해킹 반복에 칼 뺀 정부, "심각한 위기상황"... 1600개 IT 시스템 대대적 점검 나서

배경훈 부총리, 정보보호 종합대책 발표... 해킹 정황시 기업 신고 없이도 조사, 통신사 불시 점검

[유창재 기자]

▲ 배경훈 부총리 겸 과학기술정보통신부 장관이 22일 서울 종로구 정부서울청사에서 열린 합동브리핑에서 범부처 정보보호 종합대책을 발표하고 있다. ⓒ 연합뉴스

정부가 올해 연이어 발생한 해킹 사고 등 국민 안전을 위협하는 사이버 침해사고에 대응하기 위해 공공·금융·통신 등 1600여 개 정보통신(IT) 시스템을 대대적으로 점검하기로 했다. 또 해킹 정황이 있을 때 기업 신고 없이도 직권으로 조사할 수 있도록 했다. 또 정보 보호 보안 의무 위반에 대해 과태료·과징금을 올리고 이행 강제금과 징벌적 과징금 도입 등 제재도 강화된다.

배경훈 부총리 겸 과학기술정보통신부 장관은 22일 오후 서울 정부서울청사에서 이같은 내용이 담긴 정보보호 종합대책을 발표했다. 이날 회견에는 국가정보원을 비롯해 개인정보보호위원회, 금융위원회, 행정안전부 등도 참여했다.

배 부총리는 "정부는 민간과 공공 분야를 막론하고 반복되는 최근의 해킹 사고를 심각한 위기 상황으로 인식하고 있다"면서 "올 12월 중으로 중장기 과제를 망라하는 '국가 사이버안보 전략'을 수립해 발표하겠다"고 밝혔다.

"반복되는 해킹 사고, 심각한 위기 상황...1600개 보안점검 실시, 통신사는 불시 점검도"

이날 정부가 공개한 주요 내용은 대대적 보안 점검, 소비자 중심의 사고 대응 체계 구축, 정보보호 역량 강화 및 산업·인력·기술 육성, 사이버안보 협력 체계 강화 등 크게 네 가지다.

우선 정부는 국민 대다수가 이용하는 공공·금융·통신 등 1600여 개 IT 시스템을 대상으로 보안 취약 점검을 즉시 추진한다. 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼 등 정보보호관리체계(ISMS) 949개가 대상이다.

특히 통신 3사에 대해서는 실제 해킹 방식의 강도 높은 불시 점검을 추진한다. 지난 9월 발생한 케이티(KT) 무단 소액결제 사건의 범행 수단으로 지목된 소형기지국(펨토셀)은 안정성이 확보되지 않을 경우 즉시 폐기하는 등 관리를 강화할 방침이다.

보안 인증 제도(ISMS, ISMS-P)와 관련해서는 현장 중심으로 심사를 전환하고, 중대한 결함이 발생할 경우 인증을 취소하기로 했다. 모의해킹 훈련과 화이트 해커를 활용한 상시 취약점 점검 체계도 마련한다.

해킹 사고가 발생했을 때 소비자 중심의 피해 구제가 이뤄진다. 소비자 입증 책임을 낮추고, 통신·금융 등 주요 분야는 이용자 보호 매뉴얼을 마련된다. 개인정보 유출 사고로 기업에게 부과하는 과징금은 피해자 지원 등 개인정보 보호에 활용할 수 있는 기금을 새롭게 만드는 방안도 검토된다.

해킹 의심 정황만 있더라도 기업 신고없이 정부 신속히 현장 조사

정부의 조사 권한도 확대된다. 해킹 의심 정황을 확보한 경우 기업이 신고하지 않더라도 신속히 현장을 조사할 수 있다. 지금까지는 해킹이 의심되는 상황에서도 기업이 먼저 신고해야만 정부가 조사할 수 있었다. 해킹 지연 신고, 재발 방지 대책 미이행 등 보안 의무 위반에 대해서는 과태료·과징금 상향, 징벌적 과징금 도입 등 제재가 강화된다.

정보보호 역량 강화도 진행된다. 민간 기업이 적극적으로 보안분야에 투자할 수 있도록 보안사고에 대한 책임을 강화하는 조치도 병행한다. 최고경영자(CEO)의 보안 책임 원칙이 법령에 명문화된다. 매출액과 이용자 기준이 있었던 정보보호 공시 의무는 상장사 전체로 확대한다.

보안 최고 책임자(CISO·CPO)의 권한도 대폭 강화된다. 공공 부문에서는 정보 보호 예산과 인력을 정보화 대비 일정 수준 이상으로 확보하고, 정보 보호 책임관 직급을 국장급에서 실장급으로 높이기로 했다.

글로벌 보안 환경에 걸맞게 국내 보안 환경도 정비에도 나선다. 금융·공공기관에서 소비자에게 설치를 강요했던 보안 소프트웨어를 단계적으로 제한하고, 생체인식이나 모바일 신분증 등 다중인증 시스템과 인공지능(AI) 기반 이상 탐지시스템 등을 활용하는 방안을 도입한다는 계획이다.

배 부총리는 "정보보호 이슈는 앞으로 계속해서 일어날 것이고, 정부의 책임이 크다. (사이버 침해사고 발생에) 정부의 책임을 부인할 수 없고 자유로울 수 없다는 것 인정한다"면서 "정부 차원에서 (기업에) 부조건적 제재를 통해 압박한다기보다 (민간) 기업과 (정부가) 공동으로 문제를 해결해나가길 원한다"고 강조했다.

또 그는 "과기정통부 등 관계부처는 이번 종합대책이 현장에서 제대로 작동될 때까지 실행 과정을 면밀히 살펴볼 것이며 부족한 부분을 지속적으로 보완해나겠다"면서 "앞으로도 정부는 인공지능(AI) 강국을 뒷받침하는 견고한 정보보호 체계 구축을 위해 총력을 기울이겠다"고 말했다.

▲ 배경훈 부총리 겸 과학기술정보통신부 장관이 22일 서울 종로구 정부서울청사에서 열린 합동브리핑에서 범부처 정보보호 종합대책을 발표하고 있다. ⓒ 연합뉴스