Evolving Expectations and Structural Constraints of Cybersecurity Leadership: A Transatlantic Longitudinal Analysis of CISO Job Advertisements

모든 현대 조직은 디지털 생명력을 보호하기 위한 수호자, 즉 최고정보보호책임자(CISO)에 의존합니다. 이 인물은 기술, 비즈니스 전략, 그리고 리스크 관리의 교차점에 서서 민감한 데이터를 보이지 않는 위협으로부터 안전하게 지키는 임무를 맡습니다. 이 직무를 잘 수행하기 위해서는 시스템이 어떻게 작동하는지 이해할 수 있는 깊은 기술적 지식과, 경영진에게 이러한 리스크를 설명하고 어려운 결정을 내릴 수 있는 강력한 리더십 능력이라는 희귀한 기술의 조합이 필요합니다. 그러나 이들을 채용하는 방식에는 지속적인 문제가 존재합니다. 흔히 후보자를 유인하기 위해 작성된 직무 기술서가 실제 역할이 요구하는 현실이나 조직이 제공할 용의가 있는 지원 수준과 일치하지 않는 경우가 많습니다. 이러한 불일치는 신규 채용자가 첫 출근 전부터 혼란을 느끼고, 지원을 받지 못하며, 압도당하게 만들 수 있습니다.

뮌헨의 한 연구팀은 미국과 독일, 오스트리아, 스위스를 포함하는 DACH 지역의 실제 CISO 채용 공고를 조사함으로써 이러한 괴리 현상을 탐구하고자 했습니다. 그들은 2023년의 광고와 그 이후의 최신 광고 720개를 수집하여 비교했습니다. 그들의 목표는 단순히 기술을 세는 것이 아니라, 광고에서 약속하는 바가 전문가들이 알고 있는 직무의 압박 및 책임과 일치하는지 확인하는 것이었습니다. 그들은 학위와 경력 연수부터 보고 체계(CISO가 누구에게 보고하는지), 그리고 그들이 통제하는 예산에 이르기까지 모든 것을 조사했습니다. 연구진은 이 광고들을 기업이 진정으로 무엇을 기대하는지를 보여주는 창으로 취급함으로써, 조직 전체의 보안을 위험에 빠뜨릴 수 있는 진화하는 요구 사항과 구조적 모순에 대한 이야기를 밝혀냈습니다.

연구 결과, CISO에 대한 수요는 증가하고 있지만, 기업들이 역할을 정의하는 방식은 종종 일관성이 없고 때로는 모순적이라는 사실이 드러났습니다. 미국에서는 직무 광고가 비즈니스 통찰력, 재무 관리, 전략적 리더십을 점점 더 강조하고 있습니다. 미국의 기업들은 이사회에서 통용되는 언어로 말하고, 예산을 관리하며, 보안을 전반적인 사업 계획에 통합할 수 있는 CISO를 요구할 가능성이 더 높습니다. 반면, DACH 지역의 광고는 여전히 기술적 전문성에 크게 집중하고 있습니다. 이러한 광고들 역시 리더십을 언급하기는 하지만, 복잡한 기술 시스템과 특정 보안 표준을 다루는 후보자의 능력에 훨씬 더 강한 강조점을 둡니다. 이러한 지역적 격차는 미국 기업들이 CISO를 전략적 경영진으로 보는 반면, 유럽 기업들은 여전히 이 역할을 주로 고위 기술 전문가로 보고 있음을 시사합니다.

이러한 지역적 차이보다 아마 더 우려스러운 점은 시간이 흐르며 나타난 구조적 역설입니다. 연구진은 직무 광고가 책임을 더 많이 요구하면서도, 그 책임을 완수하는 데 필요한 권한은 부여하지 않는 경우가 늘어나고 있다는 사실을 발견했습니다. 2026년에는 더 많은 수의 광고가 CISO가 감독 업무, 즉 팀을 채용하고 관리할 책임을 진다는 점을 명시적으로 언급했습니다. 그러나 정작 동일한 광고에서 그 팀에게 급여를 지급하거나 도구를 구매하는 데 필요한 예산을 통제할 권한이 있다는 언급은 거의 없었습니다. 이는 마치 회사가 관리자에게 집을 짓고 일꾼을 고용하라고 요청하면서, 정작 은행 계좌의 열쇠를 주거나 자재를 구매할 권한은 거부하는 것과 같습니다. 이러한 명확성의 결여는 리더들이 결과물을 내놓으라는 요구는 받으면서도, 그 결과를 낼 수 있는 자원은 거부당하는 상황을 초래하며, 연구진은 이러한 역학 관계가 혼란과 번아웃으로 이어진다고 제안합니다.

