제2장 · 정보보호 위험관리 거버넌스
2장은 ISRM 시험에서 가장 많은 오답이 나오는 장입니다. CISO와 CPO의 자격요건 숫자를 헷갈리고, 겸직금지 기준을 뒤바꾸고, 위원회 구성을 잘못 외웁니다.
이 장의 핵심은 세 가지입니다. 첫째, 거버넌스의 3대 목표(책임성·비즈니스연계성·준거성)가 왜 필요한지 이해할 것. 둘째, CISO 자격요건 6가지를 정확한 숫자와 함께 외울 것. 셋째, 위원회 구성은 누가 위원장인지, 위원회와 협의체의 차이를 구분할 것.
법령 조문의 숫자 하나가 정답과 오답을 가릅니다. 빠르게 읽되 숫자와 조건은 반드시 정확하게 잡아야 합니다.
이 장의 핵심은 세 가지입니다. 첫째, 거버넌스의 3대 목표(책임성·비즈니스연계성·준거성)가 왜 필요한지 이해할 것. 둘째, CISO 자격요건 6가지를 정확한 숫자와 함께 외울 것. 셋째, 위원회 구성은 누가 위원장인지, 위원회와 협의체의 차이를 구분할 것.
법령 조문의 숫자 하나가 정답과 오답을 가릅니다. 빠르게 읽되 숫자와 조건은 반드시 정확하게 잡아야 합니다.
제1절 정보보호 위험관리 거버넌스 개요
거버넌스(Governance)는 단순히 CISO를 임명하고 정책서를 만드는 것이 아닙니다. 정보보호 활동이 조직의 비즈니스 목표와 연계되고, 법과 내부 기준을 준수하며, 결과에 대한 책임이 명확한 체계를 만드는 것입니다.
1.1 정보보호 거버넌스의 3대 목표
책임성
Accountability
정보보호 활동 성과에 대해 누가 책임지는지를 명확히 구분. 조직원의 역할·지위·책임을 정의하여 자율적·적극적 통제 환경 구축.
비즈니스 연계성
Business Alignment
정보보호 전략과 비즈니스 목표를 연계. 정보보호를 기술 문제가 아닌 비즈니스 이슈로 인식. 정보보호의 비즈니스 가치 극대화.
준거성
Compliance
정보보호 활동이 법·내부 규정에 따라 수행되는지 확인. 관련 법규·규제 요구사항을 준수하도록 보장.
🎯 출제 포인트
"조직원의 역할을 명확히 정의하여 자율적·적극적 통제 환경을 구축"하는 거버넌스 목표는?→ 책임성(Accountability) — 비즈니스 연계성이나 준거성으로 혼동하지 말 것.
"정보보호 활동이 법과 각종 규제에 따라 이행되고 있는지 점검"하는 목표는?
→ 준거성(Compliance) — Compliance는 비즈니스 연계성과 자주 혼동됨.
1.2 거버넌스 조직 구성 및 역할
ISO/IEC 27001 기반의 정보보호 거버넌스 구조에서 각 계층의 역할을 정확히 구분해야 합니다. 시험에서는 특정 역할 설명이 어느 계층에 해당하는지를 묻습니다.
| 조직 계층 | 핵심 역할 (시험 출제 키워드) |
|---|---|
| 최고 경영진 CEO, 이사회 |
• 정보보호를 위한 총괄 책임 • 보안 정책·절차에 대한 방향 설정 • 보안 활동을 위한 자원 제공 • 위험관리 문화 조성 • 내외부 감사를 통한 보증 활동 수행 • 보안 프로그램의 효과성 감독 |
| 경영진 부서장, 임원 |
• 정보보안 거버넌스 이행 • 비즈니스를 고려하여 보안정책 개발 • 책임 및 역할을 정의하고 의사소통 진행 • 위협과 취약점 식별 • 보안 인프라 구축 |
| CISO / CPO 정보보안 책임자 |
• 정보보안 정책에 대한 실무적 개발과 보증 • 보안 자원 모니터링 실무 • 정책·표준·대책·실무 절차를 설계·구현·관리·조사 |
| 기타 구성원 |
• 데이터 관리자: 데이터 정확성·무결성 유지 • 기술지원 인력: 보안대책 구현에 대해 조언 • 정보시스템 감사자: 독립적 입장에서 관리자에게 보증 |
🎯 계층 구분 출제 포인트
"정보보호를 위한 총괄 책임 + 방향 설정 + 위험관리 문화 조성" → 최고 경영진"거버넌스 이행 + 비즈니스를 고려한 보안정책 개발 + 위협·취약점 식별" → 경영진
최고 경영진과 경영진을 혼동하는 문제가 자주 출제됩니다. "총괄 책임"은 최고 경영진, "이행"은 경영진이 핵심 구분어입니다.
