CISO 번아웃의 주요 원인은 컨퍼런스와 미디어에서 상당한 커버리지를 얻는 반면, 최신 사이버 보안 위협, 예산 절감 또는 조직의 안전을 유지하기 위한 이사회의 압박 증가와 같은 문제는 오래 지속되고 증가하는 스트레스 요인 중 하나이며, 직원의 많은 부분을 잃어버리는 것입니다.
특히 이러한 스트레스가 높은 산업의 부족이 악화되고 있다는 점을 고려할 때, 인재 교체는 이러한 최고 정보 보안 책임자에게는 충분히 어려울 수 있습니다. 그러나 직원 이직률은 보안 책임자, 기업 리더, 이사회 구성원 및 사이버 보안 감독을 담당하는 기타 모든 사람에게 분명하지 않은 다른 문제를 야기할 수 있습니다.
근해 소프트웨어 개발 회사인 BairesDev의 CISO인 Pablo Riboldi는 “직원 교체뿐만 아니라 신뢰, 전문성 및 상황 인식을 재구축하는 것”이라고 말합니다.
“위협 환경이 빠르게 발전함에 따라 숙련된 직원을 잃는 것은 회사의 보안 안정성과 성장 태세를 약화시킬 수 있습니다.”라고 그는 말합니다. “경우에 따라 이직률은 잘못 구성된 시스템, 간과된 취약성 또는 위협 탐지 지연의 위험을 높일 수 있습니다.”
또한 사이버 보안을 위협하는 것은 위협 인텔리전스팀과 같은 일선 직원의 손실뿐만 아니라 또한 불안정성은 최고 재무 책임자, 최고 정보 책임자, 최고 기술 책임자와 같은 고위 경영진 또는 조직의 안전을 유지하는 데 중요한 역할을 할 수 있는 비즈니스 라인 리더의 이직에서 기인합니다.
CISO는 다른 고위 경영진을 계속 참여시키기 위해 할 수 있는 일에 제약이 있을 수 있지만, 보안 팀의 최종 이직에 대비하기 위해 이니셔티브를 취할 수 있습니다. 업계 통계에서 알 수 있듯이 이직률은 조만간 개선될 가능성이 없습니다.
보안팀 이직률에 주의를 기울여야 하는 이유
직원 채용 통계는 엄청나게 많다. 미국과 캐나다에서 조사한 500 명 이상의 사이버 보안 전문가 중 약 60%가 연구 기관 IANS Research와 임원 검색 회사 Artico가 2월에 발표한 2025 Cybersecurity 직원 보상 벤치마크 보고서에 따르면 직무 변경을 고려하고 있다고 말했다.
“직원을 교체하는 것뿐만 아니라, 그들과 함께 문을 여는 신뢰, 전문성 및 상황 인식을 재구축하는 것입니다.”파블로 리볼디, CISO, BairesDev
응답자의 1/3만이 고용주를 추천할 것이라고 말했으며, 40% 미만이 승진 기회에 만족했습니다. 보상은 현재 직무를 유지할지 여부에 있어 여전히 중요한 요인이지만, 조직 내에서 새로운 기술을 개발하고 발전시킬 수 있는 능력은 유지에 더 큰 영향을 미칩니다.
그리고 CISO는 자신이 가진 재능을 거의 잃지 않을 수 있습니다. 사이버 보안 인력 연구 2024 건에서 사이버 보안 전문가 협회 ISC2 는 활동 중인 글로벌 인력의 규모가 전년 대비 0,1%만 증가했음을 확인했습니다. The size of the workforce gap was 4,8 million worldwide, up 19% from the year earlier. And the total workforce needed to satisfy demand was 10,2 million, up 8,1%.
Riboldi는 “주요 인력의 빈번한 변경은 기관 지식의 격차를 남기고, 사고 대응 시간을 늦추며, 전략적 이니셔티브의 구현을 지연시킬 수 있습니다.”라고 말합니다.
