[토스페이먼츠] 보안정책 담당자 (Information Security Manager) 공고 분석

이 자리가 왜 생겼을까요

1하게 될 업무

• 정보보호 관리체계를 직접 운영하고, 취약점 분석·평가와 위험평가를 수행하며 관리체계를 지속적으로 개선합니다.

  이렇게 볼 수 있어요

  인증을 따고 끝나는 일이 아니라 해마다 돌아가는 취약점 분석·평가와 위험평가를 맡는 업무입니다. 팀 소개도 정보보호 위험을 지속적으로 식별하고 개선한다고 적었습니다. 위험평가는 자산 식별, 위험 산정, 보호대책 선정 순으로 진행되는 경우가 많으므로 맡았던 단계와 도출한 위험의 수로 경험의 범위가 구분됩니다.

• 신규 서비스와 클라우드·SaaS·AI 이용, 시스템 연동 등에 대한 보안성 검토를 맡아 수행합니다.

  이렇게 볼 수 있어요

  토스 커리어 아티클(2026-06-01)에서 토스 Information Security Manager는 토스가 2년 전부터 AI 도입을 적극 추진해 왔고 팀이 AI 활용 보안 관리체계를 전사 차원에서 세웠다고 설명했습니다. SaaS나 AI 도구 도입 검토에서 어떤 항목(데이터 반출, 권한, 계약 조건)을 확인해 승인과 조건부 승인을 나눴는지를 쓰면 보안성 검토의 판단 과정까지 전해집니다.

• 규제 준수와 더불어 합리적이고 실질적인 관리체계와 내부통제 프로세스를 직접 수립합니다.

  이렇게 볼 수 있어요

  '합리적이고 실질적인 관리체계'를 직접 세우는 일은 규정을 그대로 옮기는 일과 다릅니다. 토스 커리어 아티클(2026년 6월 1일)은 토스 Security Policy Team이 규제를 지키면서 팀원이 규제에 가로막히지 않고 새로운 시도를 펼칠 안전망을 만드는 데 집중한다고 적었습니다. 절차를 만들었다가 현업 부담이 커서 단순화한 경험이 있다면 단계를 몇 개에서 몇 개로 줄였고 통제 수준을 어떻게 유지했는지가 관리체계를 직접 세워 본 경험을 보여 줍니다.

• 전자금융거래법 등 정보보호 관련 법령의 준거성을 팀과 함께 검토하고, 안전한 서비스 운영을 위한 내부통제 프로세스를 수립·개선합니다.

  이렇게 볼 수 있어요

  법령 이름은 전자금융거래법 하나만 적혔지만 팀 소개는 전자금융·신용정보·개인정보 규제를 함께 말합니다. 법령 조문을 서비스의 어느 통제 항목으로 옮겼는지 한 건을 적으면 준거성 검토를 해 본 경험이 보입니다.

• ISMS, ISO27001, PCI-DSS 등 국내외 정보보호 인증의 심사 준비와 대응을 함께합니다.

  이렇게 볼 수 있어요

  세 인증 가운데 PCI-DSS는 카드 정보를 다루는 사업에 걸리는 표준이라 카드 결제를 처리하는 토스페이먼츠의 사업과 이어집니다. 심사 준비는 증적 수집, 결함 보완, 심사 입회처럼 단계가 나뉘어서 인증마다 맡은 단계를 밝히면 경험의 범위가 분명해집니다.

• 감독기관 및 대외기관의 요구사항 대응에 참여하고, 이 과정에서 필요한 점검과 개선을 함께 수행합니다.

  이렇게 볼 수 있어요

  우대 사항에 금융감독원 검사와 금융보안원 점검이 이름으로 나옵니다. 업무는 이 대응에 '참여'한다고 적었으므로 요청 자료 작성, 현장 응대, 지적 사항 개선 가운데 직접 한 부분을 나눠 적는 게 좋습니다.

• 정보보호위원회 운영, 이사회 보고 등 정보보호 거버넌스 운영을 함께하며 경험을 넓혀갑니다.

