공공기관 정보유출땐 기관장도 책임…초기비번 미변경도 징계(종합)

공공기관 정보유출땐 기관장도 책임…초기비번 미변경도 징계(종합)
기관장 징계 '0건'·관리자도 1%…정무직은 징계 대상 제외
사이버보안 평가 153곳→2천여곳 확대…정보보호 담당자 우대


(서울=연합뉴스) 차민지 기자 = 앞으로 공공기관에서 위중한 정보 유출 사고가 발생하면 실무자뿐 아니라 기관장 등 감독자에게도 책임을 묻도록 징계 기준이 강화된다.
초기 비밀번호 미변경이나 보안 취약점 장기간 방치 등 기본적인 보안수칙 위반도 명확한 징계 대상이 된다.
정부는 1일 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처 합동으로 이런 내용을 담은 '공공부문 사이버보안 책임성 강화 방안'을 발표했다.
공공부문에는 중앙행정기관, 지방행정기관, 공사, 공기업 등이 모두 포함된다.
이번 방안은 모두의 창업 정보유출, 국립대학병원 랜섬웨어 감염 등 최근 공공분야에서 발생한 주요 보안사고 상당수가 기본적인 보안 수칙을 지키지 않아 발생했다는 분석에 따라 마련됐다.
정부는 특히 기본적인 보안 수칙을 위반해도 실제 징계로 이어지는 경우가 많지 않고, 징계가 관리자보다는 실무자에게 집중되는 문제가 있다고 진단했다.
정보 유출 사고로 비정무직 기관장이 직접 징계를 받은 사례는 한 건도 없었고, 책임자·관리자가 징계를 받은 경우도 전체의 1% 수준에 그쳤다.
이에 위중한 정보 유출 사고가 발생하면 감독자에게도 책임을 부과하도록 '공무원 징계령 시행규칙' 등에 관련 내용을 명문화하고 징계양정 최소기준도 견책에서 감봉으로 상향하기로 했다.
다만 정무직 공무원은 국가공무원법에 따라 징계 대상에서 제외된다.
김재선 인사혁신처 복무과장은 "장·차관 등 정무직 공무원은 국가공무원법에 따라 징계 대상이 아니다"라며 "정무직이 문제가 있을 때는 대통령의 인사권 행사가 가능하다"고 설명했다.
초기 비밀번호를 변경하지 않고 그대로 사용하거나, 발견된 보안 취약점을 장기간 조치하지 않는 등 기본적인 정보보호 수칙 위반에 대해서도 적용할 수 있는 구체적인 처리 지침을 마련한다.

기관 차원의 보안 역량을 높이기 위한 평가체계도 대폭 손본다.
국정원이 주관하는 '사이버보안 실태평가' 대상은 올해 153개 기관에서 2028년까지 2천여개 국가·공공기관으로 확대한다.
평가에는 정보 유출 사고가 발생했을 때 감점하거나 사고 발생 이후 신속하게 조치했는지를 살펴보는 지표도 새로 도입한다.
중앙행정기관 특정평가와 지방공기업 경영평가 등에도 사이버보안 관련 평가 결과를 반영해 기관의 보안 관리 책임을 강화할 방침이다.
징계 강화로 정보보호 업무가 기피 업무가 되는 것을 막기 위한 담당자 우대 방안도 검토한다.
정보보호 업무 수당을 신설하거나 담당자의 성과평가에 가점을 주고, 정보보호 업무를 중요직무 선정 기준에 포함하는 방안 등이 검토 대상이다.
정부는 중앙행정기관과 광역지자체의 사이버보안 인력도 보강한다. 중장기적으로는 민간 정보보호 전문가를 장으로 하는 전담조직을 설치해 전문성을 높이는 방안도 추진한다.
모의해킹을 통한 취약점 점검이나 보안지원이 종료된 노후 소프트웨어 교체 등 기본적인 보안 활동에 필요한 예산을 안정적으로 확보하는 방안도 관계부처와 논의할 예정이다.
황규철 행안부 인공지능정부실장은 "이번 방안의 핵심은 단순한 징계 강화가 아니라 보안을 '귀찮은 규제'가 아닌 '국가적 사명'으로 바라보는 인식의 전환"이라고 말했다.
chacha@yna.co.kr
(끝)


<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>