[또한 읽기: CISO가 퇴사하면 어떻게 됩니까? 이 5 개의 승계 계획은 조직을 더 안전하게 유지해 줍니다]
Focal Point에서는 CISO 이직률 처리 방법부터 “CISO 성공 사례” 시리즈에 소개된 보안 책임자가 활용하는 특정 전략에 이르기까지 보안 부서가 원활하게 운영되도록 하는 다양한 방법을 살펴보았습니다. 우리는 증가하는 보안 팀 이직의 부담을 해결하는 방법에 대한 팁을 CISO 및 기타 전문가들에게 조사했습니다. 다음은 고려해야 할 6가지 모범 사례입니다.
1. 구조화된 지식 관리 프로세스 구축
때로는 더 큰 문제가 회사를 떠나는 사람들이 아닌 그들과 함께 하는 지식입니다.
“CISO는 중요한 보안 기능을 사전에 매핑하고... 내부 교차 교육 또는 즉시 사용 가능한 외부 인재 파이프라인을 통해 적용 범위를 보장해야 합니다.”Casey Marquette, Covenant Technologies CEO
Riboldi는 보안 절차, 시스템 구성 및 사고 대응 플레이북을 문서화하면 중요한 지식이 퇴사하는 개인에게 넘겨지지 않도록 합니다.
“중앙 집중식으로 정기적으로 업데이트되는 지식 베이스는 원활한 전환을 가능하게 하고 나머지 팀원들이 필요할 때 자신 있게 개입할 수 있도록 합니다.”라고 그는 말합니다. “모든 것을 기록하는 것이 중요합니다. 일이 한 번 발생한 경우 다시 발생할 수 있습니다.”
[또한 읽기: Barclays CISO가 규제 기관을 관리하는 방법]
기술 맵을 생성하면 회사가 직원 이직률을 처리하는 데 도움이 될 수 있습니다.라고 IT 및 사이버 보안 직원 채용 및 채용 서비스 제공업체인 Covenant Technologies의 CEO인 Casey Marquette는 조언합니다. “CISO는 사고 대응, ID 관리 및 클라우드 보안과 같은 중요한 보안 기능을 사전에 매핑하고[예:] 내부 교차 교육 또는 즉시 사용 가능한 외부 인재 파이프라인을 통해 적용 범위를 보장해야 합니다.” 계획이 없는 조직은 주요 플레이어가 예기치 않게 퇴장할 때 귀중한 시간, 즉 “종종 가시성”을 잃게 된다고 그는 말합니다.
2. 교차 교육 및 역할 중복에 투자
Riboldi는 조직이 보안 팀원이 서로의 책임을 다하도록 교차 교육을 받아야 한다는 데 동의합니다. “이는 팀의 유연성을 증가시킬 뿐만 아니라 누군가 퇴사할 때 운영 중단을 줄여줍니다.”라고 그는 말합니다.
“팀원들이 보안 기능 내에서 여러 역할을 이해하도록 장려하면 운영 연속성이 보장됩니다.”Anthony Nyberg, 사우스캐롤라이나 대학교 Darla Moore 경영대학원 최고경영자 승계 센터 소장
역할 중복은 또한 갑작스러운 전환 중에도 주요 기능을 유지하는 데 도움이 됩니다.
사우스캐롤라이나 대학교의 달라 무어 경영대학원 경영 승계 센터의 이사인 Anthony Nyberg는 “보안 기능 내에서 여러 역할을 이해하도록 팀원들을 격려하여 운영 연속성을 보장합니다.
3. 명확한 커뮤니케이션 채널 수립
투명한 커뮤니케이션은 신뢰를 구축하고 보다 원활한 전환을 촉진한다고 Nyberg는 덧붙입니다.
“C-suite 수준과 CISO의 기능 내에서 여러 역할이 이해하는 보안 계획에 대한 지속적인 평가와 적응이 있는 경우, 조직 전체는 진화하는 위협과 직원 변화에 더 잘 대비할 수 있습니다.”