  이렇게 볼 수 있어요

  정보보호위원회 운영과 이사회 보고는 경영진이 정보보호 현황과 위험을 보고받는 절차입니다. 위원회 안건을 만들었거나 경영진 보고 자료를 쓴 경험이 있다면 안건 종류와 보고 주기를 함께 적으면 거버넌스 경험이 구체적으로 전해집니다.

2자격 요건

• 관련 경험이 최소 1년 이상이면 되고, 연차보다 경험의 밀도와 역량을 중요하게 본다고 적었습니다.

  이렇게 볼 수 있어요

  팀 소개가 연차와 관계없이 정보보호 관리체계 운영의 한 축을 직접 맡는다고 적었으므로, 1년 경력자도 위험평가나 인증 심사 대응 같은 업무를 맡을 수 있습니다. 경험의 밀도는 1년 안에 직접 끝까지 한 일의 수로 드러납니다. ISMS 심사 한 번에서 맡은 통제 항목 수와 보완한 결함 건수, 직접 검토한 보안성 검토 건수가 그 예입니다. 이력서 안내도 맡은 업무마다 목적, 진행 방식, 본인이 기여한 부분의 흐름을 적으라고 했습니다.

• 새로운 것을 빠르게 배우고, 필요한 일을 먼저 찾아 주도적으로 해내는 사람이 필요합니다.

  이렇게 볼 수 있어요

  토스 아티클은 정책 담당자 한 명 한 명이 자기 분야에서는 팀장처럼 주도적으로 일한다고 설명했습니다. 담당 업무에 없던 문제를 먼저 찾아 해결한 일(예: 인증 심사 전에 빠진 증적을 찾아 보완)과 새로 배운 규제나 표준을 업무에 적용한 시기가 이 태도의 사례가 됩니다.

• 업무 프로세스를 직접 수립하고 실제로 적용해 보면서, 부딪히는 문제를 해결해 나간 경험이 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  문서로 세운 절차는 다른 조직이 실제로 따르기 시작한 뒤에야 시험을 받습니다. 적용 뒤에 나온 현업의 반발이나 예외 요청을 어떤 문제로 정의했고 절차의 어느 부분을 고쳤는지가 이 요건에 쓸 사례입니다. 이력서 안내가 '문제를 어떻게 정의하고 판단했는지'를 보여 달라고 한 것도 이 부분입니다.

• 여러 팀과 논의하며 합리적인 기준을 함께 만들어갈 수 있는 사람이 필요합니다.

  이렇게 볼 수 있어요

  팀 소개가 보안, 인프라, 개발, 서비스 등 여러 조직과 효율적이고 효과적인 보안 프로세스를 함께 만든다고 적었습니다. 개발팀이 반대한 통제를 조정한 경험이 있다면 어떤 기준으로 조정했는지를 이 항목의 사례로 씁니다.

• 전자금융거래법, 개인정보 보호법 등 정보보호 관련 법규에 대한 기본적인 이해가 필요합니다.

  이렇게 볼 수 있어요

  전자금융거래법은 전자금융업자의 안전성 확보 의무를, 개인정보 보호법은 개인정보 처리 전반을 다룹니다. 요구 수준은 '기본적인 이해'이고, 보안성 검토나 위험평가에서 실제로 근거로 삼은 조항을 하나씩 들면 그 이해를 업무 경험과 함께 보여 줄 수 있습니다.

3우대 사항

• 정보보호 관리체계(ISMS 등) 인증 심사 대응 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  ISMS 같은 인증 심사 대응은 먼저 인증 범위(대상 서비스와 시스템)를 정하고 그 범위의 통제 항목을 증적으로 보여 주는 일이라, 같은 대응 경험이어도 범위에 따라 크기가 다릅니다. 업무에도 ISMS 심사 준비와 대응이 있으므로 심사 연도, 인증 범위(서비스 수), 맡은 통제 영역, 결함 건수를 함께 쓰면 그 크기가 보입니다.