제2절 CISO (정보보호 최고책임자) 지정과 역할
CISO는 정보통신망법 제45조의3에 법적 근거를 두고 있습니다. 기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 업무를 총괄하는 최고책임자로, 정보보호 관련 업무에 대한 최종 결정권·책임·예산·인사에 대한 직접적 권한을 가집니다.
2.1 지정·신고 의무 대상 3분류
모든 정보통신서비스 제공자가 동일하게 적용되는 것이 아닙니다. 기업 규모와 유형에 따라 3단계로 구분됩니다.
| 분류 | 대상 기준 | 지정 방법 | 비고 |
|---|---|---|---|
| ① 신고 의무 제외 |
• 자본금 1억원 이하 • 중소기업기본법상 소기업 • 전기통신사업자·ISMS의무대상·개인정보처리자·통신판매업자에 해당하지 않는 중기업 |
별도 신고 없이 사업주 또는 대표자가 자동 지정 |
정보보호 공백 방지 |
| ② 일반 신고 의무 | 제외 대상이 아닌 중기업 이상 (단, 전기통신사업자·ISMS의무대상·개인정보처리자·통신판매업자는 의무) |
부서의 장 이상으로 지정하여 과기정통부에 신고 | 일반 자격요건 충족 필요 |
| ③ 겸직금지 대상 |
• 직전 사업연도 말 자산총액 5조원 이상 • ISMS 인증의무대상 중 자산총액 5천억원 이상 |
이사(상법상)로 지정 상근직 의무 |
일반 + 특수 자격요건 모두 충족 |
🎯 겸직금지 기준 — 가장 많이 틀리는 숫자
겸직금지 대상: 자산총액 5조원 이상 또는 ISMS 의무대상 중 자산총액 5천억원 이상❌ 자주 나오는 오답: "임원급으로 지정" → 틀림! 겸직금지 대상은 반드시 이사(상법 제401조의2 또는 제408조의2 집행임원)로 지정
❌ "비상근도 가능" → 틀림! 겸직금지 대상은 상근직 의무
❌ "CIO가 정보보호 업무 포괄하여 겸직 가능" → 틀림! CIO는 겸직 불가능
2.2 CISO 일반 자격요건 6가지
일반 신고 의무 대상 CISO는 아래 6가지 중 1가지 이상을 충족하면 됩니다. 각 요건의 연수·학위·경력 숫자가 시험에 그대로 출제됩니다.
| 번호 | 자격요건 | 핵심 숫자 |
|---|---|---|
| ① | 정보보호 또는 정보기술 분야의 석사학위 이상 취득 | 석사 이상 |
| ② | 정보보호 또는 정보기술 분야의 학사학위 취득 후 3년 이상 관련 업무 경력 | 학사 + 3년 |
| ③ | 정보보호 또는 정보기술 분야의 전문학사학위 취득 후 5년 이상 관련 업무 경력 | 전문학사 + 5년 |
| ④ | 정보보호 또는 정보기술 분야에서 10년 이상 업무 경력 | 10년 |
| ⑤ | 정보보호 관리체계(ISMS-P) 인증심사원 자격 취득 | ISMS-P 심사원 |
| ⑥ | 해당 정보통신서비스 제공자 소속으로 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무 경력 | 부서의 장 + 1년 |
🎯 자격요건 오답 선택지
"전문학사 취득 후 6년 이상" → 오답! 정답은 5년"개인정보 영향평가 전문인력 자격" → 오답! CISO 자격요건에 없음. CPO의 경력인정 고시에는 있음.
"정보보호 또는 정보기술 학사 + 5년" → 오답! 학사는 3년. 5년은 전문학사 기준.
