배경훈 부총리, 범부처 정보보호 종합대책 브리핑
공공 288개, 금융 261개, 통신 등 949개 플랫폼 등 전수 점검
보안의무 위반시 과징금 상향에 징벌적 과징금 도입도
2700여 상장사 전부에 정보보호 공시 의무화
국민 대다수가 이용하는 공공·금융·통신 등 1600여 IT 시스템에 대한 대대적 보안 점검이 실시된다. 보안 의무 위반에 대해서는 징벌적 과징금 도입 등 방식의 강화된 제재가 적용된다. 전체 상장사들에 정보보호 공시를 의무화하고 보안 역량 수준을 등급화해서 공개하는 제도도 도입된다.
과학기술정보통신부는 22일 국가안보실을 중심으로 과기정통부, 금융위원회, 개인정보보호위원회, 국가정보원, 행정안전부 등 관계 부처 합동으로 민간·공공을 아우르는 범부처 정보보호 종합대책을 수립했다며 이같이 밝혔다. 배경훈 부총리 겸 과기정통부 장관은 이날 브리핑을 통해 "분야를 막론하고 반복되는 일련의 해킹 사고를 심각한 위기 상황으로 인식하고 있다"며 "범정부 차원의 유기적 대응 체계를 즉시 가동할 것"이라고 했다.
이에 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융사 161개, 통신·플랫폼 등 ISMS(정보보호관리체계) 인증기업 949개 등 1600여 IT 시스템에 대한 대대적 보안 취약점 점검이 즉시 추진된다. 통신사에 대해서는 실제 해킹 방식의 불시 점검이 추진되고 주요 IT 자산에 대한 식별·관리체계를 구축하도록 한다는 방침이다. 소형 기지국(팸토셀)은 안전성이 확보되지 않을 경우 즉시 폐기하도록 하는 등 엄격히 관리하도록 한다.
ISMS 및 ISMS-P(정보보호 및 개인정보보호 인증) 제도는 현장 심사 중심으로 전환하고 중대 결함 발생시 인증을 취소하는 등 실효성을 높이는 쪽으로 개편된다. 모의해킹 훈련과 화이트해커를 동원한 상시 취약점 점검 체계도 구축된다.
아울러 정부는 기업이 보안 의무를 제대로 이행하지 않아 발생한 해킹에 대해서는 소비자 입증 책임을 완화시킬 계획이다. 통신·금융 등 주요 분야는 이용자 보호 매뉴얼을 마련하는 등 소비자 중심 피해구제 체계를 구축해야 한다. 개인정보 유출사고 관련 과징금 수입을 기반으로 피해자 지원 등 개인정보보호에 활용할 수 있도록 하는 기금을 신설하는 방안도 검토된다.
해킹 정황이 확인된 경우에는 기업의 신고 없이도 정부가 신속히 현장 조사에 나설 수 있도록 정부 조사권한이 확대된다. 해킹 지연 신고, 재발방지 대책 미이행, 개인·신용정보 반복 유출 등 보안 의무 위반에 대해서는 과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입 등 제재도 강화된다.
국정원의 조사·분석 도구를 민간과 공동 활용하고 AI(인공지능) 기반 지능형 포렌식실을 구축해 분석 시간을 현행 1건당 14일에서 향후 5일로 대폭 줄이는 방안도 추진된다.
독자들의 PICK!
공공 부문의 정보보호 예산과 인력을 내년 1분기부터 일정 수준 이상 확보하기 위한 노력도 본격화된다. 현재는 정보화 예산 대비 15% 이상 정보보호 투자를 권고하는 선언적 수준에 그치고 있다. 정부 정보보호 책임관 직급도 종전 국장급에서 실장급으로 상향된다. 공공기관 경영평가시 사이버보안 배점도 현재 0.25점에서 0.5점으로 상향한다.
민간도 보안을 '비용'이 아닌 '필수 투자'로 인식하도록 하기 위해 정보보호 공시의무 기업을 현재 666개 기업에서 전체 상장사 2700여곳으로 확대한다. 공시결과를 토대로 보안역량 등급을 공개하는 방안도 도입된다. CEO(최고경영자)의 보안책임 원칙도 법령으로 명문화하고 CISO(최고정보보호책임자) 및 CPO(최고개인정보보호책임자)의 권한도 대폭 강화한다. 자체 보안 역량이 부족한 중소·영세 기업에 대해서는 정보보호 지원센터를 확대하는 등 밀착 보안 지원을 강화한다.
금융·공공기관 등이 소비자에게 설치를 강요하는 보안 소프트웨어를 단계적으로 제한하고 다중인증, AI 기반 이상탐지 시스템 등 활용을 통해 보안을 강화하도록 하는 방안도 추진된다. 클라우드 보안 요건 개선으로 민간 사업자가 공공 인프라 시장에 진출할 수 있는 요건을 완화하는 방안도 함께 추진된다.
공공분야에 사용되는 IT시스템이나 제품에 대해서는 소프트웨어 SBOM(자재명세서) 제출을 2027년까지 제도화해 보안 문제가 발견된 제품은 공공 조달시장에서 제외시킨다. 산업용·생활용 IoT(사물인터넷) 가전 등 IT 제품군에 대해서도 보안 평가를 공개하는 방안도 추진한다.
이와 함께 정부는 △AI 에이전트 보안 플랫폼 등 차세대 보안 기업을 연간 30개사 수준으로 육성하고 △보안 최고 전문가인 화이트해커 양성 체계를 기업 중심으로 전환하며 △권역별 성장엔진 산업에 특화된 보안인재 양성을 위해 정보보호 특성화 대학(7개 학교) 융합보안대학원(9개 학교)를 활용하며 △양자내성암호 기술 개발 등 국가적 암호체계 전환에 착수하고 △자율차, 지능형 로봇, 드론 등 신기술 모빌리티 안전 활용을 위한 가이드라인을 수립하는 등 작업도 추진한다.
또 △주요 정보통신 기반 시설 지정 확대 △부처별 파편화된 사고조사 과정 체계화 △민관군 합동 조직인 국정원 산하 국가사이버위기관리단 및 정부 부처간 협력 강화 등도 이번 대책에 포함됐다.
