[토스] 내부감사 담당자 (개인정보) (Internal Auditor) 공고 분석

이 자리가 왜 생겼을까요

1하게 될 업무

• 토스와 계열사의 개인(신용)정보 처리 리스크를 평가하고, 감사 대상과 우선순위를 정해 연간 감사 계획과 개별 감사 계획을 수립합니다.

  이렇게 볼 수 있어요

  이 포지션은 감사 계획 단계부터 맡습니다. 팀 소개가 연간 감사 계획에 따라 업무, 재무, IT, 보안, 개인정보 등 여러 분야를 점검한다고 적었으므로 개인정보 분야는 다른 분야와 우선순위를 다투며 계획에 올라갑니다. 리스크 점수 기준(처리 건수, 민감도, 외부 제공 여부)을 직접 만든 경험이 있다면 기준 항목과 감사 대상 선정 결과가 계획 수립 경험의 크기를 보여 줍니다.

• 서비스와 데이터 흐름을 따라 개인정보의 수집·이용·제공·보관·파기 전 과정이 관련 법령, 동의 내용, 내부 정책에 맞게 운영되는지 감사합니다.

  이렇게 볼 수 있어요

  기준이 법령, 동의 내용, 내부 정책 세 겹입니다. 법령에 맞아도 동의서 문구와 실제 처리가 다르면 지적 사항이 되므로 동의서와 시스템 처리를 대조해 본 경험이 이 업무에 가깝습니다. 토스 Privacy Manager (AI) 공고는 같은 단계별 현업 업무 처리의 적정성을 검토하는 쪽이고, 이 공고는 그 운영까지 독립적으로 점검하는 쪽입니다.

• 개인정보 처리의 근거와 목적, 수집·이용·제공 동의, 처리 위탁과 제3자 제공, 국외 이전, 자동화된 결정에 대한 대응권을 포함한 정보주체 권리 보장 등 주요 영역의 통제 설계와 운영 효과를 평가합니다.

  이렇게 볼 수 있어요

  통제의 설계 평가와 운영 효과 평가는 서로 다른 일입니다. 설계는 통제가 규정에 있는지를, 운영 효과는 그 통제가 실제로 작동했는지를 봅니다. 우대 사항에도 AI 서비스의 개인정보 영향평가와 자동화된 결정 대응이 나와 있어, 두 평가를 영역별로 나눠 한 건씩 적을 수 있습니다.

• DB, 로그, 분석용 데이터 플랫폼 등 실제 처리 환경에서 접근권한, 보관기간, 이용 목적 제한, 파기 정책이 적절하게 반영되고 이행되는지 증적과 데이터를 바탕으로 확인합니다.

  이렇게 볼 수 있어요

  현업에서 파기 정책은 서비스 DB에는 적용돼도 로그나 분석 플랫폼으로 복제된 사본에는 빠지곤 합니다. 그래서 이 감사는 사본이 있는 저장소마다 보관기간이 지켜지는지 직접 확인하는 방식이 됩니다. 필수 요건의 '정책이나 문서의 존재 여부를 확인하는 데서 나아가'와 우대의 SQL 분석도 같은 방향입니다. 보관기간이 지난 레코드가 서비스 DB 밖의 저장소에 몇 건 남아 있었는지 조회해 본 경험이 이 업무와 가깝습니다.

• 계열사 간 정보 공유, 마이데이터 등 파트너 생태계에서 개인(신용)정보가 제공·연계되는 구조의 통제를 점검합니다. 해외 서비스와 국외 이전이 늘어나는 만큼 현지 법령(GDPR 등)과 국내 법령의 요구사항이 함께 지켜지는지 확인합니다.

  이렇게 볼 수 있어요

  계열사 공유와 마이데이터는 신용정보를 제공·연계할 때의 동의와 목적을 다루는 영역입니다. 같은 토스의 Information Security Manager (Global) 공고도 GDPR과 진출 국가의 법령을 업무에 적었습니다. 국내 법령만으로 감사해 왔다면 해외 법령의 요구사항이 국내와 달랐던 항목을 어떻게 처리했는지가 이 업무의 사례입니다.

• 개인정보 관련 사내 규정·지침·가이드와 계약 검토, 서비스 검토 절차가 실제 업무의 리스크를 충분히 다루는지 점검합니다. 개인정보 보호 담당 조직의 자체점검, 법률 위반·오남용 모니터링, 인증 평가 및 후속 조치가 중요한 리스크를 충분히 다루는지 독립적으로 확인합니다.

