"보안 취약점 긴급 조치하다 장애 나도 면책"…행안부, 제도 개선

(서울=뉴스1) 한지명 기자 = 앞으로 공무원이 고위험 보안 취약점을 긴급히 조치하다 시스템 장애가 발생해도 정해진 절차를 지켰다면 책임을 묻지 않는다. 행정안전부가 AI 시대에 맞춰 신속한 보안 대응이 가능하도록 긴급 보안패치를 적극행정으로 인정하는 면책 기준을 마련했다.

행정안전부는 최근 적극행정위원회 의견 제시를 통해 정보시스템에서 고위험 취약점이 발견돼 긴급 보안패치를 시행하는 경우 일정 기준을 충족하면 적극행정으로 인정하고 면책 요건을 충족한 것으로 의결했다고 13일 밝혔다.

이번 제도 개선은 AI가 보안 취약점을 발견하는 속도가 빨라지면서 정부 정보시스템도 신속하게 보안패치를 적용할 수 있는 대응체계가 필요해진 데 따른 것이다.

행안부는 최근 고성능 AI '미토스(Mitos)'가 '보안의 정석'으로 불리는 오픈BSD 운영체제에서 27년 동안 발견되지 않았던 취약점을 찾아낸 사례를 소개했다. AI가 취약점을 찾아내는 속도가 빨라질수록 이를 막기 위한 긴급 보안패치도 신속하게 적용해야 할 필요성이 커지고 있다는 설명이다.

그동안 정보시스템 운영자는 보안패치 이후 발생할 수 있는 시스템 장애와 책임 부담 때문에 즉시 패치 작업에 착수하는 데 어려움을 겪었다. 대표적으로 크라우드스트라이크 보안 소프트웨어 패치와 마이크로소프트(MS) 윈도우 운영체제 간 충돌로 전 세계적인 시스템 장애가 발생한 사례가 있었다.

행안부는 면책 제도의 오남용을 막기 위한 적용 기준도 함께 마련했다. 국제표준 취약점 평가(CVSS) 점수 7.0 이상인 고위험 취약점에 대한 패치나 국가정보원 또는 한국인터넷진흥원(KISA)의 긴급 패치 권고, 부서장이 긴급성을 인정한 경우에만 면책을 적용한다.

또 최소 영향도 분석과 원상복구 계획 수립, 사전 테스트, 사후 모니터링 등 필수 안전조치를 의무적으로 이행해야 한다. 이 같은 절차를 준수한 경우에는 긴급 보안패치 과정에서 시스템 장애가 발생해도 공무원에게 책임을 묻지 않는다.

황규철 행정안전부 인공지능정부실장은 "AI가 사람보다 더 빠르게 취약점을 발견할 수 있는 시대가 된 만큼 얼마나 빠르게 대응하느냐가 AI 보안의 핵심"이라며 "정보시스템 운영자들이 시급하고 중요한 보안패치를 신속하게 적용할 수 있는 환경을 조성하겠다"고 말했다.

hjm@news1.kr