반복된 공공부문 사이버보안 사고…해킹·유출시 기관장도 징계

정부 합동 보안 대책 마련… 국정원 실태점검 대상 2000여곳 확대

정보보호 전담 수당 신설·승진 가점 부여… 노후 소프트웨어 교체

황규철 행정안전부 인공지능정부실장이 1일 오전 서울 종로구 정부서울청사 별관 브리핑실에서 열린 ‘공공부문 사이버보안 책임성 강화방안’ 관련 관계부처 합동 브리핑에서 주요 내용을 설명하고 있다. [사진=행안부]

앞으로 공공기관에서 해킹·유출 등 중대한 사이버보안 사고 발생시 부처 1급 등 감독자도 징계 책임을 진다. 최소 징계 수위도 견책에서 ‘감봉’으로 상향한다. 

정부는 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처 합동으로 이같은 '공공부문 사이버보안 책임성 강화 방안'을 1일 발표했다.

정부에 따르면 2021년 1월부터 올해 5월까지 해킹 등 사이버 공격으로 공공기관 정보가 유출된 사고는 247건이다. 이 중 징계 처분으로 이어진 것은 9건이었다. 개인정보위가 기관에 징계를 권고한 19건 중에서도 실제 이행된 것은 6건에 그쳤다. 

현행 ‘공무원 징계령 시행규칙’으로도 해킹에 따른 비밀 침해나 개인정보 관리 소홀은 최대 파면까지 할 수 있지만, 기관장이 징계를 받은 사례는 한 건도 없었다.

공공 기관의 개인 정보 유출 사고는 최근들어 계속되고 있다. 지난해 7월 정부 업무 관리 시스템 ‘온나라’가 해킹돼 자료가 유출됐고, 11월에는 한마음혈액원이 랜섬웨어에 감염됐다. 올해 들어서도 강원대병원·화순전남대병원 랜섬웨어 감염(1월), 국립외교원 교육 시스템 개인 정보 유출(2월), ‘모두의 창업’ 합격자 비공개 정보 유출(6월), 정보통신기획평가원 개인 정보 유출(7월)이 이어졌다.

행안부 황규철 인공지능정부실장은 이날 브리핑에서 "현재 공공분야에서는 아주 기초적인 수칙만 지켰어도 막을 수 있었던 사고들이 반복되고 있다"며 "이는 단순한 실수가 아니라 보안 의식의 부재"라고 지적했다.

정부는 기본적인 보안수칙을 위반해도 대부분 징계가 이뤄지지 않고, 징계하더라도 관리자보다 실무자에게 책임을 묻는 경우가 많다는 점을 사고가 반복된 주요 원인으로 진단했다.

이에 정부는 올해 징계령 시행 규칙을 고쳐, 위중한 정보 유출 사고가 나면 감독자에게 엄중한 책임을 묻는다는 조항을 새로 만들기로 했다. 금품수수나 직무태만에 따른 국민권익 침해·재정손실 등과 같이 '엄중 책임'의 대상에 '위중한 정보 유출사고'를 명문화한다는 것이다. 비밀·개인정보 유출이나 보안 관리 미흡에 따른 해킹 유출의 최소 징계 기준은 견책에서 감봉으로 높인다. 

또 연말까지 서비스 개통 전 보안 검토 누락, 방화벽 등 보안 장비 관리 부실, 초기 비밀번호 미변경, 발견된 취약점 장기 방치 등을 구체적인 징계 사유로 정한 처리 지침을 마련하기로 했다. 

각 직원 개인을 넘어 기관 차원에서 사이버보안을 강화하도록 유도하기 위한 평가체계도 손본다. 국가정보원이 주관하는 '사이버보안 실태평가' 대상 기관은 올해 153개에서 2028년까지 2160개 국가·공공기관 전체로 대폭 확대한다. 실태평가에는 정보 유출사고가 발생하면 감점하고, 사고에 신속하게 대응했는지를 평가하는 등 새로운 지표를 도입한다.

또 내년부터 '중앙행정기관 특정평가'에는 중대한 정보 유출사고가 발생하면 평가점수를 감점하도록 하고, '지방공기업 경영평가'에도 사이버보안 평가지표를 추가하는 등 평가의 실효성을 높일 예정이다.

인사상 우대방안도 마련한다. 중앙행정기관 49곳 가운데 보안 전담 과·팀을 둔 곳은 11곳(22%)뿐이다. 보안 인력을 정보화 인력의 10% 이상 두도록 한 기준을 지키지 못한 기관도 24%(152곳 중 37곳)였다. 정부는 지난 8월 중앙행정기관에 개인정보보호를 포함한 사이버보안 인력 100명을 보강했고, 지자체 인력도 연말까지 늘린다. 민간 전문가가 이끄는 전담 조직도 둘 계획이다.

아울러 정보보호 수당을 신설하고, 정보보호 담당자의 성과평가에 가점을 부여하는 한편, 중요직무 선정 기준에 정보보호 업무를 포함하는 방안 등도 검토한다.

황 실장은 "모의해킹을 통한 취약점 점검, 보안지원이 종료된 노후 SW 교체 등 사이버보안 기본 예산의 안정적 확보 방안을 국정원, 기획처 등 관계 부처와 긴밀히 논의하겠다"고 설명했다.

이어 "이번 방안의 핵심은 단순한 징계 강화가 아닌, 보안을 '귀찮은 규제'가 아닌 '국가적 사명'으로 바라보는 인식의 전환"이라며 "국민이 안심하고 이용할 수 있는 안전한 AI 민주정부를 실현하도록 노력하겠다"고 말했다.