행안부, 공공 사이버보안 징계기준 강화…기관장 책임 묻는다

정부가 공공부문에서 잇따른 정보 유출 사고의 책임을 기관장과 관리자에게 직접 묻는 방향으로 징계기준을 강화한다. 행정안전부와 국가정보원, 인사혁신처, 개인정보보호위원회 등 관계부처는 1일 이 같은 내용의 공공부문 사이버보안 책임성 강화 방안을 발표했다.

최근 정보통신기획평가원 개인정보 유출과 국립대학병원 랜섬웨어 감염 등 공공기관 보안사고가 이어졌지만 2021년부터 올해 5월까지 발생한 약 247건의 정보 유출사고 가운데 기관장이 직접 징계를 받은 사례는 한 건도 없었다. 정부는 기본적인 보안수칙을 지키지 않아 사고가 나고도 대부분 징계가 이뤄지지 않거나 실무자 위주로 책임이 돌아가는 구조를 문제의 핵심으로 봤다.

이에 따라 초기 비밀번호를 바꾸지 않고 그대로 사용하거나 발견된 보안 취약점을 장기간 방치하는 행위 등에 적용할 구체적 징계기준이 마련된다. 아울러 위중한 정보 유출사고가 발생하면 감독자에게 책임을 부과하는 내용을 공무원 징계령 시행규칙에 명문화하고 징계 양정도 상향하기로 했다.

국가정보원이 주관하는 사이버보안 실태평가도 대폭 확대된다. 올해 153개 기관에 그쳤던 평가 대상은 2028년까지 2,160개 국가·공공기관으로 늘어난다. 정보 유출 사고 시 감점과 사고 신속조치 등 항목이 새로 반영되며, 중앙행정기관 특정평가와 지방공기업 경영평가 등에도 사이버보안 지표가 추가된다.

징계 강화로 담당자 기피가 심해질 수 있다는 우려를 반영해 인사상 우대책도 함께 담겼다. 정보보호 업무수당 신설과 성과평가 시 가점 부여, 중요직무 선정기준에 정보보호 업무를 포함하는 방안이 검토된다. 정부는 또 중앙행정기관과 광역지자체에 사이버보안 인력을 보강하고, 중장기적으로 민간 전문가를 장으로 하는 전담조직을 설치해 전문성을 높일 계획이다.