공공기관 정보유출, 기관장 책임과 징계 기준 강화

무슨 일인가

정부는 공공부문 사이버보안 책임성 강화방안을 통해 정보유출 사고의 책임을 실무자뿐 아니라 감독자에게도 묻기로 했습니다. 경향신문 보도에 따르면 10월 1일 서울 종로구 정부서울청사에서 관계부처 합동 브리핑을 열어 방안을 설명했습니다. 정부는 중대한 유출 사고 때 관리자가 감독·관리 의무를 소홀히 했다면 책임을 물을 수 있도록 공무원 징계령 시행규칙 등에 명시할 계획이라고 밝혔습니다.

초기 비밀번호를 바꾸지 않거나 발견된 보안 취약점을 오랫동안 방치하는 행위에 적용할 구체적인 처리 지침도 마련하기로 했습니다. 보안 관리 소홀로 해킹과 정보유출이 발생한 경우 최소 징계 기준은 견책에서 감봉으로 높이기로 했습니다. 조선일보 보도에 따르면 정부는 2026년 시행규칙 개정을 추진하고 있습니다.

기관의 보안 관리도 평가에 더 반영하기로 했습니다. 국가정보원이 주관하는 사이버보안 실태평가 대상은 2026년 153개 기관에서 2028년까지 2,000여 개 국가·공공기관으로 확대할 계획입니다. 유출 사고에 따른 감점과 사고 이후 신속한 조치를 살피는 지표를 추가하기로 했습니다. 중앙행정기관과 지방공기업 평가에도 보안 관련 결과를 반영하고, 보안 인력 보강과 민간 전문가가 이끄는 전담조직 설치도 추진하고 있습니다.

배경과 경위

정부는 ‘모두의 창업’ 정보유출과 국립대학병원 랜섬웨어 감염 등 공공분야 사고의 상당 부분이 기본적인 보안수칙을 지키지 않아 발생했다고 진단했습니다. 조선일보 보도에 따르면 2025년 7월 정부 업무 관리 시스템 ‘온나라’에서 해킹으로 정보가 유출됐습니다. 2026년 1월에는 강원대병원과 화순전남대병원이 랜섬웨어에 감염됐습니다.

정부는 기본 수칙 위반이 실제 징계로 이어지는 경우가 적고, 징계도 실무자에게 집중됐다고 설명했습니다. 여러 매체는 정보유출 사고로 비정무직 기관장이 직접 징계를 받은 사례가 없고, 책임자·관리자가 징계를 받은 경우도 전체의 1% 수준이었다고 전했습니다. 조선일보는 최근 5년 넘는 기간에 공공기관 정보유출 사고가 247건 발생했지만 징계는 9건이었다고 보도했습니다.

1. 2025년 7월조선일보 보도에 따르면 2025년 7월 정부 업무 관리 시스템 ‘온나라’가 해킹돼 정보가 유출됐습니다.
2. 2026년 1월조선일보 보도에 따르면 2026년 1월 강원대병원과 화순전남대병원이 랜섬웨어에 감염됐습니다.
3. 10월 1일정부가 공공부문 사이버보안 책임성 강화방안을 발표했습니다.

누가 무엇을 주장하나

황규철(행정안전부 인공지능정부실장)

기초적인 보안수칙으로 막을 수 있었던 사고가 반복되는 원인을 보안 의식 부족으로 설명했습니다. 징계 강화와 함께 관리자와 담당자가 보안을 대하는 인식을 바꿔야 한다고 강조했습니다.

김재선(인사혁신처 복무과장)

장·차관 등 정무직 공무원은 국가공무원법상 징계 대상이 아니며, 문제가 있으면 대통령의 인사권 행사가 가능하다고 설명했습니다. 조선일보 보도에 따르면 감독자 책임을 명시하는 규정으로 부처 1급 공무원까지 징계할 수 있다고 밝혔습니다.

확인된 사실과 엇갈리는 주장

용어 풀이

공무원 징계령 시행규칙

공무원의 잘못에 따른 징계 기준 등을 구체적으로 정하는 규칙입니다.

견책

공무원의 잘못을 꾸짖고 반성하도록 하는 징계입니다.

감봉

일정 기간 보수의 일부를 줄이는 징계입니다.

사이버보안 실태평가

국가정보원이 국가·공공기관의 사이버보안 관리 수준을 살피는 평가입니다.

랜섬웨어

컴퓨터나 서버의 파일을 암호화하고 복구를 대가로 금전을 요구하는 사이버 공격 수법입니다.

앞으로 확인할 것

• 조선일보 보도에 따르면 정부는 2026년 공무원 징계령 시행규칙을 개정해 감독자 책임과 강화된 징계 기준을 반영할 계획이라고 밝혔습니다.
• 조선일보 보도에 따르면 정부는 2027년 사이버보안 실태평가에 기타 공공기관·지방공기업·시도교육청을 추가하고, 2028년부터 평가 가능한 기관 전체로 확대할 계획이라고 밝혔습니다.
• 조선일보 보도에 따르면 정부는 2027년 중앙행정기관 정부혁신 평가에 중대 유출 사고 감점을 반영하고, 2028년 지방공기업 경영평가부터 사이버보안 지표를 도입할 계획이라고 밝혔습니다.

갱신 기록

1. 2026년 10월 1일리포트를 처음 작성했습니다. (기사 5건, 매체 5곳 기준)