위중한 정보 유출 시 감독자 책임 명문화…징계 기준 상향
[도시경제채널 = 김하늘 기자] 공공부문에서 해킹과 정보 유출 등 보안사고가 잇따르자 정부가 기관장 책임 강화에 나섰다. 위중한 정보 유출사고에 대해 기관장 등 감독자의 책임을 명문화하고, 기본적인 보안수칙 위반에도 징계 기준을 구체화하는 것이 핵심이다.
정부는 1일 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처 합동으로 ‘공공부문 사이버보안 책임성 강화 방안’을 발표했다고 밝혔다.
이번 방안은 최근 공공분야에서 발생한 주요 보안사고의 상당 부분이 기본적 보안수칙을 지키지 않은 데서 비롯됐다는 분석에 따라 마련됐다. 지난해 온나라시스템 해킹 및 자료 유출에 이어 올해 국립대학병원 랜섬웨어 감염, ‘모두의 창업’ 합격자 비공개 정보 유출 등이 발생하면서 공공부문의 보안관리에 허점이 드러났다.
특히 사고에 따른 책임은 실무자에게 집중됐다. 정부에 따르면, 2021년부터 올해 5월까지 정보 유출사고로 비정무직 기관장이 직접 징계받은 사례는 없었다. 책임자·관리자 징계로 이어지는 경우도 1% 수준에 그쳤다.
이에 정부는 위중한 정보 유출사고 발생 시 감독자에게 엄중한 책임을 묻도록 오는 11월까지 ‘공무원 징계령 시행규칙’에 관련 내용을 명문화할 계획이다. 사이버보안 규정 위반에 대한 징계 기준도 상향하고, 관련 비위에 적용하는 최소 징계 수위를 높이는 방안도 검토한다.
기본적인 보안수칙 위반에 대한 처리 지침도 구체화한다. 기존에는 개인정보·비밀 침해나 고의적 사고 위주로 징계가 이뤄졌고, 기본 수칙 위반에 대해서는 명확한 처리 지침이 부족했기 때문이다.
정부는 초기 비밀번호를 변경하지 않고 사용하거나 발견된 보안 문제점을 장기간 방치하는 행위 등에 적용할 징계 기준을 마련한다. 서비스 개통 전 보안 검토와 방화벽 등 보안장비 관리 부실, 반복적 규정·수칙 위반 등을 세분화한 처리 기준을 오는 12월까지 ‘국가공무원 복무·징계 관련 예규’에 반영할 예정이다.
기관 차원의 보안관리 책임도 강화된다. 국정원이 주관하는 ‘사이버보안 실태평가’ 대상을 올해 153개 기관에서 오는 2028년까지 2000여개 국가·공공기관으로 확대한다. 평가에는 정보 유출사고 발생 시 감점과 사고 신속 조치 등 신규 지표가 도입된다.
한편 정부는 보안사고에 대한 징계 확대에 따라 관련 업무 기피 현상을 방지하기 위해 인사상 우대방안을 마련하고, 사이버 보안 인력을 보강하는 등의 방안을 마련할 계획이다.
[저작권자ⓒ 도시경제채널. 무단전재-재배포 금지]
