Internal Auditor (보안)

합류하게 될 팀에 대해 알려드려요

• 토스의 Internal Auditor (보안) 포지션은 Internal Audit 팀에 속해 있어요.
• Internal Audit 팀은 연간 감사 계획에 따라 업무, 재무, IT, 보안, 개인정보 등 다양한 분야의 리스크와 내부통제 체계를 독립적으로 점검해요.
• 문제를 찾아 지적하는 데서 끝내지 않아요. 현업이 스스로 잘 통제할 수 있도록 돕고, 아직 아무도 보지 못한 리스크를 먼저 찾아내는 것을 내부감사인의 핵심 역할로 생각해요.
• 감사에서 발견한 사항이 실질적인 개선과 예방으로 이어질 수 있도록, 개선 방향을 제시하고 조치의 효과까지 확인해요.
• 팀은 다양한 감사·통제 분야를 경험한 전문가들로 구성되어 있어요. 과거 방식에 얽매이지 않고 더 효율적이고 효과적인 감사 방식을 계속 고민해요.
• 토스의 빠른 성장 속도에 맞는 보안 감사 체계를 설계하면서, 정보보호 리스크를 독립적으로 판단하는 보안 감사 전문가로 성장할 수 있어요.

합류하면 함께 할 업무에요

• 토스와 계열사의 정보보호 리스크를 평가하고, 이를 바탕으로 보안 분야의 연간 감사 계획과 개별 감사 계획을 수립해요.
• 정보보호 정책과 관리체계, 정보보호최고책임자(CISO)를 비롯한 보안 조직의 역할과 책임이 주요 위협과 사업 환경에 맞게 설계되고 운영되는지 독립적으로 평가해요.
• 접근통제와 특권계정 관리, 네트워크·클라우드 보안, 암호화와 키 관리, 서비스 간 인증과 API 보안, 취약점 관리 등 주요 보안 통제의 설계와 운영 효과를 점검해요.
• 보안관제와 이상행위 탐지, 침해사고 대응 체계가 비인가 접근, 정보 유출, 침해 위협에 효과적으로 작동하는지 확인해요.
• 가맹점, 제휴사, 수탁사 등 외부 파트너와 연결되는 지점의 보안 통제(인증정보와 API 키 관리, 오픈소스·서드파티 SDK 등 공급망)를 점검해요.
• 생성형 AI·AI 에이전트 도입, 망분리 규제 완화에 따른 SaaS·클라우드 이용 확대처럼 새로운 환경이 만드는 보안 리스크를 점검해요.
• 보안 조직의 자체점검과 리스크 관리 활동을 검토하고, 점검이 미치지 못한 영역과 통제의 사각지대를 찾아내요.
• 감사에서 확보한 근거를 바탕으로 문제의 원인과 영향을 분석하고, 실행 가능한 개선 방향을 제시해요. 개선 과제의 이행과 조치 이후 통제의 효과까지 확인해요.
• IT·개인정보·업무·재무 감사 담당자와 협업해 기술적인 보안 이슈가 서비스와 고객, 회사에 미치는 영향을 종합적으로 판단해요.

이런 분과 함께하고 싶어요 (꼭 필요해요)

• 보안 감사, 정보보호 통제 평가 또는 관련 감사 컨설팅 분야에서 10년 이상의 경력을 보유하신 분이 필요해요.
• 감사 범위와 점검 기준 수립부터 증적 검토, 발견 사항 도출, 결과 보고까지 보안 감사 또는 정보보호 통제 평가를 주도한 경험이 필요해요.
• 정보보호 관리체계와 주요 보안 기술에 대한 이해를 바탕으로, 통제가 실제 위협을 예방·탐지·대응하는 데 효과적인지 검증할 수 있는 분이 필요해요.
• 관련 법령과 감독기준, 내부 정책의 취지를 이해하고, 회사의 서비스 구조와 위협 환경을 고려해 중요한 보안 리스크를 식별할 수 있는 분이 필요해요.
• 발견 사항의 원인과 영향을 분석하고, 실행 가능한 개선안을 도출해 이행과 효과 검증까지 이끌어본 경험이 필요해요.
• 이해관계가 엇갈리는 상황에서도 독립성과 객관성을 유지하며, 기술적인 보안 이슈를 현업과 리더가 이해할 수 있도록 설명하고 개선 방향에 대한 합의를 이끌어낼 수 있는 분이 필요해요.

이런 경험이 있으면 더 좋아요

• 금융회사, 전자금융업자 또는 핀테크·IT 기업에서 보안 감사나 정보보호 통제 평가를 수행한 경험이 있으면 더 좋아요.
• 보안관제, 침해사고 대응, 취약점 관리, 클라우드 보안 등 정보보호 실무 경험이 있으면 더 좋아요.
• 비인가 접근이나 정보 유출 등의 이상징후를 탐지하는 모니터링 체계를 구축·운영하거나 그 효과를 평가한 경험이 있으면 더 좋아요.
• 리스크 평가에 기반한 연간 보안 감사 계획 수립이나 감사 방법론 고도화 경험이 있으면 더 좋아요.
• 금융감독원 등 감독기관 검사 수검이나 정보보호 관련 외부 인증 대응 경험이 있으면 더 좋아요.
• NIST CSF, ISO 27001, PCI DSS 등 글로벌 보안 프레임워크를 기준으로 평가하거나 해외 서비스의 보안 통제를 점검한 경험이 있으면 더 좋아요.
• SQL, Python 등으로 보안 로그와 데이터를 분석해 감사 근거를 확보하거나 반복적인 감사 절차를 효율화한 경험이 있으면 더 좋아요.
• CISA, CIA, CISSP 등 감사·정보보호 관련 자격증을 보유하셨다면 더 좋아요.

이력서는 이렇게 작성하시는 걸 추천해요

• 수행했던 보안 감사 또는 정보보호 통제 평가의 대상과 범위, 본인의 역할을 구체적으로 기술해 주세요.
• 어떤 위협과 리스크를 식별했고, 보안 통제의 설계와 운영 효과를 어떤 근거와 방법으로 검증했는지 사례로 보여주세요.
• 클라우드·MSA 환경이나 외부 파트너 연동 구간의 보안 통제를 점검한 경험이 있다면, 어떤 공격 시나리오를 가정했고 무엇을 확인했는지 적어주세요.
• 감사에서 발견한 문제의 원인과 영향, 제시한 개선 방향, 조치 이후 달라진 점을 함께 기술해 주세요.
• 내부통제 개선 요청에 대한 반발이나 실행상 어려움을 어떻게 조율하고 최종 이행까지 이끌었는지 구체적으로 설명해 주세요.
• 보안관제, 침해사고 대응, 취약점 관리 등 보안 실무 경험이 있다면 감사의 판단과 깊이에 어떻게 도움이 되었는지 함께 적어주세요.
• 감독기관 검사 수검이나 외부 인증 대응 경험이 있다면 수행했던 역할과 업무를 구체적으로 기술해 주세요.

토스로의 합류 여정

• 서류 접수 > 직무 인터뷰 > 문화적합성 인터뷰 > 레퍼런스 체크 > 처우 협의 > 최종 합격 및 입사