민관 해킹에 놀란 정부...'범부처 정보보호 종합 대책' 발표
정부가 민관에서 잇달고 있는 해킹 사고에 대응해 용산 국가안보실을 중심으로 과기정통부, 국정원, 행안부 등 관련부처가 참여한 가운데 단기 성격의 1차 종합 대책을 '범부처 정보보호 종합대책'이라는 이름으로 마련, 22일 발표했다. 연내 중장기 성격의 과제를 망라한 또 다른 '국가 사이버안보 전략'을 공개한다. 이번 종합대책에 따라 정부는 공공과 금융, 통신 등 국민 대다수가 이용하는 1600여개 IT 시스템에 대해 대대적인 보안 취약점 점검에 즉시 착수한다. 1600여 곳은 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼 등 ISMS 인증기업 949개 등이다. 또 공공부터 정보보호 역량 강화에 솔선수범하기 위해 공공의 정보보호 예산을 내년 1분기부터 정보화 대비 일정 수준 이상으로 확보한다. 현재는 정보화 예산 대비 15% 이상의 정보보호 투자를 권고하는 선언적 규정 수준에 머물러 있다. 정부 정보보호책임관 직급도 현재 국장급에서 실장급으로 상향하고, 위기 상황 대응 역량 강화 훈련 고도화, 공공기관 경영평가 시 사이버보안 배점도 상향(0.25→0.5점)한다. AI 3대 강국을 뒷받침할 보안산업 육성을 위해 AI 에이전트 보안 플랫폼 등 차세대 보안 기업을 집중 육성(연 30개사)하고, 보안 산업 저변 확대를 위해 정보보호 서비스 범위를 확대, 현재 보안컨설팅‧관제 전문기업제를 운영하고 있는데 이를 확대, AI보안‧SW공급망보안 분야로 넓힌다. 특히 클라우드, AI 확산 등 글로벌 변화에 부합하지 않은 획일적인 물리적 망분리를 데이터 보안 중심으로 본격 전환('26년~)하고, 클라우드 보안 요건 개선 등 민간 사업자의 공공 진출 요건 완화를 추진한다. 보안을 비용이 아닌 투자로 전환하기 위한 정보보호 등급제, CEO 책임과 CISO 역할을 강화한다. 22일 정부는 과학기술정보통신부(부총리 겸 과기정통부장관 배경훈, 이하 '과기정통부')와 관계부처는 전방위적인 해킹 사고로 국민 불안이 가속화하는 현 상황을 신속히 극복하고 국가 전반의 정보보호 역량을 강화하기 위해 이 같은 내용을 골자로 한 '범부처 정보보호 종합대책'을 수립, 대국민 브리핑 형식으로 발표했다. 이날 대책은 국가안보실을 중심으로 과기정통부, 금융위원회. 개인정보보호위원회, 국가정보원, 행정안전부 등 관계부처가 합동으로 민간과 공공을 아우르는 방안으로 수립했다. 이 대책은 현 사안의 시급성을 고려해 즉시 실행할 수 있는 단기과제 위주이며, 이후 정부는 중장기 과제를 망라하는 '국가 사이버안보 전략'을 연내 수립, 발표할 계획이다. 이날 행사에서 대한민국 사이버보안 컨트롤타워를 묻는 기자 질문에 김창섭 국가정보원 제3차장은 "용산 국가안보실"이라고 확실히 답했는데, 국가안보실 인사는 행사에 참석하지 않았다. 이번 '범부처 정보보호 종합대책'의 네가지 추진 방향은 ❶국민 생활에 밀접한 핵심 IT 시스템의 대대적인 보안 점검 추진 ❷소비자 중심의 사고 대응 체계 구축과 재발 방지 대책 실효성 강화 ❸민·관 전반의 정보보호 역량 강화와 글로벌 기준에 부합하는 정보보호 환경 조성과 정보보호 산업·인력·기술 육성 ❹범국가적 사이버안보 협력 체계 강화 등이다. ■ 공공기관 기반시설 288곳, 중앙지방행정기관 152곳, 금융 261곳, 통신 등 ISMS 인증기업 949곳 대대적 조사 우선 해킹에 대한 국민의 만연한 불안감 해소를 위해 공공·금융·통신 등 국민 대다수가 이용하는 1600여개 IT 시스템(공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼 등 ISMS 인증기업 949개 등)에 대해 대대적인 보안 취약점 점검을 즉시 추진한다. 