불분명한 기대치가 초래하는 인간적 비용 또한 무시하기 어려워지고 있습니다. 연구는 직무 광고가 "스트레스 저항력"과 압박 속에서 일하는 능력을 점점 더 요구하고 있음에도 불구하고, CISO가 그 스트레스를 관리할 수 있도록 돕는 지원 체계가 무엇인지에 대해서는 거의 설명하지 않는다는 점에 주목했습니다. 코칭, 리더십 교육, 또는 사이버 위기 상황을 다루기 위한 명확한 프로토콜에 대한 언급은 거의 없습니다. 실제로, 사이버 공격은 언제든 발생할 수 있음에도 불구하고, 광고들은 CISO가 비상 상황 시 24시간 대기해야 하는지조차 명시하지 않는 경우가 많습니다. 이러한 침묵은 후보자들이 직무의 실질적인 성격을 추측하게 만들어, 잠재적으로 개인의 기대와 회사의 요구 사이의 불일치를 야기할 수 있습니다.

또 다른 중요한 발견은 최고위층으로 가는 경로와 관련이 있습니다. CISO가 효과적으로 기능하기 위해서는 CEO나 이사회와 같은 최고 경영진과의 직접적인 소통 경로가 필요합니다. 연구진은 DACH 지역의 직무 광고가 미국에 비해 직접 보고 체계를 명시하는 경우가 훨씬 더 많으며, 최고 경영진에게 직접 보고하는 비율이 유의미하게 높다는 것을 발견했습니다. 미국에서 CISO는 종종 최고정보책임자(CIO)와 같은 다른 부서를 통해 간접적으로 보고되는 것으로 묘사됩니다. 이러한 간접적인 구조는 이해 상충을 일으킬 수 있는데, 보안을 책임지는 사람이 자신이 감사해야 할 기술 시스템을 담당하는 사람에게 보고하게 되기 때문입니다. 연구는 이러한 보고 체계가 CCI가 권력에 맞서 진실을 말하고 필요한 보안 조치를 옹호하는 능력을 약화시킬 수 있다고 시사합니다.

데이터는 또한 기업들이 추구하는 자격 요건의 변화를 보여줍니다. 과거에는 직무 광고가 순수하게 기술적인 학위를 선호했으나, 2026년에는 비즈니스 학위와 폭넓은 전문 경력을 가치 있게 여기는 뚜렷한 변화가 나타났습니다. 기업들은 보안 팀을 이끄는 데 코딩을 아는 것 이상의 것, 즉 비즈니스가 어떻게 수익을 창출하는지 이해하고 사람을 관리하는 능력이 필요하다는 점을 깨닫기 시작했습니다. 그러나 요구되는 경험과 교육 수준이 더욱 엄격해졌음에도 불구하고, 급여와 자원에 대한 투명성은 그 속도를 따라가지 못했습니다. 많은 직무 광고가 여전히 모호한 급여 범위를 나열하거나 보상 세부 사항을 완전히 누락하고 있으며, DACH 지역의 경우 기재된 급여가 국제 기준보다 낮은 경우가 많습니다. 이러한 명확성 부족은 고도로 숙련된 후보자들의 지원을 저해하여, 조직이 이 중요한 역할을 채우기 위한 선택지를 줄어들게 만들 수 있습니다.

궁극적으로, 연구진은 기업이 직무 광고를 작성하는 방식이 그 조직의 의도를 나타내는 신호라고 주장합니다. 광고가 모호하거나, 모순되거나, 업무의 현실과 일치하지 않을 때, 기업은 채용 과정이 시작되기도 전에 실패의 발판을 마련하게 됩니다. 이 연구는 모든 CISO가 정확히 이러한 조건에 처해 있다고 주장하는 것이 아니라, 고용 전의 약속이 운영상의 현실과 일치하지 않는 광범위한 패턴을 조명하고 있습니다. 이를 해결하기 위해 저자들은 조직이 직무 게시물에 더 정직하고 구체적이어야 한다고 제안합니다. 권한의 범위, 가용 자원, 그리고 CISO가 직면할 도전의 실질적인 성격을 명확히 정의해야 합니다. 그렇게 함으로써, 기업은 역할에 진정으로 준비된 후보자를 유인할 수 있으며, 조직과 그 구성원 모두를 보호할 수 있는 효과적인 리더십의 토대를 구축할 수 있습니다.