공공기관 사이버보안 책임, 기관장까지 확대…10월 1일 시행

2026년 10월 1일부터 공공기관의 사이버보안 책임이 강화되어 중대한 정보 유출 사고 발생 시 기관장 등 관리자에게도 징계가 부과된다. 행정안전부, 국가정보원, 인사혁신처, 개인정보보호위원회 등 관계 부처는 합동으로 ‘공공부문 사이버보안 책임성 강화 방안’을 발표하며 이 같은 내용을 시행한다고 밝혔다.

이번 대책은 올해 공공부문에서 잇따라 발생한 정보 유출 및 랜섬웨어 감염 등 보안 사고에 대한 조치로 마련됐다. 특히 지난 6월 중소벤처기업부의 ‘모두의 창업’ 프로젝트에서 1기 합격자 5,000명의 개인 정보가 유출된 바 있으며, 이는 공공기관의 정보 관리 부실에 대한 경각심을 높이는 계기가 되었다.

또한 지난 1월에는 강원대병원이 랜섬웨어 공격을 받아 의료영상시스템 이용에 제한이 있었으며, 국립외교원 온라인 교육시스템은 약 10개월간 해킹에 노출되어 외교관과 공무원의 개인 정보 유출 정황이 드러나기도 했다. 이러한 사고들은 공공기관의 사이버보안 체계 전반에 대한 재검토 필요성을 제기했다.

그동안 공공부문에서는 2021년부터 2026년 5월까지 약 247건의 사이버 공격으로 인한 정보 유출 사고가 발생했다고 중앙일보가 보도했다. 그러나 이 기간 동안 징계 처분은 9건에 불과했으며, 비정무직 기관장이 직접 징계를 받은 사례는 없었다고 KDI 경제정보센터 자료에서 확인된다.

이는 주로 개인정보 침해나 고의성이 있는 사고를 중심으로 징계가 이루어졌기 때문으로 분석된다. 초기 비밀번호 사용이나 보안 취약점 장기 방치 등 기본적인 보안 수칙 위반에 대한 명확한 처리 지침이 부재했던 점도 징계가 미흡했던 원인으로 지목됐다.

강화된 방안에 따라 ‘1234’와 같이 추측 가능한 초기 비밀번호를 사용하거나 발견된 보안 취약점을 장기간 방치하는 등 기본 보안 수칙을 지키지 않은 경우에도 징계가 가능해진다. 이는 보안 관리의 사각지대를 줄이고 책임감을 높여 공공기관의 전반적인 보안 수준을 향상시키기 위한 조치다.

특히 위중한 정보 유출 사고에 대한 기관장 책임이 명문화되고 징계 기준이 상향 조정된다. 이는 공공기관의 최고 책임자가 보안 문제에 대한 경각심을 가지고 적극적으로 대응하도록 유도하며, 단순 실무자 차원의 문제가 아닌 기관 전체의 문제로 인식하게 하는 목적이다.

행정안전부는 2028년까지 사이버보안 실태평가 대상을 약 2,000개 국가·공공기관으로 확대할 계획이다. 정보 유출 사고 발생 시 감점 등 새로운 평가 지표를 도입하여 기관의 보안 역량을 객관적으로 평가하고, 미흡한 기관에 대한 개선을 유도할 예정이다.

더불어 인사상 우대 방안과 조직·예산 확대 방안도 포함되어 기관의 보안 역량을 강화할 방침이다. 이는 단순한 처벌을 넘어 예방 및 역량 강화에도 중점을 두겠다는 의미로, 보안 전문 인력 확충과 관련 예산 증액을 통해 실질적인 보안 수준 향상을 목표로 한다.

이번 ‘공공부문 사이버보안 책임성 강화 방안’은 공공기관의 정보보안 수준을 전반적으로 높이고, 국민의 개인정보를 더욱 안전하게 보호하는 데 기여할 것으로 기대된다. 기관장부터 실무자까지 모든 구성원의 보안 의식과 책임이 중요해졌으며, 이는 디지털 전환 시대에 필수적인 요소로 평가된다.

정부는 이번 방안을 통해 공공기관의 정보보안 체계를 더욱 견고히 하고, 국민들이 안심하고 공공 서비스를 이용할 수 있는 환경을 조성하는 데 주력할 방침이다. 지속적인 점검과 개선을 통해 변화하는 사이버 위협에 효과적으로 대응할 것으로 보인다.