정보유출 사고 나면 기관장도 문책 … 공공기관 사이버보안 책임 강화

정부가 공공부문에서 중대한 정보 유출 사고가 발생할 경우 기관장을 비롯한 고위직 감독자에게 책임을 묻도록 징계 기준을 강화한다. 현재 153개 기관에 그치는 사이버보안 실태평가 대상도 2028년부터 전체 국가·공공기관 2160곳으로 확대한다. 

행정안전부와 국가정보원·인사혁신처·개인정보보호위원회 등 관계 부처는 1일 이 같은 내용이 담긴 '공공부문 사이버보안 책임성 강화 방안'을 발표했다. 아울러 오는 11월까지 '공무원 징계령 시행규칙'을 개정해 위중한 정보 유출 사고를 고위직 감독자에 대한 문책 대상으로 명문화할 계획이다. 

이번 대책은 공공기관의 잇단 사이버 침해에도 책임자에 대한 징계가 사실상 이뤄지지 않았다는 판단에 따른 것이다. 지난 2021년부터 올해 5월까지 해킹 등으로 약 247건의 정보 유출 사고가 발생했지만 징계 처분은 9건에 그쳤다. 

특히 비정무직 기관장이 직접 징계를 받은 사례는 한 건도 없었다. 정무직 공무원은 국가공무원법상 징계 대상에 포함되지 않는다

정부는 기본적인 보안수칙을 지키지 않은 경우에도 책임을 명확히 묻기로 했다. 초기 비밀번호를 변경하지 않고 사용하거나 발견된 보안 문제를 장기간 방치한 경우 등을 구체적인 징계 기준에 포함하는 방안이다. 관련 기준은 오는 12월까지 마련해 '국가공무원 복무·징계 관련 예규'에 반영한다.

기관 자체에 대한 평가도 강화한다. 현행 사이버보안 실태평가에 ▲정보 유출 사고 시 감점 ▲사고 신속조치 등 신규지표를 도입해 실효성을 보강한다는 방침이다. 

내년부터는 중앙행정기관 정부혁신 평가에서도 중대한 정보 유출 사고가 발생하면 평가점수를 깎는다. 지방공기업 경영평가에도 2028년도 평가부터 사이버보안 지표를 신설한다. 

평가 대상도 대폭 늘어난다. 현재 국가정보원이 실시하는 사이버보안 실태평가는 전체 평가 가능 기관 2160곳 가운데 중앙부처와 광역지자체, 공기업·준정부기관 등 153곳(7.1%)에 그친다. 지난해 평가에서는 중앙부처와 광역지자체 가운데 '우수' 등급을 받은 기관이 한 곳도 없었다. 

정부는 내년 기타공공기관과 지방공기업, 시도교육청 등을 추가해 평가 대상을 868곳으로 늘린 뒤 2028년부터 전체 2160개 기관으로 확대할 방침이다. 

사이버보안 담당자의 처우도 개선한다. 정보보호 업무를 중요직무 선정 기준에 포함하고 별도 업무수당 신설을 검토한다. 승진을 위한 성과평가에서도 정보보호 업무 담당자에게 가점을 주는 방안을 올해 12월까지 마련한다. 

현재 중앙행정기관 49곳 가운데 사이버보안 전담 부서를 운영하는 곳은 11곳(22%)에 불과하다. 정부는 사이버보안 인력을 보강하고 내년부터 중앙행정기관과 광역지자체에 민간 정보보호 전문가 등이 참여하는 전담 조직을 설치하는 방안도 추진한다.