전방위 해킹 사고, 정부가 꺼내든 범부처 카드
과학기술정보통신부(부총리 겸 과기정통부장관 배경훈, 이하 '과기정통부')와 관계부처는 전방위적인 해킹 사고로 국민 불안이 가속화되는 현 상황을 신속히 극복하고 국가 전반의 정보보호 역량을 강화하기 위해 「범부처 정보보호 종합대책」을 수립하여 10월 22일(수) 대국민 브리핑을 통해 발표하였다.
정부는 분야를 막론하고 반복되는 최근 일련의 해킹 사고를 심각한 위기 상황으로 인식하고 있으며, 범정부 차원의 유기적인 대응체계를 즉시 가동하고자 한다. 이를 위해 국가안보실을 중심으로 과기정통부, 금융위원회, 개인정보보호위원회, 국가정보원, 행정안전부 등 관계부처가 합동으로 민간과 공공을 아우르는 범부처 정보보호 종합대책을 수립하였다. 이번 대책은 사안의 시급성을 고려해 즉시 실행할 수 있는 단기 과제 위주로 제시되었으며, 이후 중장기 과제를 망라하는 「국가 사이버안보 전략」을 연내 수립할 계획이다.
- 국가안보실 중심으로 관계부처 합동 수립, 민·관을 아우르는 시급한 개선 과제 제시
- 정보기술 체계 전수점검, 정부 조사 권한 강화, 소비자 중심 피해 구제 등 국민 불안 해소
- 보안을 비용이 아닌 투자로 전환하기 위한 정보보호 등급제, 최고경영책임자(CEO)·정보보호 최고책임자(CISO) 역할 강화 등
「범부처 정보보호 종합대책」의 주요 추진 방향은 다음 네 가지다. 국민 생활에 밀접한 핵심 정보기술 체계의 대대적인 보안 점검을 추진하고, 소비자 중심의 사고 대응 체계 구축과 재발 방지 대책의 실효성을 강화한다. 아울러 민·관 전반의 정보보호 역량을 강화하는 한편 국제적 기준에 부합하는 정보보호 환경을 조성하고 정보보호 산업·인력·기술을 육성하며, 마지막으로 범국가적 사이버안보 협력 체계를 강화한다.
| 목표 | 국가해킹 예방·대응력 강화 |
|---|---|
| 방향 1. 강화된 정보보호 관리체계 구축 | 대대적 점검(일제+상시), 모의훈련 강화 |
| 방향 2. 소비자 중심 신속 대응체계 구축 | 소비자 중심 피해 구제, 재발방지 강화 |
| 방향 3. 국가적 정보보호 기반 강화 | 민관 역량 제고 + 글로벌 기준 부합 보안환경 + 산업·인력·기술 육성 |
| 방향 4. 범국가적 사이버안보 협력 강화 | 협력적 대응, 조사 프로세스화 |
① 핵심 정보기술 체계 대대적 점검과 상시 취약점 탐지 체계 구축
해킹에 대한 국민들의 만연한 불안감을 해소하기 위해, 공공·금융·통신 등 국민 대다수가 이용하는 1,600여 개 정보기술 체계(IT 시스템)에 대해 대대적인 보안 취약점 점검을 즉시 추진한다.
| 점검 대상 | 규모 |
|---|---|
| 공공기관 기반시설 | 288개 |
| 중앙·지방 행정기관 | 152개 |
| 금융업 | 261개 |
| 통신·온라인 플랫폼 등 ISMS 인증기업 | 949개 |
특히 통신사는 실제 해킹 방식의 강도 높은 불시 점검을 추진하고 주요 정보기술 자산에 대한 식별·관리체계를 구축하도록 하며, 안정성이 확보되지 않은 소형 기지국(펨토셀)은 즉시 폐기하는 등 보다 엄격하게 조치할 계획이다.
아울러 보안 인증 제도(ISMS, ISMS-P)를 현장 심사 중심으로 전환하고 중대한 결함이 발생하면 인증을 취소하는 등 실효성을 높이고 사후관리를 강화하는 한편, 모의해킹 훈련과 화이트 해커를 활용한 상시 취약점 점검 체계도 구축한다.
② 소비자 중심의 사고 대응체계 구축 및 재발 방지 대책 실효성 강화
기업의 보안 해태로 해킹이 발생했을 때 소비자의 입증책임 부담을 완화하고, 통신·금융 등 주요 분야는 이용자 보호 매뉴얼을 마련하는 등 소비자 중심의 피해 구제 체계를 구축한다. 동시에 개인정보 유출 사고로 인한 과징금 수입을 피해자 지원 등 개인정보보호에 활용할 수 있도록 기금 신설을 검토한다.
이와 함께 해킹 정황을 확보한 경우에는 기업의 신고 없이도 정부가 신속히 현장을 조사할 수 있도록 조사 권한을 확대하고, 해킹 지연 신고·재발 방지 대책 미이행·개인·신용 정보 반복 유출 등 보안 의무 위반에 대해서는 과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입 등 제재를 강화한다.
또한 국가정보원의 조사·분석 도구를 민간과 공동 활용하는 한편, 인공지능 기반 지능형 디지털 포렌식실을 구축하여 분석 시간을 건당 14일에서 5일로 대폭 단축하는 등 침해사고 탐지·대응 역량을 고도화하고, 영역별 사고조사 전문인력 확보·충원에도 박차를 가한다.