  이렇게 볼 수 있어요

  점검 대상에 개인정보 보호 담당 조직 자체가 들어 있습니다. 현업이 1선, 보호 조직이 2선이라면 내부감사는 2선의 점검이 중요한 리스크를 다루는지 확인하는 3선입니다. 보호 조직의 자체점검 결과를 그대로 받지 않고 자체 기준으로 다시 검토한 경험이 이 업무에 쓰입니다.

• 발견 사항의 원인과 영향을 분석해 실행 가능한 개선 방향을 제시하고, 감사 결과 보고부터 개선 과제 이행과 조치 이후 효과 확인까지 수행합니다. IT·보안·업무 감사 담당자와 협업해 개인정보 처리의 적정성과 시스템·보안 통제를 연결해서 점검합니다.

  이렇게 볼 수 있어요

  팀 소개가 '문제를 찾아 지적하는 데서 끝내지 않아요'라고 밝혔습니다. 같은 토스의 내부감사 담당자 (재무) 공고도 예방 등 실질적 개선 반영까지를 주요 업무로 적었습니다. 재감사나 이행 점검 한 건에서 조치 전후의 변화를 보여 줄 수 있다면, 보고 뒤 조치 이후 효과까지 확인하는 이 업무의 마지막 단계를 해 본 경험이 됩니다.

2자격 요건

• 개인정보 보호 실무, 개인(신용)정보 관련 컴플라이언스, 감사·점검 또는 관련 컨설팅 분야에서 10년 이상의 경력을 보유한 사람이 필요합니다.

  이렇게 볼 수 있어요

  개인정보 보호 실무, 컴플라이언스, 감사·점검, 컨설팅 경력은 이 조건에 함께 적을 수 있습니다. 같은 토스의 내부감사 담당자 (재무) 공고는 6년 이상과 KICPA를 적어, 이 공고와 연차·자격 조건이 다릅니다. 분야마다 맡은 서비스와 기간을 적으면 10년이 어떤 일로 채워졌는지가 전해집니다.

• 개인정보가 처리되는 서비스에 대해 수집부터 파기까지 라이프사이클 전반의 적정성을 검토하고, 리스크를 식별해 개선으로 연결한 경험이 필요합니다.

  이렇게 볼 수 있어요

  이 요건은 업무에 적힌 전 과정 감사(수집·이용·제공·보관·파기)의 다섯 단계를 한 서비스에 걸쳐 본 경험을 묻습니다. 현업에서는 수집과 이용은 동의서와 화면에서 확인되지만 보관과 파기는 배치 작업과 로그를 열어야 보여서 감사가 앞 단계에서 멈추는 일이 많습니다. 그래서 다섯 단계 가운데 어디까지 검토했는지와 발견한 리스크 중 개선까지 간 건수까지 적으면 범위가 분명합니다.

• 개인정보 보호 관계 법령과 관련 가이드의 취지를 이해하고, 서비스 구조와 실제 데이터 처리 흐름에 적용해 판단할 수 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  이 요건은 조문 지식보다 취지를 서비스 구조에 적용하는 판단을 묻습니다. 법령이 모호한 사안(가명정보 결합, 국외 이전 해당 여부)에서 취지를 근거로 내린 판단 한 건이 이 요건에 대한 가장 직접적인 답입니다.

• 개인정보 내부관리계획, 접근권한 관리, 처리 위탁 관리 등 개인정보 보호 내부통제를 직접 운영했거나 독립적으로 평가해 개선한 경험이 필요합니다.

  이렇게 볼 수 있어요

  직접 운영한 경력과 독립적으로 평가한 경력은 이 조건에 함께 적을 수 있습니다. 이력서 안내가 '직접 운영한 업무와 독립적으로 점검한 업무를 구분'해 달라고 했으므로 두 경력은 나눠 씁니다. 직접 운영한 경력이라면 접근권한 부여와 회수 절차나 위탁사 관리처럼 맡은 통제 하나를 골라, 감사받는 입장에서 어떤 지적이 실질적이었는지를 사례로 적을 수 있습니다.

• DB 등 개인정보 처리 환경의 접근권한, 보관, 이용, 파기 정책을 수립하거나 이행 적정성을 점검·개선한 경험이 필요합니다.

