공공부문 사이버보안 책임 강화…위중한 정보 유출 '기관장에 책임'

정부가 공공기관의 기본적인 보안수칙 위반에 대한 징계 기준을 마련하고, 위중한 정보 유출사고가 발생하면 기관장에게도 책임을 묻는다.

국가정보원 주관 사이버보안 실태평가 대상도 올해 153개 기관에서 2028년까지 2000여 개 국가·공공기관으로 확대한다.

정부는 1일 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처 합동으로 이 같은 내용의 '공공부문 사이버보안 책임성 강화 방안'을 발표했다.

이번 방안은 최근 모두의 창업 정보유출, 국립대학병원 랜섬웨어 감염 등 공공분야 주요 보안사고가 상당 부분 기본적인 보안수칙 미준수에서 비롯됐다는 분석에 따라 마련됐다.

특히 기본적인 보안수칙을 위반하더라도 대부분 징계가 이뤄지지 않고, 징계 역시 관리자보다 실무자 위주로 이뤄지고 있는 점을 주요 원인으로 진단했다.

이에 정부는 보안사고에 대한 관리자·담당자의 징계 기준을 강화하는 한편, 정보보호 업무 기피를 막기 위한 담당자 지원과 기관 차원의 보안 역량 강화도 함께 추진한다.

기존에는 보안사고가 발생하더라도 개인정보·비밀 침해나 고의적인 사고를 중심으로 징계가 이뤄졌으며, 기본적인 보안수칙 위반에는 명확한 처리지침이 없었다.

이번 방안을 통해 초기 비밀번호를 변경하지 않고 사용하거나 발견된 보안 문제점을 장기간 조치하지 않는 등 기본적인 정보보호 수칙 위반에 적용할 수 있는 징계 기준과 명확한 처리지침이 마련된다.

위중한 정보 유출사고가 발생하면 감독자에게 책임을 부과하도록 '공무원 징계령 시행규칙' 등에 명문화하고 징계 기준도 높인다.

기관 차원의 사이버보안 역량을 높이기 위한 평가체계도 개선한다.

국가정보원 주관 '사이버보안 실태평가' 대상을 올해 153개 기관에서 2028년까지 2000여 개 국가·공공기관으로 확대한다.

실태평가에는 정보 유출사고 발생 때 감점하고 사고 신속조치 여부를 평가하는 등 신규 지표를 도입한다.

아울러 '중앙행정기관 특정평가'에 평가 결과를 반영하고 '지방공기업 경영평가' 등에도 사이버보안 평가지표를 추가해 실효성을 강화할 예정이다.

한편, 보안사고 관련 징계가 확대되면서 정보보호 업무 기피를 방지하기 위해 담당자에 대한 인사상 우대방안도 마련한다.

정보보호 수당 신설과 정보보호 담당자 성과평가 때 가점 부여, 중요직무 선정 기준에 정보보호 업무를 포함하는 방안 등을 검토한다.

조직·예산도 보강한다.

중앙행정기관과 광역지자체의 사이버보안 인력을 보강하고, 중장기적으로 민간 전문가를 장으로 하는 전담조직을 설치해 전문성을 확보할 계획이다.

정보시스템 특성에 따라 정보보호 활동에 필요한 기본적인 예산 소요사항도 발굴·정리하고, 안정적인 사이버보안 예산 투자를 유도하기 위한 방안을 관계부처와 논의할 예정이다.

황규철 행정안전부 인공지능정부실장은 이날 브리핑에서 "이번 방안의 핵심은 단순한 징계 강화가 아니라 보안을 '국가적 사명'으로 바라보는 인식의 전환"이라며 "앞으로 국민이 안심하고 이용할 수 있는 안전한 AI 민주정부를 실현하겠다"고 밝혔다. 

문의: 행정안전부 디지털보안정책과(044-205-2745), 혁신기획과(044-205-2216), 자치분권제도과(044-205-3312), 개인정보보호위원회 사전실태점검과(02-2100-2439), 인사혁신처 복무과(044-201-8433)