🔒 IT 보안 업무 쟁점 관리 강화 검토

📊 Executive Summary

📚 목차

1. 배경: 우리가 하는 IT 보안 업무

1.1 조직 간 역할 분담

조직	역할
아키텍처&인프라팀	기술적 조언 및 실제 운영
정보보안팀	정책 수립 및 심사 주관

1.2 주요 업무 영역

(1) 예산 및 인증

• 보안 예산 수립 및 투자/판관비 집행
• 인증 심사 시 전체 공통 및 인프라 영역 전담 대응

(2) 취약점 관리

• 상시 취약점 진단/대응 자체 운영
• 정기적/이벤트적 그룹사 취약점 진단 대응

(3) 거버넌스 운영

• 시스템적 반영: 컨트롤타워, 솔루션 설치, 실시간 관제, 모니터링/알람
• 프로세스적 반영: 아키텍처 리뷰, 사전 보안성 검토 안내

(4) 유관 부서 협업

• 개발팀, 정보보안팀, 기획팀 보안 관련 요청/검토 사항 follow-up

1.3 관리 인프라 범위

인프라 영역	기술 스택	협업 조직
서비스 인프라	AWS + IDC	I&C 정보보안팀
데이터 인프라	GCP + IDC DP	I&C 클라우드BIZ담당
오피스 인프라	MS 365 + IDC	I&C 네트워크보안팀

2. 핵심 이슈 분석

이슈 1: 조직 사일로 & 그레이 영역

조직 구조

I&C 정보보안센터

• 시스템보안팀, 네트워크보안팀과 협업 중
• 원활한 프로세스 성립되었으나 실무자 선 제약 잔존

I&C 클라우드BIZ담당

• 데이터센터, 퍼블릭클라우드 담당 보안 솔루션/영역 운영
• 융합보안사업팀: 솔루션 구매/계약/설치 지원

I&C 보안대응 TF

• 최근 보안 사고로 신설
• 실질적 보안성 강화 효과에 대한 실무 레벨 회의감 존재

이슈 2: 예산 없는 신규 보안 지침

구체적 사례

1. 전 서버 DBSafer 설치
   • 기존 투자 당위성 판단으로 예산 미확보
   • 신규 지침으로 설치 요구되나 예산 없음
2. 파트너사 VPN 끊김
   • 출처 불명 정보보안 지침
   • 사후 대응으로 업무 진행 제약, 피로감

이슈 3: 불명확한 요청 경로

3. 영향 분석: 이대로 가면?

단기 영향 (1-3개월)

• ❌ 신규 보안 지침 대응 지연
• ❌ 실무 담당자 업무 피로도 증가
• ❌ 보안 강화 효과 미흡

중기 영향 (3-6개월)

• ❌ 예산 없는 보안 요구사항 누적
• ❌ 조직 간 갈등 심화
• ❌ 보안 취약점 방치 가능성

장기 영향 (6개월 이상)

• ❌ 보안 사고 발생 시 책임 소재 불명확
• ❌ 인증 심사 시 지적 사항 증가
• ❌ 전체 보안 거버넌스 신뢰도 하락

4. 제안 방안

방안 1: 작업 요청 경로 일원화

현재 (As-Is)

I&C 정보보안센터 ─┐
I&C 클라우드BIZ담당 ─┼→ 이마트 정보보안팀 → 아키텍처&인프라팀
I&C 보안대응 TF ─┘

개선 (To-Be)

모든 보안 요청 → 이마트 정보보안팀 (단일 창구) → 아키텍처&인프라팀

방안 2: 예산 확보 프로세스 수립

제안 프로세스

1. 분기별 보안 지침 사전 공유 (I&C → 이마트 정보보안팀)
2. 예산 영향 분석 (아키텍처&인프라팀)
3. 예산 확보 주체 결정 (정보보안팀 vs IT담당)
4. 차년도 예산 반영 또는 긴급 예산 요청

예산 확보 주체 기준

보안 지침 유형	예산 확보 주체	근거
그룹사 공통 지침	I&C 또는 그룹사	전사 공통 적용
이마트 자체 강화	이마트 IT담당	자체 보안 강화
법규/인증 필수	이마트 정보보안팀	컴플라이언스

방안 3: 정기 협의체 운영

제안 구조

• 월 1회 정기 회의: 이마트 정보보안팀 + 아키텍처&인프라팀
• 분기 1회 확대 회의: I&C 정보보안센터 + 클라우드BIZ담당 포함

안건

1. 신규 보안 지침 사전 공유
2. 진행 중인 보안 프로젝트 현황
3. 그레이 영역 의사결정
4. 예산 집행 현황 및 계획

5. 다음 단계 (Action Items)

즉시 실행 (1주 내)

• ☐ 이마트 정보보안팀과 협의 (작업 요청 경로 일원화)
• ☐ I&C 정보보안센터와 협의 (분기별 보안 지침 사전 공유)

단기 실행 (1개월 내)

• ☐ 예산 확보 프로세스 문서화
• ☐ 정기 협의체 운영 규정 수립
• ☐ 첫 정기 회의 개최

중기 실행 (3개월 내)

• ☐ 그레이 영역 의사결정 기준 수립
• ☐ 보안 업무 역할/책임 매트릭스 작성
• ☐ 위키 문서 업데이트

부록: 상세 현황

A. 보안 비용 구조

그룹사 공통 보안 비용 (매월 판관비)

라이선스 비용

전산 수수료

계약 상세

B. 인프라별 보안 업무 상세

(1) 서비스 인프라 (AWS + IDC)

• 이마트 자체 보안 거버넌스 수립 완료
• 문서화, 시스템화, 프로세스화 완료
• I&C 정보보안팀과 협업 (Hybrid Network, 3rd Party 솔루션)
• 보안 관제 업무 안정화, I&C 업무 최소화

(2) 데이터 인프라 (GCP + IDC DP)

• IDCDP: DataFabric IDC 서버/네트워크/보안 장비 운영
• GCP: 25년 업무 이관, 보안성 강화 기반 구축
  • 운영 현행 분석
  • 아키텍처 현행화
  • 가시성 확보

(3) 오피스 인프라 (MS 365 + IDC)

• 본사/점포 유무선 네트워크
• 임직원 PC 보안 (VPN/VDI 등)
• MS Copilot 에코시스템

📄 문서 정보

• 원본: Confluence 페이지
• 작성일: 2026-01-20
• 작성자: 최은봉(팀장) - IT담당 아키텍처&인프라팀
• 버전: 1.0 (분석 및 재구성)