CISO가 CEO와 이사회에 자신의 요구를 명확하게 전달해야 하는 것과 마찬가지로, 직원에게도 무언가를 하도록 요청받는 이유와 기대하는 결과를 전달해야 합니다. 직원들은 조직에서 보안을 강화하는 데 도움이 되는 의미 있는 일을 하고 있고 팀의 일원이라고 느껴야 합니다. 서로를 담당하는 직원은 궁극적으로 선형 및 비선형 발전 측면에서 자신에게 도움이 될 수 있는 새로운 기술을 배우고 있습니다.
[또한 읽기: IT 작업자가 사이버 공격의 표적이 되는 시대에는 명확한 커뮤니케이션이 중요합니다. 헬프 데스크에 오신 것을 환영합니다]
또한 커뮤니케이션은 경청을 의미합니다. CISO는 업무 흐름이 어떻게 진행되고 있으며 절차를 어떻게 개선할 수 있는지에 대한 피드백을 얻기 위해 직원과 확인해야 합니다.
4. 강력한 오프보딩 프로토콜 구현
조직은 기업 정보 및 절차 복구, 액세스 자격 증명 취소, 권한 있는 계정 감사 및 액세스 로그 검토를 포함하는 포괄적인 오프보딩 체크리스트를 수립해야 한다고 Riboldi는 말합니다. “이는 출발 후 데이터 유출 또는 무단 액세스를 방지하는 데 매우 중요합니다.”
Marquette는 보안 직원이 액세스 권한이 높은 경우가 많다고 말합니다. “오프보딩에는 모든 시스템에서 자격 증명 취소가 포함되어야 합니다.”
5. 외부 파트너십 활용
글로벌 기술 연구 및 자문 회사 ISG의 사이버 보안 실무 책임자인 Doug Saylors는 회사들은 상품 업무를 이러한 유형의 업무에서 탁월한 조직으로 전환하는 동시에 더 높은 기술을 갖춘 기능을 보완하기 위해 아웃소싱을 고려할 수 있다고 말합니다.
“서비스 제공자는 인재를 순환시키는 데 능숙하며, 필요한 경우 많은 리소스와 아이디어를 제공합니다.”Doug Saylors, 사이버보안 실무 책임자, ISG
Saylors는 “서비스 제공업체는 인재를 순환시키는 데 능숙하며 [a] 서비스 품질에 대한 계약 메커니즘을 제공합니다.”라고 말합니다. “이를 통해 내부 팀은 고부가가치 업무에 집중할 수 있으며 필요한 경우 대규모 리소스와 아이디어에 액세스할 수 있습니다.
[또한 원격 IT 직원을 채용하시겠습니까? 가짜 사기에 주의하십시오]
6. 민감한 데이터에 대한 고위 경영진의 액세스 평가
CEO가 퇴사하거나 CFO, CIO, CMO, CHRO 또는 기타 고위 경영진이 퇴사하는 경우 어떻게 합니까? 사이버 보안 데이터를 포함하여 회사에서 가장 민감한 데이터에 대한 액세스 권한을 자주 높인 사람들입니다.
CISO는 이러한 데이터가 회사를 떠날 때 경영진과 함께 문을 나서지 않도록 해야 합니다. 이는 ID 액세스 관리(IAM)의 핵심 부분으로, CISO가 어떤 경영진이 어떤 수준의 액세스 권한을 가지고 있고 어떤 프로젝트를 진행하고 있는지를 알 수 있도록 합니다. 임원이 고용되어 있는 동안 이러한 지식을 습득한다는 것은 보안 리더가 나중에 퇴사할 때 후속 조치를 취하지 않는다는 것을 의미합니다.
이는 CISO의 어깨에 추가적인 부담을 가중시킵니다. 보안 책임자가 임박한 경영진 변경에 대해 고지를 받아야 하므로, 출구가 발생할 때 더 잘 대비하고 강력한 오프보딩 프로토콜과 같은 적절한 조치를 취할 수 있습니다.