2.3 CISO 특수 자격요건 (겸직금지 대상만 추가 적용)
⚠️ 겸직금지 대상 기업 전용
일반 자격요건에 추가로 모두 충족해야 하는 특수 요건
다음 두 가지 경력 요건 중 하나를 충족해야 합니다:
① 정보보호 분야의 업무를 4년 이상 수행한 경력
② 정보보호 분야와 정보기술 분야의 업무 경력 합산 5년 이상 (단, 2년 이상은 반드시 정보보호 분야)
그리고 무조건 충족 필요: 상근직으로 근무
① 정보보호 분야의 업무를 4년 이상 수행한 경력
② 정보보호 분야와 정보기술 분야의 업무 경력 합산 5년 이상 (단, 2년 이상은 반드시 정보보호 분야)
그리고 무조건 충족 필요: 상근직으로 근무
🎯 특수 자격요건 출제 포인트
"정보보호 + 정보기술 합산 4년" → 오답! 합산은 5년 이상"합산 5년 이상이면 정보보호 분야 1년이어도 됨" → 오답! 합산 5년 중 정보보호 2년 이상 필수
2.4 CISO 업무 — 총괄 업무 vs 겸직 가능 업무
정보통신망법 제45조의3 제4항이 CISO 업무를 두 가지로 구분합니다. "총괄 업무"는 CISO 고유 업무이고, "겸직 가능 업무"는 예외적으로 허용되는 겸임 범위입니다.
총괄 업무 (4가지)
정보통신망법 제45조의3 제4항 제1호
가. 정보보호 계획의 수립·시행 및 개선
나. 정보보호 실태와 관행의 정기적인 감사 및 개선
다. 정보보호 위험의 식별·평가 및 정보보호 대책 마련
라. 정보보호 교육과 모의훈련 계획의 수립 및 시행
나. 정보보호 실태와 관행의 정기적인 감사 및 개선
다. 정보보호 위험의 식별·평가 및 정보보호 대책 마련
라. 정보보호 교육과 모의훈련 계획의 수립 및 시행
겸직 가능 업무 (5가지)
정보통신망법 제45조의3 제4항 제2호
가. 정보보호 공시에 관한 업무 (정보보호산업법 제13조)
나. 정보통신기반보호법상 정보보호책임자 업무
다. 전자금융거래법상 정보보호최고책임자 업무
라. 개인정보보호법상 CPO 업무 (제31조제2항)
마. 그 밖에 관계 법령에 따라 정보보호를 위해 필요한 조치
나. 정보통신기반보호법상 정보보호책임자 업무
다. 전자금융거래법상 정보보호최고책임자 업무
라. 개인정보보호법상 CPO 업무 (제31조제2항)
마. 그 밖에 관계 법령에 따라 정보보호를 위해 필요한 조치
🎯 CISO 업무 구분 출제 포인트
"취약점 분석·평가를 위한 자체 전담반 구성"은 CISO 업무인가?→ 오답! 이것은 정보통신망법이 아닌 전자금융감독규정의 요구사항.
CISO는 CPO를 겸직할 수 있는가? → 가능! (겸직 가능 업무 라목)
CIO가 CISO를 겸직할 수 있는가? → 불가! 겸직금지 대상 기업에서 CIO의 CISO 겸직은 금지.
🔵 심사원 관점 (ISMS-P 30회 경험)
심사 현장에서 가장 자주 발견하는 CISO 관련 결함은 두 가지입니다. 첫째, CISO를 형식적으로만 지정한 경우입니다. 대표이사가 CISO를 겸직하거나, 직무와 무관한 임원을 CISO로 올려놓고 실제 업무는 부하 직원이 처리합니다. ISMS-P 인증기준에서는 실질적인 예산·인사 권한을 갖고 있어야 한다고 보기 때문에, 이런 경우 반드시 결함이 납니다. 둘째, 겸직금지 대상 기업인데도 CISO가 사업부 총괄 역할을 동시에 수행하는 경우입니다. 정보통신망법 위반이면서도 "원래부터 그렇게 해왔다"며 관행으로 굳어진 곳을 여럿 봤습니다.
