과학기술정보통신부가 작년 발표한 1650개 IT 시스템 보안 취약점 점검이 부실했다는 언론 보도에 대해 해명했습니다. 언론은 정부가 기업들의 자체 점검(셀프 점검) 결과만 받고 직접 검증하지 않았으며, 점검을 마쳤다고 답한 기업 중 일부에서 올해 개인정보 유출 사고가 발생했다고 지적했습니다. 이에 대해 과기정통부는 대표(CEO)가 직접 서명한 확인서를 받아 형식적 점검을 방지했고, 2026년 ISMS(정보보호 관리체계) 인증 사후심사와 연계해 현장 검증을 계속 진행 중이라고 설명했습니다. 또한 이후 유출 사고가 발생한 기업에 대해서는 정부 조사를 통해 원인을 분석하고 있다고 밝혔습니다.
과기정통부가 작년 발표한 1650개 IT 시스템 보안 취약점 점검이 기업 자체 점검에만 의존해 부실했다는 언론 보도가 나왔고, 정부가 이에 해명자료를 냈다.
점검을 마쳤다고 회신한 일부 기업에서 올해 개인정보 유출 사고가 발생해, 당시 점검이 제대로 검증됐는지 의문이 제기됐다.
정부가 통신사·플랫폼사 등 ISMS 인증기업과 주요 정보통신기반시설 운영기관에 자체 점검을 맡기고 직접 현장 검증은 하지 않았다.
과기정통부는 대표자 서명 확인서를 통해 형식적 점검을 방지했다고 설명했고, 2026년 ISMS 인증 사후심사와 연계해 사후 현장 검증을 진행 중이며 유출 사고 기업은 별도 조사 중이라고 밝혔다.
ISMS 인증기업은 자체 점검 결과가 추후 인증 사후심사 시 현장 검증 대상이 될 수 있음을 유의해야 한다.
본문
과기정통부가 모 언론이 보도한 1650개 정보기술(IT) 시스템의 보안 취약점 점검 미흡에 대해 30일 오후 해명자료를 배포했다.
앞서 이 언론은 정부가 지난해 1650개 정보기술(IT) 시스템의 보안 취약점을 점검하겠다고 공언하고도 민간기업의 점검 내용은 검증하지 않은 것으로 나타났다고 보도했다. 정부가 기업의 보안 상태를 직접 확인하지 않은 채 기업의 자체 점검(셀프 점검) 결과에 의존했다는 것이다. 이 언론은 "당시 (자체) 점검을 마쳤다고 회신한 기업 중 일부에서는 올해 개인정보 유출 사고가 발생하면서 정부가 점검 결과를 제대로 검증했는지에 의문이 제기된다"고 지적했다.
작년 10월 과기정통부는 잇달은 민간 해킹 사태에 대한 대응책으로 '범부처 정보보호 종합대책'을 발표, 국민 대다수가 이용하는 1650개 IT 시스템의 보안 취약점을 점검하겠다고 밝혔다. 당시 과기정통부는 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼사 등 정보보호 관리체계(ISMS) 인증기업 949개 등의 시스템을 점검하겠다고 전했다.
이 언론은 "문제는 정부가 민간기업 점검을 직접 점검이 아닌 기업 자체 점검에 의존했다는 점"이라면서 "과기정통부는 통신사와 플랫폼사 등 ISMS 인증기업과 주요 정보통신기반시설 운영기관에 자체 점검을 맡겼다. 과기정통부에는 831개 기관이 점검 결과를 회신했다"고 밝혔다.
이 같은 언론 보도에 대해 과기정통부는 해명자료에서 "작년 보안점검(~12월) 당시 실무진의 형식적인 점검을 방지하기 위해 4개 영역(전사 IT 자산현황 실사, 인터넷 접점 자산식별, 접점자산 대상 취약점 점검, 자체 백업전환 훈련 실시)에 대해 각각 대표자(CEO)가 직접 결과를 보고받고 서명한 확인서를 받았다"면서 "과기정통부는 기업 점검 결과를 '2026년 정보보호 관리체계(ISMS) 인증 사후심사'와 연계해 사후 현장 검증을 차질 없이 진행 중"이라고 설명했다.
이어 "보안점검 대상 기업 중 최근 정보유출 사고가 발생한 기업에 대해서는 정부 조사를 통해 사고 원인을 면밀히 분석하고 있다"면서 "정부는 기업과 함께 선제적 예방을 강화하고 있으며, 불가피한 공격에 대해서는 신속히 복구하고 피해를 최소화할 수 있게 노력하고 있다"고 덧붙였다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
