공공기관 중대 해킹 피해, 기관장도 책임…장·차관은 징계 제외(종합)

(서울=뉴스1) 한지명 기자 = 정부가 공공부문에서 중대한 정보유출 사고가 발생하면 감독책임을 소홀히 한 기관장 등 관리자에게 엄중한 책임을 묻는다. 다만 장·차관 등 정무직 공무원은 법상 징계 대상에서 제외되며, 문제가 있을 경우 대통령 인사권으로 다룬다는 입장이다.

행정안전부와 인사혁신처, 개인정보보호위원회 등 관계 부처는 1일 오전 정부서울청사 별관에서 이 같은 내용의 '공공부문 사이버보안 책임성 강화 방안'을 발표했다.

정부는 오는 11월까지 '공무원 징계령 시행규칙'을 개정해 위중한 정보유출 사고를 감독자 문책 대상으로 명문화한다. 현재 금품수수나 직무태만에 따른 국민권익 침해·재정손실 등에 적용하는 감독자 엄중 책임 규정에 정보유출 사고를 추가하는 방식이다.

김재선 인사혁신처 복무과장은 "사고 발생 시 관리자가 감독책임을 태만히 할 경우 엄중히 책임을 물을 수 있도록 공무원 징계령 시행규칙에 명시하겠다"고 설명했다.

다만 장·차관 등 정무직에 대해서는 "명백히 국가공무원법에 의해서 징계 대상이 아니라고 규정돼 있다"며 문제가 있을 경우 "대통령 인사권 문제"라고 밝혔다.

고낙준 개인정보보호위원회 예방조정심의관은 징계 대상과 관련해 "장·차관인 정무직을 제외하고 부처 1급까지 다 가능하다"고 덧붙였다.

황규철 행안부 인공지능정부실장은 대책 적용 범위에 대해 "중앙행정기관, 지방행정기관 당연히 들어간다"며 "공사, 공기업, 지방공기업까지 다 포함된 것으로 추진하려고 생각하고 있다"고 말했다.

사이버보안 규정 위반에 대한 징계기준도 높인다. 비밀 엄수 의무 위반의 일부 유형에서 비위 정도가 약하고 경과실인 경우, 현재 견책 또는 감봉인 징계기준을 최소 감봉으로 상향할 계획이다. 현행 규정에서도 비위 정도와 고의·과실에 따라 최대 파면까지 가능하다.

정부는 시행규칙 개정을 11월 말까지 추진한다. 김 과장은 "올해 안에 개정해서 시행될 수 있도록 조치하겠다"고 말했다.

정부가 제시한 현황에 따르면 2021년부터 올해 5월까지 약 247건의 정보유출 사고가 발생했지만, 징계처분은 총 9건에 그쳤다. 비정무직 기관장이 직접 징계받은 사례는 없었다.

최근에는 지난해 7월 온나라시스템 해킹과 자료 유출, 올해 1월 강원대병원·화순전남대병원 랜섬웨어 감염, 6월 '모두의창업' 합격자 비공개 정보 유출 등이 발생했다. 정부는 주요 사고가 상당 부분 기본적인 보안수칙 미준수에서 비롯됐다고 분석했다.

황 실장은 "현재 공공분야에서는 아주 기초적인 수칙만 지켰어도 막을 수 있었던 사고들이 반복되고 있다"며 "이는 단순한 실수가 아니라 보안 의식의 부재다"라고 말했다.

정부는 초기 비밀번호 미변경, 방화벽 등 보안장비 관리 부실, 반복적인 규정·수칙 위반, 발견된 보안 문제의 장기간 방치 등에 대한 처리기준을 구체화해 12월까지 '국가공무원 복무·징계 관련 예규'에 반영한다.

황 실장은 보안패치 과정에서 장애가 생길 수 있어 작업 절차가 복잡하고 시간이 오래 걸린다며 "긴급할 경우에는 바로 패치를 하도록, 그리고 거기에서 문제가 생기는 어떤 장애에 대해서는 면책이 되도록 행정안전부에서 했다"고 설명했다. 행안부가 국가정보자원관리원을 통해 다수 시스템을 관리하는 만큼 긴급 작업을 할 수 있는 근거를 마련했다는 설명이다.

기관 차원의 보안 관리를 강화하기 위해 국정원 사이버보안 실태평가 대상은 올해 153개에서 내년 868개, 2028년부터 전체 2160개 기관으로 확대한다. 평가에는 정보유출 사고 감점과 사고 발생 후 신속한 조치 여부 등 신규 지표를 도입한다.

내년부터 중앙행정기관 특정평가의 정부혁신 분야에 중대한 정보유출 사고 감점을 반영한다. 지방공기업 경영평가에는 2027년 실적을 평가하는 2028년도 평가부터 사이버보안 지표를 신설한다.

징계 강화에 따른 업무 기피를 막기 위해 정보보호 업무수당 신설과 중요직무 선정기준에 정보보호 업무를 포함하는 방안을 검토한다. 승진 가점 관련 지침은 12월까지 개정하며, 보안인력 보강과 민간 전문가를 장으로 하는 전담조직 설치도 추진한다.

다만 구체적인 수당 금액과 가점 수준, 보안 예산 편성기준은 추가 검토·협의를 거쳐 정한다.

황 실장은 앞서 정보보호 예산을 정보화 예산의 15% 수준으로 확보하는 방향을 제시했다며 "가급적이면 그 수준에 맞춰달라고 했다"고 말했다. 세부 사항은 국정원과 예산 당국의 협의를 거쳐 정해야 한다고 설명했다.

황 실장은 "이번 방안의 핵심은 단순한 징계 강화가 아니다"라며 "보안을 '귀찮은 규제'가 아닌 '국가적 사명'으로 바라보는 인식의 전환이다"라고 강조했다.

hjm@news1.kr