히려고 해요.

'어니스트'에 대한 책임감이 남다르십니다. 혹시 다음 목표하고 있는 바가 있을까요?

지금은 국내 최고 권위의 보안 인증인 정보보호 및 개인정보보호 인증 ISMS-P 라이센스 획득을 준비하고 있어요. 나라에서 정보보호와 관련해 기술적인 보호 역량, 리스크 관리 능력, 관리 체계 등의 안정성을 인정하는 라이센스입니다. 보통 금융권이 아니라면 통과해야 하는 항목이 350개 정도, 금융권은 약 400개에 달합니다. 보안에도 레벨이 존재하는데요, 최고 권위의 인증인 만큼 우리 고객들이 심적으로 조금 더 안심할 수 있지 않을까요? 올해 가을에는 인증을 획득하는 것을 목표하고 있습니다. 그 이후는 정보 보안팀을 키워서 국제 인증까지 도전해 보려고 합니다. 보안은 멈추면 안 돼요. 우리가 긴장할수록 고객들이 편해집니다.

최고책임자 입장에서 느끼는 어니스트펀드의 보안에 대한 문화가 궁금해요.

아, 이게 정말 중요합니다. '정보보안'이라는 것은 전 직원이 다 같이 협조해주지 않으면 절대 완성될 수 없어요. 저는 가이드를 만들고, 팀원들에게 로드맵을 그려주고, 노하우를 전달하지만 그에 따라 액션을 실질적으로 행하는 것은 바로 각 부서의 팀원들이거든요.

어니스트펀드에서는 전사적으로 모든 팀원들이 보안에 대한 맥락을 이해해주고 계셔서 참 감사해요. 모두가 한 마음인 덕분인지 규제 환경에 대해 거부감이 없다는 것이 커요. 협조가 잘 되니, 내가 관리 체계를 잘 만들어내면 문제 없이 잘 해낼 수 있겠구나 하는 편안한 마음이 들어요. 

예전에 다른 회사에서 가이드를 드리면 나도 바쁜데 이걸 왜 굳이 이렇게 까지 해야 하냐며 그 중요성에 대해 인지하지 못하는 직원들을 만난 적이 있어요. 몇 번을 요청드렸음에도 각자 바쁜 업무가 있는데 거기에 개인정보 보호를 위해 추가로 액션을 취해야 하니 귀찮다고 받아들이시는 거죠. 정보보안에 대한 맥락이 공유되지 않으면 바로 보안에 결함이 생겨요. 사실 보안이라는 것이 통제의 영역이기도 하고요.

예를 들어 대출 계약 시 신분증을 받으면 바로 주민등록번호 뒷자리는 수동으로 하나씩 마스킹 처리를 해야 한다거나, 관리 기한에 따라 각각 개별 캐비닛에 보관하기 위해 기존에 쌓인 서류를 전부 다시 분류해야 한다거나 하는 일들 말이에요. 개인정보 보호를 위한 일에 전사적으로 책임감을 갖고 있지 않으면 금세 소홀해질 수 있는데 어니스트펀드에서는 아니더라고요.

A를 말씀드리면 A에 대한 피드백이 바로 와요. '이걸 내가 왜 해?'라는 의문문으로 다가오시는 분들은 안 계십니다. 어니스트펀드에 합류하고 나서 저는 회사에 이렇게 열정적인 사람들만 모여있을 수 있을까 하고 놀랐어요. 그냥 하는 말이 아니고 정말 존경스러운 분들이 참 많아요. 

그래서 제 자리에 항상 펼쳐 놓는 페이지가 있는데요. 저희 어니스트펀드 문화 강령 12번 "그럼에도 불구하고 해내는 것이 우리가 가진 최고의 자산이다." 이 말을 보면서 우리 팀원들을 생각합니다. 그리고 저도 더 열심히 '어니스트'라는 이름을, 고객들의 '신뢰'를 지켜내기 위해 최선을 다하게 됩니다.

그런 사내 문화를 만든 데에는 정보보안팀의 역할도 분명 컸다고 생각해요.

앞으로 어떤 팀을 만들어가고 싶으신가요?

사실 신입 입사자들을 위한 보안 OJT도 피플팀에 처음 제안드렸어요. 처음 회사에 들어왔을 때부터 맥락이 공유되어야 한다고 생각했거든요. 피플팀에서도 함께 도와주신 덕분에 지금은 준법감시인과 함께 두 번에 걸친 보안 OJT를 진행하고 있습니다.

정보보안은 어떻게 보면 양날의 검이에요. 고객들을 더 위할수록 직원들을 더 규제해야 하니까요.  원격근무환경을 위해 여러 종류를 SSLVPN을 연결하지 않으면  사이트 접근이 어려운 것도, 정보보안팀의 사전 인가를 받지 않은 사이트에서의 이미지 및 파일 첨부가 금지되는 것도 다 보안의 일부거든요. 그 과정에서 비단 고객들에게만 정직한 팀이 아니라 함께 일하는 직원들에게도 정직한 팀을 만들어 나갈 거예요.

계속해서 개정되는 법령과 발전하는 기술에 발을 맞출 수 있도록 꾸준히 노력하고 발전해야만 합니다. 안전한 어니스트펀드를 만들기 위해 피와 살이 깎이는 노력이 필요하겠지만, 멈추지 않을 거예요.