특히 통신사는 실제 해킹 방식의 강도 높은 불시 점검을 추진하고, 주요 IT 자산에 대한 식별·관리체계를 구축하게 한다. 아울러 소형기지국(펨토셀)은 안정성이 확보되지 않을 경우 즉시 폐기하는 등 보다 엄격히 조치할 계획이다. 아울러 보안 인증 제도(ISMS, ISMS-P)를 현장 심사 중심으로 전환하고 중대한 결함이 발생할 경우 인증을 취소하는 등 실효성을 제고하고 사후관리를 강화하는 한편, 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계도 구축한다. ■ 국정원 조사 및 분석 도구 민간과 공동 활용...정부 조사 권한 확대도 기업의 보안 해태로 인한 해킹 발생 시 소비자의 입증책임 부담을 완화하고 통신·금융 등 주요 분야는 이용자 보호 매뉴얼을 마련하는 등 소비자 중심의 피해구제 체계를 구축하는 한편, 개인정보 유출 사고로 인한 과징금 수입을 피해자 지원 등 개인정보 보호에 활용할 수 있게 기금 신설을 검토한다. 이와 함께 해킹 정황을 확보한 경우에는 기업의 신고 없이도 정부가 신속히 현장을 조사할 수 있게 정부 조사 권한을 확대하고, 아울러 해킹 지연 신고, 재발 방지 대책 미이행, 개인·신용 정보 반복 유출 등 보안 의무 위반에 대해서는 과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입 등 제재를 강화한다. 그리고 국가정보원의 조사·분석 도구를 민간과 공동 활용하는 한편, AI 기반 지능형 포렌식실을 구축해 분석 시간을 대폭 단축(건당 14일 → 5일)하는 등 침해사고 탐지·대응 역량을 고도화하고 영역별 사고조사 전문인력을 확보·충원하는데 박차를 가한다. ■ 공공 정보보호 예산 상향...정보보호 공시 의무 상장사 전체(2700여곳)로 확대 공공부터 정보보호 역량 강화에 솔선수범하기 위해, 공공의 정보보호 예산)과 인력을 정보화 대비 일정 수준 이상으로 확보('26년 1분기)한다. 현재는 정보화 예산 대비 15% 이상의 정보보호 투자를 권고하는 선언적 규정 수준이다. 또 정부 정보보호책임관 직급을 기존 국장급에서 실장급으로 상향하는 한편, 위기 상황 대응 역량 강화 훈련 고도화, 공공기관 경영평가 시 사이버보안 배점 상향(0.25→0.5점) 등을 추진한다. 민간의 경우 보안에 대한 인식을 더 이상 비용이 아닌 기업의 성패를 가르는 필수 투자로 전환할 수 있게, 정보보호 공시 의무 기업을 상장사 전체로 확대(현 666개사 → 약 2700여개사로 확대)하고, 동시에 공시 결과를 토대로 보안 역량 수준을 등급화해 공개하는 제도를 도입한다. 아울러 CEO의 보안 책임 원칙을 법령상 명문화하고 보안최고책임자(CISO·CPO)의 권한을 대폭 강화(예를들어 모든 IT 자산에 대한 통제권 부여, 이사회 정기 보고 의무화, 정보보호 인력·예산 편성·집행 등)하는 한편 자체적인 보안 역량이 부족한 중소·영세기업 대상으로는 정보보호 지원센터 확대(현 10개소→16개) 등을 통해 밀착 보안 지원을 강화한다. ■ 클라우드 보안 요건 개선...2027년까지 IT시스템과 제품 S봄 제출 제도화 기존 레거시적인 보안 갈라파고스 환경에서 과감히 탈피해 글로벌 변화에 부합하는 보안 환경을 조성하기 위해 금융·공공기관 등이 소비자에게 설치를 강요하는 보안 SW를 단계적으로 제한('26년~)하는 대신 다중 인증(예를들어 비밀번호, OTP, 생체인식 등 조합, 모바일 신분증 등), AI기반 이상 탐지 시스템 등의 활용을 통해 보안을 강화한다. 