• 금융회사 또는 전자금융업자에서 정보보호 업무를 수행하며 금융감독원 검사·금융보안원 점검 등 대외기관에 대응해 본 경험이 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  토스페이먼츠는 전자결제대행(PG) 사업을 하는 전자금융업자라, 우대의 '전자금융업자' 경험은 이 회사가 받는 검사·점검과 같은 규제 아래의 경험입니다. 검사나 점검에서 받은 지적 사항을 개선 완료까지 끌고 간 과정이 이 우대의 핵심 장면입니다.

• Public·Private 클라우드 인프라 환경에 대한 이해가 있으면 더 좋습니다.

  이렇게 볼 수 있어요

  팀 소개가 Public·Private 클라우드 인프라를 함께 운영한다고 적었습니다. 토스 Security Engineer (클라우드 보안) 공고가 클라우드 보안 설계를 요구하는 쪽이라면 이 공고는 정책과 점검 쪽에서 클라우드를 이해하는지를 봅니다. 두 환경에서 정책을 어떻게 다르게 적용했는지가 이해의 깊이를 보여 줍니다.

• 정보보안기사, ISMS-P 인증심사원 등 유관 자격을 보유하면 더 좋습니다.

  이렇게 볼 수 있어요

  ISMS-P 인증심사원은 인증 심사를 하는 쪽의 자격이어서 심사원이 어떤 증적을 보는지 알고 심사 대응을 준비할 수 있습니다. 자격 이름과 취득 연도에 그 지식으로 실제 심사를 준비한 경험을 붙이면 자격을 실제로 어디에 썼는지가 함께 남습니다.

• 전자결제 서비스 구조에 대한 이해가 있으면 더 좋습니다. 지금은 부족하더라도 합류 후 충분히 배울 수 있다고 적었습니다.

  이렇게 볼 수 있어요

  팀 소개는 이 팀에서 전자결제 서비스 전반의 정보보호를 폭넓게 경험할 수 있다고 적었습니다. 결제 구조는 합류 뒤 넓혀 가는 영역이고 입사 전에 보일 것은 흐름의 윤곽입니다. 승인, 매입, 정산 흐름에서 카드 정보와 개인정보가 지나가는 구간을 그려 볼 수 있으면 PCI-DSS와 개인정보 통제가 걸리는 구간을 설명할 수 있습니다.

4기타 사항

• 게시일 : 2026년 10월 29일
• 고용형태 : 정규직
• 근무지 : 서울특별시 강남구 테헤란로 131, 14층 (역삼동, 한국지식재산센터) (추정)
• 경력 조건 : 경력 1년 이상
• 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.

전형과 지원

토스커뮤니티는 합류 여정을 한 페이지로 공개해 두었습니다. 공통 골격은 같지만 계열사와 공고에 따라 단계가 더해지거나 빠지므로, 공고 페이지에 적힌 단계를 함께 확인해야 합니다.

지원 전 준비할 것

1. 1

   인증 심사 대응을 통제 항목 단위로 정리하기

   이력서 안내는 맡은 업무마다 목적, 진행 방식, 본인이 실제로 기여한 부분의 흐름을 적으라고 했습니다. ISMS 같은 심사를 받은 경험이 있으면 인증 범위, 맡은 통제 항목, 보완한 결함을 그 순서로 정리합니다.

2. 2

   판단 과정이 보이는 사례 하나 고르기

   안내는 결과뿐 아니라 문제를 어떻게 정의하고 판단했는지를 보여 달라고 했습니다. 규정 해석이 나뉘었던 보안성 검토 한 건을 골라 후보 해석, 고른 근거, 현업과 합의한 조건을 순서대로 적습니다.

3. 3

   결제 흐름과 정보 이동 구간 그려 보기

   우대에 전자결제 서비스 구조가 있고 지금은 부족해도 된다고 했습니다. 승인, 매입, 정산 단계마다 카드 정보와 개인정보가 어디를 지나는지 한 장으로 그려 보면 PCI-DSS와 개인정보 통제를 같이 설명할 수 있습니다.