  이렇게 볼 수 있어요

  정책을 수립한 경력과 이행 적정성을 점검·개선한 경력은 이 조건에 함께 적을 수 있습니다. 수립 경험은 보관기간 같은 정책을 시스템 설정이나 삭제 배치로 옮긴 방식을, 점검 경험은 정책과 실제 데이터를 비교한 결과(대상 테이블 수, 미파기 건수)를 적으면 두 경험이 각각 구체적입니다. 업무가 DB와 로그에서 이행을 확인하는 감사이므로, 점검 경험에는 확인한 저장소의 종류도 함께 적으면 감사 범위가 분명합니다.

• 서비스 기획·개발 흐름과 데이터 구조(로그, 테이블, API)를 이해하고, 개발자·데이터 분석가와 같은 언어로 대화할 수 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  개발자와 같은 언어로 말한다는 것은 이 식별자가 어느 테이블에 몇 개월 저장되는지, 이 API 응답에 왜 연락처 필드가 포함되는지 같은 질문을 구체적으로 던질 수 있다는 뜻입니다. 감사 대상이 DB와 로그라서, 질문이 구체적이지 않으면 증적을 받기 어렵습니다. 우대의 SQL 분석과도 같은 쪽의 역량입니다. 개발자와 데이터 구조를 놓고 확인한 사례 하나를 들 수 있습니다.

• 정책이나 문서의 존재 여부를 확인하는 데서 나아가, 인터뷰·처리 기록·데이터 등 객관적인 근거로 통제의 설계와 운영 효과를 검증할 수 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  인터뷰 진술은 담당자가 설명하는 운영 방식이어서 처리 기록과 대조해야 근거가 됩니다. 표본은 건수와 기간을 정해 뽑아야 결과를 다시 확인하기 쉽습니다. 인터뷰 진술과 처리 기록이 달랐던 사례와 표본을 뽑은 방식(건수, 기간)이 검증 경험의 모습입니다.

• 이해관계가 충돌하는 상황에서도 독립성과 객관성을 유지하며, 문제의 원인과 영향을 명확하게 설명하고 실행 가능한 개선안에 대한 합의를 이끌어낼 수 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  같은 토스의 내부감사 담당자 (재무) 공고도 합의를 이끌어내는 요건을 요구했습니다. 독립성과 객관성 유지는 이 공고가 더한 조건입니다. 이력서 안내는 개선 요청에 대한 반발이나 실행상 어려움을 어떻게 조율해 최종 이행과 효과 확인까지 이끌었는지 적으라고 했습니다. 반발이 있었던 지적 사항 하나에서 합의에 쓴 근거를 적으면 이 요건에 대한 답이 됩니다.

3우대 사항

• 금융회사, 전자금융업자 또는 핀테크·IT 기업에서 개인(신용)정보 보호 업무를 수행한 경험이 있으면 더 좋습니다. 금융위원회, 금융감독원, 개인정보보호위원회, KISA 등 대외 기관의 검사·점검 대응 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  토스 커뮤니티에는 토스뱅크, 토스증권, 토스페이먼츠 같은 금융 계열사가 있어 감사 대상이 금융감독 영역에 걸칩니다. 우대 사항에 나온 대외 기관(금융위원회, 금융감독원, 개인정보보호위원회, KISA 등)의 검사 대응 경험이 있다면 대응한 기관과 연도, 맡은 역할을 함께 적어 경험의 크기를 보여 줍니다.

• 개인정보 감사·점검의 범위와 기준 수립부터 증적 검토, 결과 보고, 개선 과제 이행 확인까지 주도한 경험이 있으면 더 좋습니다. 법령과 회사 업무에 기반해 개인정보 규정·지침을 만들고 현업이 활용할 수 있는 가이드로 구체화한 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  팀 소개가 내부감사인의 핵심 역할로 '현업이 스스로 잘 통제할 수 있도록 돕고'를 들었습니다. 이 우대의 가이드 구체화가 그 방식입니다. 이 우대의 개선 과제 이행 확인은 업무에 적힌 '개선 과제의 이행과 조치 이후 효과 확인'과 같은 단계의 일입니다. 감사 결과를 지적서로 끝내지 않고 현업이 쓰는 체크리스트나 FAQ로 풀어 낸 사례가 가이드 구체화의 경험입니다.