제3절 CPO (개인정보 보호책임자) 지정과 역할
CPO는 개인정보보호법 제31조에 근거합니다. 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 CPO를 지정해야 합니다. 2023년 시행령 개정으로 대규모 처리자는 전문 CPO 자격요건이 추가됐습니다.
3.1 CPO 일반 자격요건 — 기관 유형별
| 기관 유형 | CPO 직위 요건 |
|---|---|
| 공공기관 — 중앙행정기관 및 소속기관 국회·법원·헌법재판소·중앙선관위 |
고위공무원 또는 이에 상당하는 공무원 |
| 공공기관 — 시·도 및 시·도 교육청 | 3급 이상 공무원 또는 이에 상당하는 공무원 |
| 공공기관 — 시·군 및 자치구 | 4급 이상 공무원 또는 이에 상당하는 공무원 |
| 각급 학교 | 해당 학교의 행정사무를 총괄하는 사람 |
| 공공기관 이외 (민간기업, 법인, 단체) | 사업주 또는 대표자나 임원으로 지정 (임원이 없는 경우: 개인정보 처리 관련 업무를 담당하는 부서의 장) |
🎯 가장 많이 틀리는 항목
시·군·자치구 CPO 직위 → 4급 이상 (시·도는 3급, 자치구는 4급 — 1급 차이 주의!)"CPO는 반드시 임원이어야 한다" → 오답! 임원이 없으면 부서의 장도 가능.
"CPO는 외부 전문가로 지정 가능하다" → 오답! CPO는 내부자만 가능 (GDPR의 DPO와 다름).
3.2 전문 CPO 자격요건 — 2023년 시행령 개정
⚠️ 대규모 처리자 전용 (2023년 신설)
전문 CPO 적용 대상
다음 중 하나에 해당하면 전문 CPO 자격요건 적용:
① 연 매출액 또는 수입이 1,500억원 이상인 자로서, 100만명 이상 개인정보 또는 5만명 이상 민감·고유식별정보를 처리하는 자
② 재학생 수 2만명 이상인 대학
③ 대규모 민감정보(건강정보)를 처리하는 상급종합병원
④ 공공시스템운영기관
① 연 매출액 또는 수입이 1,500억원 이상인 자로서, 100만명 이상 개인정보 또는 5만명 이상 민감·고유식별정보를 처리하는 자
② 재학생 수 2만명 이상인 대학
③ 대규모 민감정보(건강정보)를 처리하는 상급종합병원
④ 공공시스템운영기관
✅ 전문 CPO 자격요건
개인정보보호법 시행령 별표 1
개인정보보호 경력 + 정보보호 경력 + 정보기술 경력을 합하여 총 4년 이상 보유
그 중 개인정보보호 경력을 최소 2년 이상 보유 (필수)
그 중 개인정보보호 경력을 최소 2년 이상 보유 (필수)
경력 인정 방법: 학위만 있어도 일정 기간을 경력으로 인정합니다.
박사학위 → 2년 인정 / 석사학위 → 1년 인정 / 학사학위 → 6개월 인정
ISMS-P 인증심사원 자격, 개인정보 영향평가 전문인력 → 1년 인정 (CPO 경력으로만, CISO와 다름)
박사학위 → 2년 인정 / 석사학위 → 1년 인정 / 학사학위 → 6개월 인정
ISMS-P 인증심사원 자격, 개인정보 영향평가 전문인력 → 1년 인정 (CPO 경력으로만, CISO와 다름)
🎯 CPO 자격요건 오답 선택지
"총 3년 이상" → 오답! 4년 이상"개인정보보호 경력 1년 이상" → 오답! 2년 이상 필수
"개인정보 영향평가 전문인력 → CISO 자격 인정" → 오답! 영향평가 전문인력은 CPO 경력 인정에만 해당.
