[서울=뉴스핌] 김지나 기자 = 정부가 공공기관에서 위중한 정보 유출사고가 발생할 경우 기관장 등 감독자에게 엄중한 책임을 물을 수 있도록 징계 기준을 강화한다. 초기 비밀번호 미변경이나 보안 문제 장기 방치 등 기본적인 보안수칙 위반에 대해서도 구체적인 징계 기준을 마련한다.

정부는 1일 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처 합동으로 이 같은 내용의 '공공부문 사이버보안 책임성 강화 방안'을 발표했다.

이번 대책은 최근 공공부문에서 잇따른 사이버 침해사고의 상당수가 기본적인 보안수칙을 지키지 않은 데서 비롯됐다는 판단에 따른 것이다.

정부에 따르면 지난해 7월 온나라시스템 해킹 및 자료 유출을 비롯해 같은 해 11월 한마음혈액원 랜섬웨어 감염 및 자료 유출, 올해 1월 강원대병원·화순전남대병원 랜섬웨어 감염, 2월 국립외교원 교육시스템 개인정보 유출 등이 이어졌다. 지난 6월에는 '모두의창업' 합격자 비공개 정보가 유출됐고 7월에는 정보통신기획평가원에서 개인정보 유출 사고가 발생했다.

하지만 정보 유출사고가 발생해도 기관장이나 관리자가 직접 징계를 받는 사례는 드물었다.

2021년부터 올해 5월까지 해킹 등 사이버공격으로 발생한 정보 유출사고는 약 247건으로, 이 가운데 징계 처분으로 이어진 것은 9건에 그쳤다. 비정무직 기관장이 직접 징계를 받은 사례는 한 건도 없었다. 정무직 공무원은 국가공무원법상 징계 대상에서 제외된다.

개인정보 유출사고에 대한 경제적 제재는 강화되는 추세다. 공공기관의 연평균 건당 과징금은 2023년 2300만원에서 2024년 2억3900만원, 지난해 2억7400만원으로 늘었고 올해 1~5월에는 4억1100만원까지 증가했다.

정부는 우선 위중한 정보 유출사고가 발생하면 감독자인 고위직에게 엄중한 책임을 물을 수 있도록 오는 11월까지 '공무원 징계령 시행규칙'을 개정할 방침이다. 사이버보안 규정 위반에 대한 최소 징계 수준을 높이는 방안도 검토한다.

기본적인 사이버보안 수칙 위반에 대해서도 책임을 명확히 한다.

현재 관련 규정에는 보안법령 위반 행위가 단순 예시 형태로 규정돼 있어 실제 징계에 적용하기 어렵다는 지적이 있었다. 이에 정부는 서비스 개통 전 보안 검토 미실시, 방화벽 등 보안장비 관리 부실, 반복적인 보안 규정 위반, 발견된 보안 문제점 장기간 미조치 등을 구체적인 위규 유형으로 규정한 '사이버보안 위규 처리기준'을 마련해 오는 12월까지 국가공무원 복무·징계 관련 예규에 반영할 계획이다.

기관 자체의 보안 책임을 강화하기 위한 평가제도도 대폭 손질한다.

현재 국정원이 실시하는 '사이버보안 실태평가'에는 전체 평가 가능 국가·공공기관 2160곳 가운데 중앙부처와 광역지자체, 공기업·준정부기관 등 153곳만 참여하고 있다. 전체의 7.1% 수준이다. 지난해 평가에서는 중앙부처와 광역지자체 가운데 '우수' 등급을 받은 기관이 한 곳도 없었다.

정부는 평가 대상을 내년 기타공공기관·지방공기업·시도교육청 등을 포함한 868곳으로 늘리고, 2028년부터는 기초지자체와 지방출자·출연기관, 교육지원청 등을 포함한 전체 2160개 국가·공공기관으로 확대할 방침이다.

평가의 실효성도 높인다. 사이버보안 실태평가에 정보 유출사고 발생 시 감점하거나 사고 발생 후 신속한 조치 여부를 따지는 지표를 새로 도입한다. 내년부터 중앙행정기관 특정평가에도 중대 정보 유출사고 발생에 따른 감점 기준을 반영한다. 지방공기업 경영평가에는 2027년 실적을 평가하는 2028년도 평가부터 사이버보안 지표를 신설한다.

사이버보안 인력과 조직도 확대한다. 현재 49개 중앙행정기관 가운데 별도의 사이버보안 과·팀을 운영하는 곳은 11곳으로 22%에 불과하다. 지난해 사이버보안 실태평가에서도 평가 대상 152개 기관 가운데 37곳(24%)이 정보화 업무 담당인력의 10% 이상을 사이버보안 인력으로 두도록 한 기준을 충족하지 못했다.

정부는 중앙행정기관의 개인정보보호를 포함한 사이버보안 인력 100명 보강을 지난 8월 완료했으며 지방자치단체 인력도 연말까지 보강할 예정이다. 중장기적으로는 중앙행정기관과 광역지자체에 민간 정보보호 전문가를 책임자로 하는 과·팀 단위 전담조직을 설치할 계획이다.

강화된 책임에 맞춰 사이버보안 담당자에 대한 보상도 확대한다. 중요직무 선정 기준에 정보보호 업무를 포함하고 별도의 정보보호 업무수당을 신설하는 방안을 검토한다. 중요직무 담당자로 선정되면 4~5급은 월 15만원, 6급 이하는 월 10만원 상당의 중요직무급을 받을 수 있다.

또 올해 말까지 승진후보자 명부 작성 때 활용되는 가점평정 기준에 정보보호 업무를 포함해 성과평가와 승진 과정에서 우대할 수 있도록 할 방침이다.

사이버보안 예산도 안정적으로 확보할 수 있도록 제도를 정비한다. 정부는 모의해킹 등 정기적인 취약점 점검과 긴급조치, 보안지원이 종료된 노후 소프트웨어 교체, 민간 클라우드 이용 시 보안서비스 구독 등 기본적인 정보보호 소요를 이달까지 정리하고 관계부처 협의를 통해 안정적인 예산 투자 방안을 마련할 계획이다.

황규철 행정안전부 인공지능정부실장은 "이번 방안의 핵심은 단순한 징계 강화가 아니라 보안을 '귀찮은 규제'가 아닌 '국가적 사명'으로 바라보는 인식의 전환"이라며 "국민이 안심하고 이용할 수 있는 안전한 AI 민주정부를 실현하도록 노력하겠"고 말했다.

abc123@newspim.com