공공부문 정보유출 징계 강화 추진…관리자 감독 책임 명문화

정부가 공공부문 정보 유출사고의 감독 책임을 명문화한다. 비밀·개인정보 유출과 보안 관리 미흡에 따른 해킹으로 정보가 유출된 경우 징계 최소 기준을 견책에서 감봉으로 높이는 방안을 추진한다. 초기 비밀번호를 그대로 사용하거나 발견된 보안 문제를 장기간 방치하는 등 기본 수칙 위반에 대해서도 징계 처리 기준을 마련한다.

행정안전부와 국가정보원, 인사혁신처, 개인정보보호위원회는 10월 1일 정부서울청사 별관에서 ‘공공부문 사이버보안 책임성 강화 방안’을 발표했다. 관리자·담당자의 책임을 강화하면서 보안평가 확대와 인력 보강, 담당자 우대 방안을 함께 추진하는 내용이다.

황규철 행안부 인공지능정부실장은 “현재 공공 분야에서는 아주 기초적인 수칙만 지켰어도 막을 수 있었던 사고들이 반복되고 있다”며 “이는 단순한 실수가 아니라 보안 의식의 부재”라고 말했다.

감독 책임 소홀한 관리자도 징계…연내 규칙 개정 추진
정부는 최근 공공분야 보안사고의 상당 부분이 기본적인 보안수칙 미준수에서 비롯됐다고 진단했다. 수칙을 위반해도 징계가 이뤄지지 않거나 관리자보다 실무자 위주로 책임을 묻는 관행도 개선 대상으로 봤다.

이에 위중한 정보 유출사고가 발생했을 때 감독 책임을 소홀히 한 관리자에게 책임을 물을 수 있도록 ‘공무원 징계령 시행규칙’ 등에 명시할 방침이다.

김재선 인사혁신처 복무과장은 “지금까지는 일반적인 비위 유형에 대해서 관리자 책임을 물을 수는 있다”면서도 “현재 법령에 명시적인 규정이 없었다”고 설명했다.


비밀·개인정보 유출과 보안 관리 미흡에 따른 해킹으로 정보가 유출된 경우에는 징계 최소 기준을 높인다. 김 과장은 “징계양정 최소기준을 견책에서 감봉으로 상향하겠다”며 올해 안에 시행규칙을 개정해 시행할 수 있도록 준비하겠다고 밝혔다.

초기 비밀번호 미변경, 발견된 보안 문제의 장기 미조치 등 기본적인 정보보호 수칙 위반에 적용할 징계 기준과 처리지침도 구체화한다.

다만 정무직 장·차관은 공무원 징계 대상에서 제외된다. 김 과장은 정무직의 책임 문제는 대통령 인사권에 관한 사항이라고 설명하고, 정무직을 제외한 공무원은 부처 1급까지 징계 대상이 될 수 있다고 밝혔다.

정부는 이번 방안을 중앙·지방행정기관과 공사·공기업, 지방공기업까지 포괄하는 방향으로 추진할 계획이다.

사이버보안 평가 153개서 2천여 개 기관으로 확대
국정원이 주관하는 사이버보안 실태평가 대상은 올해 153개 기관에서 2028년까지 2천여 개 국가·공공기관으로 확대한다.

평가에는 정보 유출사고 발생 시 감점과 사고 신속조치 여부 등 신규 지표를 도입한다. 중앙행정기관 평가에 보안사고 감점을 반영하고, 지방공기업 경영평가 등에도 사이버보안 실태평가 결과를 반영할 방침이다.

개별 담당자의 규정 준수뿐 아니라 기관 차원의 보안 관리와 사고 대응도 평가에 반영하겠다는 취지다.

정보보호 수당·가점 검토…인력·예산 세부안은 후속 협의
징계 강화에 따른 업무 기피를 막기 위해 정보보호 담당자 우대 방안도 마련한다. 업무 수당 신설, 성과평가 가점, 중요직무 선정 기준에 정보보호 업무를 포함하는 방안 등을 검토한다.

황 실장은 “보안 업무가 기피 업무가 되는 이유는 사고 시 책임 부담이 있는 반면, 성과 증명은 어렵기 때문”이라고 말했다.

김 과장은 현재 과학기술 직군 등에 지급하는 기술정보 수당과 정보보호 업무 담당자에게 별도로 지급할 수당은 다르다고 설명했다. 그는 “개인정보라든가 정보보호 업무 담당자에게 별도로 수당 신설을 검토하겠다는 말씀”이라고 밝혔다. 성과평가 가점의 구체적인 수준도 검토 단계다.

중앙행정기관과 광역지자체에는 사이버보안 인력을 보강한다. 중장기적으로는 민간 정보보호 전문가를 장으로 하는 전담조직 설치를 검토한다.

황 실장은 외부 용역업체가 맡은 업무 범위에서는 대응할 수 있지만, 복합적인 상황에서 관련 기관과 협조하는 데는 한계가 있다고 설명했다. 권한을 갖춘 전문가가 전담조직을 이끌면 협조체계를 넓힐 수 있다는 취지다.

모의해킹을 통한 취약점 점검과 보안지원이 종료된 노후 소프트웨어 교체 등에 필요한 예산 확보 방안도 관계부처와 논의한다. 구체적인 예산 편성 기준과 투자 규모는 후속 협의를 거쳐 정할 예정이다.