정부가 공공기관에서 벌어지는 사이버보안 사고에 대한 처벌과 평가 기준을 크게 강화하기로 했습니다. 그동안은 고의적인 해킹 피해 등 큰 사고만 징계 대상이었지만, 앞으로는 초기 비밀번호를 바꾸지 않거나 알려진 보안 취약점을 방치하는 등 기본적인 보안 수칙 위반도 징계를 받게 됩니다. 또한 사고가 나면 실무자뿐 아니라 관리자(감독자)에게도 책임을 묻도록 규정을 명확히 합니다. 보안 실태를 점검하는 평가 대상 기관을 올해 153곳에서 2028년까지 2000여 곳으로 늘리고, 기관장 평가 지표에도 보안 성적을 반영합니다. 동시에 보안 담당자에 대한 수당 신설, 인력 보강 등 지원책도 함께 추진합니다.
행정안전부·국가정보원·인사혁신처·개인정보보호위원회가 '공공부문 사이버보안 책임성 강화 방안'을 공동 발표했다.
공공기관 임직원과 기관장은 기본적인 보안수칙 위반만으로도 징계를 받을 수 있고, 사고 발생 시 감독자도 책임을 지게 된다. 경영평가·실태평가에 보안 지표가 반영돼 기관 전체의 평가 결과에 영향을 준다.
최근 발생한 공공분야 정보유출·랜섬웨어 사고가 초기 비밀번호 미변경, 취약점 장기 방치 등 기본적 보안수칙 미준수에서 비롯됐고, 그간 징계가 실무자 위주로 미흡하게 이뤄져온 점이 문제로 지적됐다.
징계 기준을 상향해 공무원 징계령 시행규칙 등에 명문화하고, 사이버보안 실태평가 대상을 2028년까지 2000여 개 기관으로 확대하며, 보안 담당자 처우 개선과 전담 조직·예산 확충을 함께 추진한다.
공공기관은 초기 비밀번호 변경, 알려진 취약점 조치 등 기본 보안수칙 이행 여부를 내부적으로 점검하고 문서화해 두어야 하며, 보안 담당 인력과 예산 확보를 선제적으로 준비할 필요가 있다.
본문
앞으로 초기 비밀번호를 변경하지 않는 등 기본적 정보보호 수칙 위반도 징계 대상이 된다. 정부가 공공 분야에서 발생하는 사이버보안 사고에 대한 징계 기준을 대폭 상향하고 기관장의 책임을 엄중히 묻는다.
행정안전부와 국가정보원, 인사혁신처, 개인정보보호위원회 등 관계부처는 1일 이 같은 내용을 담은 '공공부문 사이버보안 책임성 강화 방안'을 합동으로 발표했다.
정부는 최근 모두의 창업 정보 유출이나 국립대학병원 랜섬웨어 감염 등 주요 공공 보안사고가 '기본적 보안수칙 미준수'에서 비롯됐다고 진단했다. 특히 보안 수칙을 위반해도 징계가 제대로 이뤄지지 않거나, 관리자 대신 실무자 위주로 처벌이 집중되던 관행을 근본적 원인으로 지적했다.
이에 정부는 사이버보안 징계 기준을 전면 개편한다. 기존엔 고의적 사고나 침해의 경우에 주로 징계했으나, 앞으론 초기 비밀번호를 변경하지 않거나 발견된 보안 취약점을 장기간 방치하는 등 기본적 정보보호 수칙 위반에 대해서도 명확한 징계 처리지침을 마련한다. 유출사고가 발생할 경우 감독자에게 책임을 직접 부과하도록 '공무원 징계령 시행규칙' 등에 명문화해 징계 기준을 상향 적용할 방침이다.
기관 차원의 보안 역량을 끌어올리기 위해 실태평가 체계도 대폭 변경된다. 국가정보원 주관 '사이버보안 실태평가' 대상을 올해 153개 기관에서 2028년까지 2000여 개 국가 및 공공기관으로 확대한다.
유출 사고가 나면 감점을 주는 등 신규 지표를 도입하고, 중앙행정기관 특정평가 및 지방공기업 경영평가에도 사이버보안 지표를 추가해 평가 실효성을 높인다. 징계 강화에 따른 보안 업무 기피 현상을 막기 위해 담당자 인사를 우대한다. 정보보호 수당 신설과 성과평가 가점 부여, 중요직무 선정 기준 포함 등의 방안이 검토된다.
조직과 예산 인프라도 확충한다. 중앙행정기관과 광역지자체의 사이버보안 인력을 보강하고, 중장기적으로 민간 전문가가 이끄는 전담 조직을 설치해 전문성을 확보한다. 또 정보시스템 특성에 맞는 기본 보안 예산 소요 사항을 발굴해 안정적 사이버보안 투자가 이뤄지도록 관계 부처와 적극 논의한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
