국정원이 국가 및 공공기관의 사이버보안 수준을 높이기 위해 평가 체계를 대폭 강화하고 있습니다. 기존의 제한된 평가 대상을 넘어 내년부터는 기타 공공기관과 시도교육청까지 평가 범위가 넓어지며, 보안 인력과 예산 확보가 의무 사항으로 변경되어 각 기관의 실질적인 대응책 마련이 시급해진 상황입니다.
공공기관 사이버보안 평가 배점 확대와 기준 변화
최근 국정원은 공공기관 경영평가에 반영되는 사이버보안 실태평가 배점을 기존 0.25점에서 0.6점으로 대폭 상향했습니다. 이는 공공부문의 보안 책임감을 높이기 위한 조치로, 개인정보보호수준 평가보다 높은 비중을 차지하게 되었습니다. 단순히 점수를 얻기 위한 노력이 아니라, 기관의 정보화 인력 대비 10% 이상, 정보화 예산 대비 15% 이상을 반드시 운영해야 한다는 구체적인 의무 규정이 신설되었습니다. 이제는 권고 수준을 넘어선 의무 사항이므로 각 기관은 정해진 비율에 맞춘 인력 배치와 예산 편성을 우선적으로 검토해야 합니다.
사이버보안 실태평가 대상 기관의 단계적 확대
보안 사각지대를 해소하기 위해 국정원은 평가 대상을 지속적으로 늘려가고 있습니다. 올해는 중앙행정기관, 광역지자체, 공기업 등 153곳이 대상이지만, 2028년에는 기초자치단체와 지방출자출연기관까지 포함되어 220여 곳 이상의 기관이 평가를 받게 됩니다. 이러한 확대 기조에 따라 내년에는 기타 공공기관과 시도교육청이 새롭게 평가군에 합류합니다. 대상 기관은 국정원이 배포하는 지표 해설서를 면밀히 검토하고, 자체 평가를 미리 수행하여 부족한 보안 요소를 보완하는 체계를 갖추어야 합니다.
기관별 보안 등급 세분화 및 결과 공개 방식
기존에는 보안 수준을 우수, 보통, 미흡의 3단계로만 분류했으나 앞으로는 취약 등급을 포함한 5단계로 세분화됩니다. 더불어 각 기관의 보안 전담 조직 현황, 인력 구성, 예산 규모까지 상세히 공개될 예정입니다. 이는 공공기관의 보안 현황을 투명하게 관리하고 책임감을 고취하려는 전략입니다. 특히 정보보호백서에 평가 결과를 수록하여 공식 자료로 활용하도록 함으로써, 각 기관은 보안 관리에 있어 대외적인 평가와 내부적인 개선을 동시에 요구받는 환경에 직면하게 되었습니다.
정보화 업무 인력 및 예산 산정 시 주의사항
보안 인력과 예산을 확보할 때는 단순히 수치만 맞추는 것이 아니라 실질적인 운영 가능 여부를 입증하는 것이 중요합니다. 국정원 지침에 따르면 정보화 업무 인력 대비 10%, 정보화 예산 대비 15%를 확보해야 하는데, 이는 조직의 규모나 사업 성격에 따라 기준값이 변동될 수 있습니다. 특히 예산의 경우 인건비와 설비 투자비 등 산정 항목을 정확히 구분해야 하며, 내년도 예산 편성 시 보안 투자 항목을 별도로 명시하여 평가 지표에서 불이익을 받지 않도록 철저히 준비해야 합니다.
보안 취약점 개선을 위한 기술적 대응 방안
기관들은 평가 점수 관리뿐만 아니라 실제 보안 수준을 높이기 위한 기술적 조치도 병행해야 합니다. 공공 부문에서는 플러그인 소프트웨어 강제 설치를 최소화하는 추세이며, 대신 클라우드 공동인증서나 정부통합로그인(Any-ID) 도입을 권장하고 있습니다. 모의해킹이나 취약점 점검 역시 연 1회 이상 수행해야 하므로 외부 전문가를 활용한 컨설팅 비용을 예산에 반영해야 합니다. 아래는 공공기관 사이버보안 평가를 위한 주요 체크리스트를 정리한 표입니다.
| 구분 | 준비 핵심 내용 |
|---|---|
| 인력 확보 | 정보화 업무 인력 대비 10% 이상 전담 인력 필수 |
| 예산 편성 | 정보화 예산 대비 15% 이상 정보보호 예산 배정 |
| 기술 점검 | 연 1회 이상 모의해킹 및 취약점 점검 실시 |
| 환경 개선 | 플러그인 소프트웨어 삭제 및 통합인증 적용 |
실무자가 확인해야 할 평가 준비 과정의 경험적 조언
처음 국정원 실태평가를 준비하는 담당자라면 방대한 지침서 앞에서 어디부터 손을 대야 할지 막막할 수 있습니다. 실제로 많은 기관이 매년 바뀌는 평가 지표를 제때 숙지하지 못해 감점 요인을 만들곤 합니다. 저 역시 관련 규정을 검토하며 인력 산정 방식에서 혼선을 빚었던 경험이 있는데, 이때 가장 중요한 것은 국정원에서 매년 배포하는 지표 해설서와 본인의 기관 업무 범위를 1:1로 매칭해 보는 작업입니다. 특히 타 부서와 협업하여 정보화 예산의 범위를 확정하고, 보안 투자액을 별도로 분류하는 과정을 미리 거치지 않으면 평가 시점에 서류 준비로 큰 어려움을 겪게 됩니다. 따라서 실무자라면 지금부터라도 관련 문서를 공식 채널에서 확보하여 자체 평가를 수시로 진행하시길 권장합니다.
최종적인 보안 관리 전략 및 마무리
결국 공공기관의 사이버보안 평가는 단순한 규제 준수를 넘어 디지털 행정의 신뢰도를 결정짓는 필수 요소가 되었습니다. 강화된 평가 기준은 인력과 예산의 확보를 기반으로 하며, 기술적인 취약점 관리와 보안 의식 확산이 병행되어야 합니다. 기관 내부의 보안 체계가 미흡하다면 국정원의 지원 프로그램을 적극적으로 활용하고, 정기적인 모의해킹과 점검을 통해 지속 가능한 보안 환경을 구축해야 합니다. 보안은 일회성 대응이 아닌 조직의 고정 비용이자 핵심 경영 전략임을 인지하고 장기적인 관점에서 체계적으로 준비해 나가야 할 것입니다.