그리고 클라우드, AI 확산 등 글로벌 변화에 부합하지 않은 획일적인 물리적 망분리를 데이터 보안 중심으로 본격 전환('26년~)하고, 클라우드 보안 요건 개선 등 민간 사업자의 공공 진출 요건 완화를 추진한다. 공공 분야 클라우드 시장 문호 확대와 관련해 질의 응답 시간에 김창섭 국정원 3차장은 "자칫 외산 클라우드가 국내 시장에 진출하는 물꼬를 터주는 계기가 될 수도 있다"면서 "관련 기업들과 긴밀히 협력해 지혜를 모을 것"이라고 답변했다. 이와 관련해 고려대 김승주 교수는 "정부의 이번 정보보호 종합 대책 중 가장 주목할 부분이 클라우드"라면서 "우리나라의 클라우드 보안 인증제 CSAP는 미국 정부의 클라우드 서비스 보안 인증제인 페드램프(FedRAMP)를 벤치마킹했는데, 이 페드램프는 연방정부를 대상으로 한 것으로 국방 분야 등이 빠져있다"고 지적했다. 아울러 공공분야에 사용되는 IT 시스템·제품에 대해 SW 구성요소(SBOM, S봄)의 제출을 오는 2027년까지 제도화하고 보안 문제가 발견된 IT 제품은 공공 조달 도입 제한을 추진하며, 산업용·생활용 IT 제품군(IoT 가전 등)에 대한 보안 평가 공개 등을 추진한다. ■ AI에이전트 보안 플랫폼 등 차세대 보안 기업 연 30곳 육성 AI 3대 강국을 뒷받침할 보안산업 육성을 위해 AI 에이전트 보안 플랫폼 등 차세대 보안 기업을 집중 육성(연 30개사)하고, 보안 산업의 저변 확대를 위해 정보보호 서비스 범위(정보보호산업법에 따라 안전하고 신뢰할 수 있는 정보보호서비스 기업을 지정하는 제도, (현재) 보안컨설팅·관제 전문기업 → (확대) AI보안·SW공급망보안 등 관련 전문기업)를 확대한다. 아울러 보안 최고 전문가인 화이트해커(연 500여명) 양성 체계를 기업 수요로 재설계하고, 정보보호특성화대학(학부, 7개교), 융합보안대학원(석박사, 9개교)을 5극3특(동남권(스마트조선 등), 대경권(미래차부품 등), 호남권(AI 등), 중부권(바이오 등) 권역별 성장엔진 산업에 특화된 보안 인재 양성 허브로 기능을 강화('26년~)하는 등 전주기 보안 인력 양성을 체계화 및 고도화한다. ■ 주요 통신기반 시설 지정 확대하고 침해사고시 사단 조사 활성화 국가 핵심 인프라인 주요정보통신기반시설을 범부처 위원회인 정보통신기반시설보호위원회(위원장 : 국조실장)를 통해 지정을 확대해 나가고, 기반시설의 사고 원인 조사 단계에서는 침해사고대책본부(국가사이버위기관리단(국사단)으로 지정)를 활성화한다. 아울러 부처별로 파편화된 해킹 사고조사 과정을 체계화해(One-Stop 신고체계 도입, 조사단별 투입시기 최적화, 상호 정보공유 강화 등) 현장의 혼선을 최소화하고, 민관군 합동 조직인 국가정보원 산하 국가사이버위기관리단과 정부 부처 간의 사이버 위협 예방·대응 협력을 강화한다. 배경훈 부총리는 대국민 브리핑에서 “과기정통부 등 관계부처는 이번 종합대책이 현장에서 제대로 작동될 때까지 실행 과정을 면밀히 살펴볼 것이며 부족한 부분을 지속적으로 보완해 나가겠다”면서 “앞으로도 정부는 AI 강국을 뒷받침하는 견고한 정보보호 체계 구축을 취해 총력을 기울이겠다”고 밝혔다.