3.3 CPO 주요 업무 7가지
- 개인정보보호 계획의 수립 및 시행
- 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
- 개인정보 처리와 관련한 불만의 처리 및 피해 구제
- 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축
- 개인정보 보호 교육 계획의 수립 및 시행
- 개인정보파일의 보호 및 관리·감독
- 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정하는 업무
제4절 CISO vs CPO 핵심 비교
두 직위의 법적 근거·자격요건·업무 범위가 다릅니다. 특히 "CISO는 CPO를 겸직할 수 있다"는 규정과 "CPO는 내부자만"이라는 점을 정확히 기억해야 합니다.
| 비교 항목 | CISO 정보보호 최고책임자 | CPO 개인정보 보호책임자 |
|---|---|---|
| 법적 근거 | 정보통신망법 제45조의3 | 개인정보보호법 제31조 |
| 의무 대상 | 정보통신서비스 제공자 (규모별 차등) | 모든 개인정보처리자 |
| 지위 | 임원급 (겸직금지는 이사급 필수) | 임원급 이상 (임원 없으면 부서의 장) |
| 외부 지정 | ❌ 불가 (내부자만) | ❌ 불가 (내부자만) |
| 독립성 보장 | 별도 규정 없음 | 독립적 업무 수행 보장 (법 제31조 제6항) |
| 업무 중점 | 기술적 보호조치 중심 | 관리적 보호조치 중심 |
| 미지정 제재 | 과태료 | 1천만원 이하 과태료 |
| 겸직 관계 | 경우에 따라 CPO 겸직 가능 | CISO에 의해 겸직될 수 있음 |
GDPR DPO와 비교: DPO(Data Protection Officer)는 외부 전문가 지정이 가능하고 독립성·해고금지가 법적으로 보장됩니다. 반면 한국의 CPO는 내부자만 가능하고 독립성 보장이 상대적으로 약합니다. 이 차이를 묻는 문제도 출제됩니다.
제5절 CISO·CPO의 의사결정·예산 체계 수립
CISO와 CPO를 지정하는 것만으로는 부족합니다. 이들이 실질적으로 의사결정을 할 수 있는 체계가 갖춰져야 합니다.
ISMS-P 인증기준
의사결정 체계 수립을 위한 핵심 요건
① CISO와 CPO를 예산·인력 등 자원을 할당할 수 있는 임원급으로 지정
② 인사발령 등 절차를 통하여 공식적으로 지정 (당연직이면 정책서에 직위 명시)
③ 경영진이 정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고·검토·승인 절차 수립·이행
④ 위원회를 구성하여 조직 전반의 주요 사안에 대해 검토·승인·의사결정
⑤ 실무 협의체를 구성하여 전사적 정보보호 활동 지원
② 인사발령 등 절차를 통하여 공식적으로 지정 (당연직이면 정책서에 직위 명시)
③ 경영진이 정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고·검토·승인 절차 수립·이행
④ 위원회를 구성하여 조직 전반의 주요 사안에 대해 검토·승인·의사결정
⑤ 실무 협의체를 구성하여 전사적 정보보호 활동 지원
5.1 위원회 vs 협의체 — 역할 구분
| 구분 | 위원회 | 협의체(실무) |
|---|---|---|
| 구성 | 경영진, 임원, CISO, CPO 등 실질적 검토·의사결정 권한이 있는 임직원 |
정보보호 담당자 및 부서별 담당자 |
| 역할 | 조직 전반 주요 사안 검토·승인·의사결정 |
실무 차원 공유·조정·검토·개선 필요시 위원회에 상정 |
| 개최 | 정기 또는 사안에 따라 수시 | 필요 시 |
| 위원장 | CISO (위원: 각 부서 업무팀장) | — |
📋 위원회 의사결정 필요 주요 사안
다음 사안은 반드시 위원회에 상정해야 함
• 정보보호 및 개인정보보호 정책·지침의 제·개정
• 위험평가 결과
• 정보보호 및 개인정보보호 예산 및 자원 할당
• 내부 보안사고 및 주요 위반사항에 대한 조치
• 내부감사 결과
• 위험평가 결과
• 정보보호 및 개인정보보호 예산 및 자원 할당
• 내부 보안사고 및 주요 위반사항에 대한 조치
• 내부감사 결과
🎯 위원회 관련 자주 틀리는 문제
"정보보호위원회 구성 시 CISO를 위원장으로, CPO를 위원으로 구성한다" → 오답!정답: 위원회는 CISO를 위원장으로, 각 부서 업무팀장을 위원으로 구성.
"내부감사 결과 및 위험평가 결과에 대한 보안대책 수립이 위원회 의사결정 사항이다" → 오답!
