안정감
더듬거리며 찾는 대신, 하나의 최신 목록과 보고서.
답을 알아 두면 좋은 질문들.
그중 어느 하나에 “모르겠습니다”라는 답이 나온다면, 바로 그 지점에서 제가 도울 수 있습니다. 결정이 내려지고 돈이 움직이기 전에 이사회, 사무총장, 군수, 대표이사에게 드리는 질문입니다.
- 지금 조직에서 모든 프로젝트, 리스크, 기한을 하나의 목록으로 보는 사람은 누구인가?
- 우리는 어떤 일을 너무 늦게 알게 되는가?
- IT 부서가 유지보수에 매여 있을 때 공급업체 앞에서 우리의 이익을 대변하는 사람은 누구인가?
- 독립적인 의견 없이는 내리지 말아야 할 결정은 무엇인가?
그래서 얻는 것.
더 나은 성과
전체를 살피는 사람이 있으므로 프로젝트가 목표에 맞게 마무리됩니다.
더 적은 암초와 실수
리스크의 조기 경보와 규모가 큰 구매 전의 독립적인 의견.
이 단계에서 실수의 비용. 담당자도 공동의 목록도 없는 프로젝트는 소리 없이 지연되고, 문제를 알았을 때는 이미 비용이 커져 있습니다. 자문가에게 드는 비용은 대개 잘못 고른 기술 하나, 맞지 않는 공급업체 하나, 계약 속 함정 하나보다 적습니다.
누군가는 전체를 살펴야 합니다.
프로젝트는 여러 개인데 IT 부서가 시스템 운영만으로도 벅찰 때는, 매일 전체를 살피는 사람이 없습니다. 저는 발주처 편의 상임 코디네이터로서 대장을 관리하고, 상황 보고를 취합하며, 기한을 상기시키고, 일이 막히면 에스컬레이션합니다.
받으시는 것.
- 사무국장(행정 책임자) 또는 대표이사, IT 책임자와의 월간 회의, 월간 운영 및 리스크 보고서.
- 리스크와 핵심 계약에 대한 분기별 검토, 규모가 큰 구매 전 의견 제시.
- 처음 90일: 현황 파악과 시급한 “위험 신호” 식별, 각종 대장 구축 및 계약 검토 착수, 12~24개월 로드맵을 담은 경영진 보고서.
경영진 관점에서 본 KSC와 NIS 2.
폴란드 국가사이버보안시스템법(KSC) 개정안이 2026년 4월 3일부터 시행되고 있습니다. 의무는 IT 부서만이 아니라 경영진에게 있습니다. 경영진은 이행에 책임을 지고, 교육을 이수해야 하며, 2028년부터는 제재를 받을 수 있습니다. 기술적인 작업은 전문가와 공급업체가 합니다. 그래도 누군가는 이를 지휘해야 하는데, 많은 기관과 회사에는 그럴 시간이 있는 IT 책임자가 없습니다. 이 부분을 제가 파트타임 CIO(fractional CIO)로서 맡습니다. 저는 보안 전문가가 아닙니다. 이행이 빠짐없이, 문서로 남도록, 기한 안에 이루어지게 챙깁니다.
조직이 법 적용 대상인지, 어떤 자격으로 대상인지 확인하고 범위, 책임자, 일정을 정합니다. 문서를 관리합니다. 시스템과 공급업체 목록, 리스크 대장, 절차(24시간 및 72시간 내 사고 보고 절차 포함), 감사인에게 제시할 증빙입니다. 기한, 자체 IT와 공급업체의 과업, 계약 조항을 챙깁니다. 경영진이 물어야 할 질문을 공급업체, IT, 감사인에게 묻고, 답변에 근거가 있는지 확인합니다. 경영진은 매달 한 장짜리 보고를 받습니다. 현황, 리스크, 내려야 할 결정입니다.
제가 하지 않는 일.
모의 해킹(침투 테스트), 보안 관제(SOC), 시스템 설정, 그리고 감사 자체. 이런 일은 전문 업체가 합니다. 저는 업체 선정, 과업 정의, 결과 검수를 돕습니다.
