〈편집자주〉
사이버 침해사고가 산업 전반으로 확산하면서 기존 보안체계의 한계가 드러나고 있다. 인공지능(AI)이 해킹에 활용되면서 산업별 보안 체계 강화가 시급해졌다. 전자신문은 '보안긴급진단' 기획 시리즈를 통해 금융·산업·정보기술(IT)·공공 등 4개 분야의 보안 실태와 구조적 취약점을 살펴보고 개선 과제를 짚어본다.
민간뿐 아니라 공공부문에서도 해킹과 개인정보 유출 사고가 잇따르고 있다. 공공은 국민의 민감정보와 국가 주요 정보를 보유하고 있어 안보 위협이나 행정서비스 차질로 이어질 우려가 크다. 전문가들은 보안 전문인력 확충과 함께 전문성을 지속적으로 유지할 수 있는 운영체계 개선이 필요하다고 강조했다.
올해 공공부문에서는 주요 행정시스템 침해부터 장기간 해킹 미탐지, 개인정보 유출 후 대응 부실까지 보안관리의 허점이 잇따라 드러났다.
지난 8월에는 각종 증명서 발급과 민원 신청을 지원하는 정부 대표 행정서비스 '정부24'가 해킹당했다. 외교부 국립외교원은 약 10개월간 이어진 해킹을 자체적으로 탐지하지 못했으며, 외교관 등 최대 1만건의 개인정보가 유출된 것으로 추정된다.
서울시 공공자전거 '따릉이'는 운영기관인 서울시설공단이 2024년 개인정보 유출 사실을 확인하고도 보고·조치하지 않은 것으로 드러났다. 산하기관에 대한 관리·감독 강화와 보안 인식 개선 필요성을 보여주는 사례다
공공부문 보안의 구조적 문제로는 전문인력 부족과 예산·인사제도의 제약이 꼽힌다. 공공기관은 정원과 예산의 제약으로 전문인력 확보가 쉽지 않은 데다 순환보직으로 인해 시스템에 대한 이해와 업무 경험을 축적하기 어렵다는 설명이다.
실제 개인정보보호위원회가 올해 실시한 조사에서 공공기관의 개인정보 보호 담당인력은 기관당 평균 1.9명에 그쳤다. 다른 업무를 병행하지 않는 전담인력은 평균 0.7명에 불과했다. 보안 점검과 사고 대응을 위한 인력이 절대적으로 부족하다는 설명이다.
정부도 인력 확충에 나섰다. 개인정보위와 행정안전부는 지난 8월 31개 중앙행정기관의 개인정보 보호 전담인력 54명을 확충했다. 신규 증원 39명과 기존 인력 재배치 15명으로, 중앙부처 평균 전담인력은 1.1명에서 2.1명으로 늘었다. 인력 확충을 실질적 보안 역량 강화로 연결하는 것도 또 다른 과제다.
중앙부처뿐 아니라 지방자치단체와 공공기관의 정보보호 인력·예산을 확대해야 한다. 특히 순환보직에 따른 전문성 단절을 막기 위해 정보보안 분야 전문직위 지정을 확대하고, 민간 전문가 영입을 위한 개방형 직위 활용도 검토할 필요가 있다.
기존 보안 체계의 실효성 제고 방안도 마련해야 한다. 정보시스템과 외부 연결 자산에 대한 가시성을 확보하고, 탐지된 이상징후를 정확하게 분석·판단할 전문인력을 갖춰야 한다는 의미다. 보안 솔루션이 경고를 발생시키더라도 담당자의 역량이 부족하면 신속하게 판단·대응하기 어렵다.
공공 보안사업의 조달 방식도 개선할 필요가 있다. 인공지능(AI)을 활용한 사이버공격이 고도화되는 만큼 가격보다 평가 시 보안 솔루션의 탐지·차단 성능과 기술적 적합성을 우선해야 한다.
염흥열 순천향대 정보보호학과 명예교수는 “공공부문은 노후 정보시스템을 교체하고 보안을 강화할 예산과 전문인력이 부족하다”며 “정보보호 예산의 우선순위를 높이고 보안 분야가 기피 보직이 되지 않도록 제도도 개선해 나가야 한다”고 말했다.
박진형 기자 jin@etnews.com
