롯데카드 해킹 책임 공방…대표는 물러났지만 CISO 유임·MBK는 빠졌다

[녹색경제신문 = 한순구, 김지문 기자]

롯데카드가 대규모 개인정보 유출 사고 이후 대표이사 사임과 조직개편이라는 강수를 뒀지만, 보안 책임을 둘러싼 논란은 오히려 확산되는 양상이다. 대표는 물러났지만 사고 당시 보안을 총괄하던 최고정보보호책임자(CISO)는 유임됐고, 실질적 지배력을 행사해온 대주주 MBK파트너스는 이사회에서 한발 물러나면서 ‘책임의 공백’이 발생했다는 지적이 나온다.

■대표는 사임…현 CISO는 유임

롯데카드는 지난 9월 발생한 사이버 침해 사고 이후 조좌진 대표이사가 임시 이사회를 통해 사의를 표명했다고 밝혔다. 다만 관련 법령에 따라 차기 대표이사가 선임될 때까지는 직무를 계속 수행 중이다.

반면 사고 당시 정보보호·개인정보보호·신용정보 보호 업무를 총괄하던 최용혁 상무(CISO)는 현재까지 유임 상태다. 최 CISO는 2025년 2월 부임 이후 롯데카드의 보안 전반을 책임져 왔으며, 대규모 개인정보 유출 사고 역시 그의 재임 기간 중 발생했다.

금융권에서는 “대표가 책임을 지고 물러난 상황에서, 법적으로 보안 관리의 1차 책임자인 CISO가 자리를 지키고 있는 점은 이례적”이라는 평가가 나온다.

■보안업계 “현 CISO만 책임 묻는 건 무리” 반론

다만 보안업계 일각에서는 이번 사고의 책임을 현 CISO에게만 묻는 것은 구조적으로 무리가 있다는 지적도 제기된다. 대형 개인정보 유출 사고는 단기간의 관리 실패라기보다, 수년간 누적된 시스템 설계와 보안 투자 구조의 결과라는 이유에서다.

이와 관련해 보안업계에서는 전임 CISO였던 이창복 전 롯데카드 정보보호실장의 책임도 함께 거론된다. 이 전 CISO는 2022년 12월부터 2025년 1월까지 롯데카드 정보보호실장(CISO)을 역임한 뒤, 2025년 1월부터 토스 운영사 비바리퍼블리카의 개인정보보호책임자(CPO)로 재직 중이다.

업계 관계자들은 “이번에 문제가 된 보안 체계와 시스템 상당수가 이창복 전 CISO 재임 기간 중 설계·운영된 것 아니냐”며 “보안 책임은 사고 발생 시점의 담당자뿐 아니라, 보안 아키텍처와 투자 방향을 결정했던 이전 책임자와 경영 라인까지 함께 봐야 한다”고 지적한다.

■사고 10개월 전 ‘보안 리더’로 조명되기도

이 전 CISO는 사고 발생 약 10개월 전인 2024년 11월, IT 전문매체와의 인터뷰에서 롯데카드의 보안 체계를 직접 설명한 바 있다. 당시 그는 “CEO부터 임직원, 수탁사까지 전사적으로 보안 인식을 공유하는 구조를 만들고 있다”며, 운영리스크 회의 정례화와 협력사 보안 진단, 인앱 보안 강화 등을 주요 성과로 소개했다.

이 때문에 보안업계 일각에서는 “당시 ‘보안 선진 사례’로 소개된 체계에서 대형 사고가 발생했다는 점 자체가 구조적 문제를 시사한다”는 비판도 나온다. 한 보안업계 관계자는 “보안 문화와 프로세스를 강조해 온 책임자가 구축한 체계에서 사고가 났다면, 성과뿐 아니라 한계도 함께 검증돼야 한다”고 말했다.

■TF 없이 조직 격상…책임 구조는 더 흐릿

롯데카드는 사고 이후 별도의 대응 태스크포스(TF)를 구성하지 않고, 기존 정보보호실을 대표이사 직속 ‘정보보호센터’로 격상하는 방식으로 대응했다. 회사 측은 이를 정보보호 역량 강화를 위한 조치라고 설명한다.

그러나 업계에서는 “조직의 위상은 높아졌지만, 사고 책임의 귀속은 오히려 모호해졌다”는 평가가 나온다. 내부 사정에 밝은 관계자는 “성과는 CISO의 공이 되고, 문제가 생기면 실무 조직이 방패막이가 되는 구조로 비칠 수 있다”고 말했다.

■임원 용퇴 속 MBK는 이사회 이탈

롯데카드는 지난 10월 말 조직개편과 함께 고위 임원 5명이 승진 없이 용퇴하는 인사를 단행했다. 하지만 최대주주인 MBK파트너스의 책임 문제는 전면에 드러나지 않았다.

특히 MBK파트너스 김광일 부회장은 사고 이후 같은 날 기타비상무이사직에서 사임했다. 회사 측은 “이사회 중심의 독립 경영 강화”라고 설명했지만, 금융권에서는 “사고 책임 국면에서 대주주가 한발 빠진 것 아니냐”는 해석도 나온다.

■“책임 주체 불분명하면 신뢰 회복도 요원”

금융당국은 최근 대형 개인정보 유출 사고를 계기로 CISO 개인뿐 아니라, 이사회와 대주주의 관리·감독 책임을 함께 들여다보고 있다. 사고 발생 시점의 책임자, 보안 체계를 설계한 전임 책임자, 그리고 이를 승인·감독한 경영진과 대주주까지 책임 범위를 넓게 본다는 취지다.

한 금융권 관계자는 “대표는 사임했고, 현 CISO와 전임 CISO 책임론이 엇갈리며, MBK는 이사회에서 물러났다”며 “이처럼 책임 주체가 불분명할수록 고객 신뢰 회복과 기업가치 회복은 더 어려워질 것”이라고 말했다.

롯데카드가 내세운 ‘고객 피해 제로’ 기조가 실질적인 신뢰 회복으로 이어지기 위해서는, 현 경영진과 보안 책임자, 전임 보안 라인, 그리고 대주주까지 포함한 책임 구조를 어떻게 정리할지가 핵심 과제로 남아 있다.