공공부문 정보유출·랜섬웨어 감염 등 사고 시 기관장도 징계

공공기관의 사이버보안 유출 사고시 문책 대상이 고위직 위주로 강화된다. 정보 유출사고 대부분이 기본 수칙을 지키지 않아 발생했지만, 관리자에 대한 징계가 제대로 이뤄지지 않았다는 지적에 따른 조치다. 정부는 기본수칙 위반에 대한 징계기준을 높여 앞으로는 해당 기관장이 우선 책임지도록 할 방침이다.

1일 행정안전부는 국가정보원·인사혁신처·개인정보보호위원회 등과 함께 이 같은 내용의 '공공부문 사이버보안 책임성 강화 방안'을 발표했다.

행안부에 따르면 온나라시스템 해킹·국립대 병원 랜섬웨어 감염·국립외교원 및 정보통신기획평가원의 개인정보 유출 등 최근 발생한 공공부문 사이버보안 사고 대부분 기본적인 보안 수칙 미준수에서 비롯된 것으로 조사됐다. 그러나 정무직이 아닌 기관장은 징계 대상에서 제외됐다. 지난 2021년부터 올 5월까지 공공부문에서 발생한 약 247건의 정보 유출사고 중에서 기관장이 징계를 받은 경우는 0건이다. 책임자나 관리자가 징계를 받은 경우도 9건에 그쳐, 전체의 1% 수준에 불과했다. 행안부는 사이버보안 수칙 준수여부 등을 평가하는 '사이버보안 실태평가' 결과가 정부 업무평가 내 반영되는 비중이 100점 만점에 0.6점 등으로 낮아, 기관의 사이버보안 향상 노력을 위한 유인 동기가 부족하다고 분석했다.

이에 따라 앞으로는 공공부문에서 정보 유출 사고가 발생할 경우 사이버보안 규정 위반에 대한 징계기준을 높이고, 고위 감독자에 대한 문책 강화 규정을 명문화하기로 했다. 인사혁신처는 오는 11월 중 '공무원 징계령 시행규칙'에 정보 유출사고 시 관련 감독자에게 엄중 책임을 묻는 사항을 신설할 예정이다. 또한 국가정보원 주관의 '사이버보안 실태평가' 대상을 2028년까지 공공부문 모든 기관으로 확대해, 기존 153곳에서 2160곳으로 늘릴 방침이다.

보안사고에 대한 징계가 강화되면서 관련 업무 기피 현상이 생길 것을 막기 위한 조치도 마련된다.

정보보호 업무수당을 신설하는 한편 정보보호 담당자 성과평가 시 가점을 부여해 업무 담당자를 우대한다. 조직·예산 측면에서는 중앙행정기관과 광역지자체에 사이버보안 인력을 보강하고, 중장기적으로는 민간 전문가를 장으로 하는 전담조직을 설치해 전문성을 확보할 계획이다.

오주연 기자 moon170@asiae.co.kr