③ 국가적 정보보호 기반 강화
정보보호 투자 확대 유도 및 중소기업 지원 강화
공공부터 정보보호 역량 강화에 솔선수범하기 위해 공공의 정보보호 예산·인력을 정보화 대비 일정 수준 이상으로 확보(2026년 1분기)하고, 정부 정보보호책임관 직급을 기존 국장급에서 실장급으로 상향하는 한편 위기 상황 대응 역량 강화 훈련을 고도화한다. 현재는 정보화 예산 대비 15% 이상의 정보보호 투자를 권고하는 선언적 규정 수준에 머물러 있다.
민간에서는 보안에 대한 인식을 비용이 아닌 기업의 성패를 가르는 필수 투자로 전환할 수 있도록, 정보보호 공시 의무 기업을 상장사 전체로 확대하면서 공시 결과를 토대로 보안 역량 수준을 등급화해 공개하는 제도를 도입한다. 아울러 최고경영책임자(CEO)의 보안 책임 원칙을 법령상 명문화하고 보안최고책임자(CISO·CPO)의 권한을 대폭 강화하는 한편, 자체 보안 역량이 부족한 중소·영세기업에는 정보보호 지원센터 확대 등을 통해 밀착 지원을 강화한다.
| 구분 | 현재 | 개선 |
|---|---|---|
| 정보보호 공시 의무 기업 | 666개사 | 약 2,700여 개사 |
| 지역 정보보호 지원센터 | 10개소 | 16개소 |
| 공공기관 경영평가 사이버보안 배점 | 0.25점 | 0.5점 |
| 정부 정보보호책임관 직급 | 국장급 | 실장급 |
CISO·CPO 권한 강화의 예로는 모든 정보기술 자산에 대한 통제권 부여, 이사회 정기 보고 의무화, 정보보호 인력·예산 편성·집행 권한 등이 제시되었다.
국제 변화에 부합하는 제도 마련 및 환경 조성
기존의 전통적인 보안 고립(갈라파고스) 환경에서 벗어나 국제적 변화에 부합하는 보안 환경을 조성하기 위해, 금융·공공기관 등이 소비자에게 설치를 강요하는 보안 소프트웨어를 2026년부터 단계적으로 제한하는 대신 비밀번호·OTP·생체인식 등을 조합한 다중 인증, 인공지능 기반 이상 탐지 체계 등의 활용을 통해 보안을 강화한다.
또한 클라우드·인공지능 확산 등 국제 변화에 부합하지 않는 획일적인 물리적 망 분리를 2026년부터 데이터 보안 중심으로 본격 전환하고, 클라우드 보안 요건 개선 등 민간사업자의 공공 진출 요건 완화를 추진한다. 아울러 공공분야에 사용되는 IT 시스템·제품에 대해 소프트웨어 구성요소(SBOM) 제출을 2027년까지 제도화하고, 보안 문제가 발견된 정보기술 제품은 공공 조달 도입을 제한하며 사물인터넷 가전 등 산업용·생활용 정보기술 제품군에 대한 보안 평가 공개도 추진한다.
보안산업 국가전략 산업화 및 사이버안보 인력·기술 육성
인공지능 3대 강국을 뒷받침할 보안산업 육성을 위해 AI 에이전트·보안 플랫폼 등 차세대 보안 기업을 연 30개사씩 집중 육성하고, 정보보호 서비스 지정 제도의 범위를 기존 보안 자문·관제 전문기업에서 인공지능 보안·소프트웨어 공급망 보안 등 관련 전문 기업으로 확대한다.
아울러 연 500여 명 규모의 화이트 해커 양성 체계를 기업 수요로 재설계하고, 정보보호 특성화 대학(학부 7개교)과 융합보안 대학원(석·박사 9개교)을 5극3특 권역별 성장엔진 산업에 특화된 보안 인재 양성 거점으로 기능을 강화(2026년~)하는 등 전주기 보안 인력 양성을 체계화·고도화한다. 권역별로는 동남권 지능형 조선, 대경권 미래차 부품, 호남권 인공지능, 중부권 생명과학(바이오) 등 지역 성장산업과 연계된다.
다가오는 양자 시대에 대비해 양자내성 암호 기술 개발 등 국가적 암호체계 전환에도 착수하며, 공공부문에서 자율주행차·지능형 로봇·드론 등 신기술 모빌리티의 안전한 활용을 위한 보안 체크리스트 및 가이드라인을 2026년 수립한다.
④ 범국가적 사이버안보 협력 강화
국가 핵심 기반시설인 주요 정보통신 기반시설을 범부처 위원회인 정보통신기반시설보호위원회(위원장: 국조실장)를 통해 지정 확대해 나가고, 기반시설의 사고 원인 조사 단계에서는 국가 사이버위기 관리단으로 지정된 침해사고대책본부를 활성화한다.
아울러 부처별로 파편화된 해킹 사고조사 과정을 일괄(원스톱) 신고체계 도입, 조사단별 투입 시기 최적화, 상호 정보 공유 강화 등을 통해 체계화하여 현장의 혼선을 최소화하고, 민관군 합동 조직인 국가정보원 산하 국가 사이버위기 관리단과 정부 부처 간의 사이버 위협 예방·대응 협력을 강화한다.
"부족한 부분, 지속적으로 보완해 나가겠다"
배경훈 부총리는 대국민 브리핑에서 "과기정통부 등 관계 부처는 이번 종합대책이 현장에서 제대로 작동될 때까지 실행 과정을 면밀히 살펴볼 것이며 부족한 부분을 지속적으로 보완해 나가겠다"라고 하면서, "앞으로도 정부는 인공지능 강국을 뒷받침하는 견고한 정보보호 체계 구축을 위해 총력을 기울이겠다"라고 밝혔다.
자료 출처: 과학기술정보통신부 보도자료 — 범부처 정보보호 종합대책 발표(2025.10.22)