가까운 기한. 2027년 4월 3일까지 정보보안 관리체계와 사고 대응 체계 구축, 2028년 4월 3일부터 핵심 기관에 대한 첫 감사와 제재 가능.
이 단계에서 제가 일하는 방식.
- 처음 90일현황 파악과 시급한 “위험 신호” 식별, 각종 대장 구축 및 계약 검토 착수, 12~24개월 로드맵을 담은 경영진 보고서.
- 상시 리듬상황 보고와 회의, 대장, 경영진을 위한 월간 보고서. 리듬은 프로젝트 수와 귀 조직 IT가 낼 수 있는 시간에 맞춰 정합니다.
- 협력 원칙모든 조치의 담당자는 여러분 쪽에 있습니다. 저는 실행을 넘겨받지 않고 여러분을 대신해 결정하지도 않습니다.
프로젝트는 여러 개인데 IT 부서가 시스템 운영만으로도 벅찰 때는, 매일 전체를 살피는 사람이 없습니다. 저는 발주처 편의 상임 코디네이터로서 프로젝트·조치·리스크·결정·문서 대장을 관리하고, 상황 보고를 취합하며, 기한을 상기시키고, 일이 막히면 에스컬레이션합니다. 저는 실행을 넘겨받지 않고 여러분을 대신해 결정하지도 않습니다. 모든 조치의 담당자는 여러분 쪽에 있습니다.
- 담당자, 기한, 상태를 갖춘 프로젝트·조치·리스크·결정·문서의 최신 목록 한 벌.
- 주간 상황 보고와 상황 회의(회의록과 조치 목록 포함), 사무국장, 대표이사 또는 경영진을 위한 월간 보고서.
- 알림, 문서 완비 여부 점검, 리스크 조기 경보와 에스컬레이션 준비.
- 공급업체와의 정보 조율: 진행 상황, 약속, 기한.
진행 리듬은 프로젝트 수와 IT 부서가 낼 수 있는 시간에 맞춰 정합니다.
- 기본, 월 1회: 대장 갱신, 최대 두 번의 상황 회의, 월간 보고서.
- 정기, 매주: 상황 보고, 상황 회의, 대장 관리, 후속 조치 확인, 경영진을 위한 월간 보고서.
- 집중, 주 1~2회: 더 큰 프로젝트 포트폴리오, 프로젝트 간 의존 관계, 위험에 처한 프로젝트의 회복 계획.
- 한시 집중, 주 여러 번: 조직에 프로젝트 관리 공백이 생겨 포트폴리오를 빠르게 정리해야 할 때 몇 달간. 이후에는 더 가벼운 리듬으로 돌아갑니다.
이 단계에서의 제 역량.
IT와 비즈니스를 모두 아는 사람의 관점에서 경영진에 자문하며, 모든 프로젝트가 정해진 사업 목표에 기여하도록 지식을 모읍니다.
이 단계에 관해 가장 많이 받는 질문.
저희 IT 부서를 넘겨받으시는 겁니까?
아닙니다. IT 부서나 그 예산을 넘겨받지 않습니다. 경영진의 의도를 요구사항으로 옮기고, IT 부서의 권고를 검토하며, 공급업체와의 관계에서 발주처의 이익을 대변합니다.
얼마나 자주 만납니까?
리듬은 프로젝트 수와 귀 조직 IT가 낼 수 있는 시간에 맞춰 정합니다. 기본(월 1회), 정기(매주), 집중을 거쳐 몇 달간의 한시 집중까지 있습니다.
사이버보안 전문가이신가요?
아닙니다. 그런 척하지도 않습니다. KSC에서 제 역할은 경영진 편에서 이행을 지휘하는 것입니다. 문서, 기한, 공급업체, 보고입니다. 기술 작업과 감사는 전문 업체가 하고, 저는 그 업체들이 명확한 과업을 받고 경영진이 그 결과가 무엇을 뜻하는지 알도록 챙깁니다.