• AI 서비스의 개인정보 영향평가, 가명정보 처리·결합, 자동화된 결정에 대한 정보주체 권리 대응을 검토한 경험이 있으면 더 좋습니다. 글로벌 서비스의 개인정보 처리나 국외 이전, 외부 서비스·수탁사 관리와 관련된 리스크를 검토한 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  AI 영향평가와 자동화된 결정 대응은 자동화된 결정 대응권을 평가하는 업무와 같은 영역입니다. 가명정보 결합은 결합전문기관을 거치는 절차가 있는 영역이므로 어떤 결합을 검토했는지가 이 우대의 사례입니다. 국외 이전과 수탁사 관리는 계열사·파트너 연계와 국외 이전 점검 업무에 들어 있습니다.

• ISMS-P, ISO27001, ISO27701 등 인증 평가 대응이나 후속 개선 업무를 수행한 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  수검 쪽 경험이라면 인증 범위와 지적 사항, 후속 조치 이행률이 사례가 됩니다. 감사 쪽 경험이라면 보호 조직의 후속 조치가 중요한 리스크를 다뤘는지 독립적으로 점검한 일을 적습니다. 업무가 보호 조직의 인증 평가와 후속 조치를 점검하는 쪽이어서, 인증 지적 사항이 조치 뒤 실제로 줄었는지 확인한 사례가 더 가깝습니다. ISO27701은 ISO27001 위에 개인정보 관리 요구를 더한 인증이어서, 어떤 인증이었는지도 함께 밝히는 편이 정확합니다.

• SQL 등으로 데이터와 처리 기록을 분석해 개인정보 처리의 적정성을 검증한 경험이 있으면 더 좋습니다. 클라우드나 데이터 플랫폼 환경에서 개인정보의 저장 위치, 접근, 파기가 제대로 통제되는지 점검한 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  SQL 분석은 필수 요건의 '인터뷰·처리 기록·데이터 등 객관적인 근거'를 데이터로 채우는 방법입니다. 클라우드나 데이터 플랫폼 환경의 점검은 개인정보가 어디에 있는지 찾는 일부터 시작합니다. 컬럼 이름 검색이나 샘플 조회로 위치를 찾고 접근 계정과 대조한 사례와 그 대상 건수가 점검 경험의 크기입니다.

• ISMS-P 인증심사원, CPPG, CIA, CISA 등 개인정보 보호·감사 관련 자격증을 보유하면 더 좋습니다.

  이렇게 볼 수 있어요

  ISMS-P 인증심사원과 CPPG는 개인정보 보호, CIA는 내부감사, CISA는 정보시스템 감사 쪽 자격입니다. 개인정보와 감사를 함께 요구하는 포지션이므로 자격 이름보다 그 지식을 감사 한 건에서 쓴 장면이 더 많은 것을 말해 줍니다.

4기타 사항

• 게시일 : 2026년 10월 23일
• 고용형태 : 정규직
• 근무지 : 서울특별시 강남구 테헤란로 142 (역삼동, 아크플레이스) (추정)
• 경력 조건 : 경력 10년 이상
• 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.

쓰는 기술

공고 본문에 적힌 기술만 모은 목록입니다.

• SQL

전형과 지원

토스커뮤니티는 합류 여정을 한 페이지로 공개해 두었습니다. 공통 골격은 같지만 계열사와 공고에 따라 단계가 더해지거나 빠지므로, 공고 페이지에 적힌 단계를 함께 확인해야 합니다.

지원 전 준비할 것

1. 1

   감사 경험을 직접 운영과 독립 점검으로 나누기

   이력서 안내는 직접 운영한 업무와 독립적으로 점검한 업무를 구분하고 담당한 서비스와 개인(신용)정보 처리 영역, 본인의 역할을 적으라고 했습니다. 경험을 이 구분에 맞춰 두 묶음으로 정리합니다.

2. 2

   리스크 발견 사례를 근거와 방법으로 쓰기

   개인정보 라이프사이클에서 찾은 리스크 한 건을 골라 어떤 근거와 방법으로 적정성이나 통제 효과를 검증했는지 적습니다. 인터뷰, 처리 기록, 데이터 가운데 무엇을 근거로 삼았는지 구분합니다.

3. 3

   개선 요청에 반발이 있었던 건을 이행 확인까지 적기

   안내가 개선 요청에 대한 반발이나 실행상 어려움을 어떻게 조율해 최종 이행과 효과 확인까지 이끌었는지 적으라고 했습니다. 지적 사항 하나를 골라 반발의 이유, 합의에 쓴 근거, 조치 이후 달라진 점을 순서대로 정리합니다.