위원회 역할은 검토·승인·의사결정이지, 보안대책 수립(실무) 자체가 아님.
제6절 정보보호 계획·위험관리·보호대책 수립
6.1 정보보호 계획 수립의 범위 설정
- 관리체계 범위에는 사업(서비스)과 관련된 임직원, 정보시스템, 정보, 시설 등 유·무형의 핵심자산을 누락 없이 포함
- ISMS 의무대상자는 법적 요구사항에 따른 정보통신서비스 및 관련 정보자산을 의무적으로 범위에 포함
- 예외사항이 있을 경우 명확한 사유 및 관련자 협의·책임자 승인 등 근거 기록·관리
- 범위 확인을 위해 주요 서비스 현황·정보시스템 목록·네트워크 구성도·외주업체 현황 등 문서 작성·관리
6.2 위험관리 5단계 프로세스
① 전략·계획
수립
수립
→
② 위험 구성요소
분석(식별)
분석(식별)
→
③ 위험평가
방법론 선정·평가
방법론 선정·평가
→
④ 보호대책
선정
선정
→
⑤ 구현계획
수립·이행
수립·이행
🎯 위험관리 단계 순서 출제
위험관리의 올바른 순서: 식별 → 평가 → 처리 → 잔여위험 관리"위험평가 → 위험 식별 → 위험 처리"처럼 순서가 바뀐 선택지는 오답입니다.
✅ 위험관리의 정의
목표: 수용 가능한 목표위험수준(DoA) 유지
조직의 자산에 대한 위험을 수용 가능한 수준으로 유지하기 위하여, 자산에 대한 위협과 취약성을 분석하여 위험을 평가하고 이로부터 자산을 보호하기 위한 비용 대비 효과적인 정보보호 대책을 마련하는 일련의 과정.
※ ISMS 관련 위험관리 활동에 포함되지 않는 것: 자산 매각 계획 수립
※ ISMS 관련 위험관리 활동에 포함되지 않는 것: 자산 매각 계획 수립
핵심 조문 번호 정리
📋 2장 관련 핵심 조문
| 법령 | 조문 | 핵심 내용 |
|---|---|---|
| 정보통신망법 | 제45조의3 | CISO 지정·신고·겸직금지·업무 규정. 시험 최다 출제 조문. |
| 정보통신망법 시행령 | 제36조의7 | CISO 지정 및 겸직금지 기준 상세. 자격요건 규정. |
| 정보통신망법 시행령 | 제36조의8 | CISO 신고 방법 및 절차. |
| 개인정보보호법 | 제31조 | CPO 지정 의무. 1항(지정), 6항(독립적 업무 수행 보장), 9항(전문 CPO). |
| 개인정보보호법 시행령 | 별표 1 | 전문 CPO 경력 인정 요건. 학위별 인정기간 규정. |
| 개인정보 보호책임자 경력 인정에 관한 고시 |
별표 | ISMS-P 심사원·영향평가 전문인력 → 1년 인정. 정보보안기사 → 6개월 인정. |
🔍 3장으로 가기 전 점검 — 이 3가지를 말할 수 있는가?
①
CISO 겸직금지 대상 기준 두 가지와, 겸직금지 대상이 되면 어떤 직위로 지정해야 하는가?
자산총액 5조원 이상 / ISMS 의무대상 중 자산총액 5천억원 이상 → 반드시 상법상 이사(또는 집행임원)로 지정. 단순 임원급 지정은 불가.
②
전문 CPO 자격요건의 총 경력 연수와 개인정보보호 경력 최소 연수는?
합산 4년 이상, 그중 개인정보보호 경력 2년 이상 필수. "3년+1년" 등 헷갈리는 조합은 오답. 개인정보보호를 2년 채우지 못하면 합산이 아무리 많아도 불가.
③
정보보호위원회와 실무협의체의 역할 차이는? 위원회 위원장은 누구인가?
위원회: 경영진·임원·CISO·CPO 구성 → 검토·승인·의사결정. 실무협의체: 담당자·부서별 담당자 구성 → 공유·조정·검토·개선. 위원회 위원장: CISO (위원은 각 부서 업무팀장, CPO가 위원이 아님).