메뉴 보기
앞으로 정부와 공공기관에서 보안 소홀로 개인정보 등 중요 정보가 유출되는 사고가 발생하면 실무자뿐 아니라 기관장도 책임을 져야 한다. 초기 비밀번호를 바꾸지 않거나 보안 취약점을 장기간 방치하는 등 기본적인 보안수칙 위반도 징계 대상이다.
행정안전부와 국가정보원, 인사혁신처, 개인정보보호위원회는 1일 서울 종로구 정부서울청사 별관에서 이런 내용을 담은 ‘공공부문 사이버보안 책임성 강화 방안’을 발표했다. 공공부문에서 해킹 등 사이버 공격에 따른 정보 유출 사고가 잇따른 데 따른 조치다. 공공부문에는 중앙행정기관, 지방행정기관, 공사·공기업 등이 포함된다.
정부에 따르면 2021년 1월부터 올해 5월까지 약 247건의 정보 유출 사고가 일어났다. 최근에는 창업 지원 플랫폼 ‘모두의 창업’에서 합격자 비공개 정보가 유출됐고, 행안부의 ‘1365 자원봉사포털’도 외부 공격을 받아 이용자 8785명의 개인정보가 유출됐다. 정부 통합행정서비스 포털 정부24에서는 주민등록번호 등 민감한 개인정보가 유출되는 사고가 발생했다.
정부는 상당수 사고가 기본적인 보안수칙을 지키지 않아 일어났지만, 징계가 제대로 이뤄지지 않았다고 지적했다. 징계도 관리자보다 실무자에게 집중됐다. 실제 사고가 일어나면 기관장이 직접 징계를 받은 사례는 없고, 책임자·관리자가 징계를 받은 경우도 전체의 1% 수준에 그쳤다.
이에 정부는 중대한 정보 유출 사고가 발생하면 기관장 등 감독자에게도 책임을 묻기로 했다. ‘공무원 징계령 시행규칙’을 개정해 관리자가 감독·관리 책임을 소홀 히 한 경우 엄중하게 책임을 물을 수 있도록 규정할 계획이다. 장·차관 등 정무직을 제외한 각 부처 1급 공무원부터 적용 대상이다. 김재선 인사혁신처 복무과장은 “장·차관은 국가공무원법에 징계 대상이 아니라고 규정돼 있다”며 “정무직이 문제가 있을 경우엔 대통령의 인사권 행사가 가능하다”고 설명했다.
사이버 보안 규정 위반에 대한 징계 수위도 높인다. 초기 비밀번호를 변경하지 않는 등 보안 관리 소홀로 해킹과 정보 유출이 발생할 경우 징계 기준을 강화한다. 김 과장은 “보안 관리 미흡에 따른 해킹으로 인해 정보가 유출되는 경우 현재 징계양정 최소기준은 견책”이라며 “이번 개정을 통해 최소기준을 감봉으로 상향한다”설명했다.
보안 관련 평가 제도는 손본다. 국가정보원이 주관하는 ‘사이버보안 실태평가’를 올해 기준 153곳에서 2028년까지 2000여개 국가·공공기관으로 늘린다. 정보 유출 사고 발생 시 감점, 사고 신속조치 등 새 지표를 도입한다. ‘중앙행정기관 특정평가’와 ‘지방공기업 경영평가’ 등에도 사이버보안 평가지표를 반영한다.
징계 강화가 보안 업무 기피로 이어지는 현상을 막기 위해 인센티브도 마련한다. 정보보호 수당 신설과 정보보호 담당자 성과평가 가점 부여, 중요직무 선정 기준에 정보보호 업무를 포함하는 방안 등을 검토한다.
중앙행정기관과 광역자치단체의 사이버보안 인력을 보강하고 민간 전문가를 장으로 하는 전담조직을 설치할 계획이다. 모의해킹을 통해 정기적으로 취약점을 점검하거나 보안지원이 종료된 후 소프트웨어를 교체하는 등 정보보호 활동에 필요한 예산을 확보하는 방안도 국가정보원, 기획예산처와 논의할 예정이다.
황규철 행안부 인공지능정부실장은 “아무리 강력한 시스템을 갖춰도 관리자의 의지와 담당자의 책임감이 없다면 모래 위에 쌓은 성과 같다”며 “보안을 ‘귀찮은 규제’가 아닌 ‘국가적 사명’으로 바라볼 수 있도록 인식을 전환해야 한다”고 강조했다.
