공공부문 사이버공격 '비상'…따릉이 462만명부터 외교부까지 뚫렸다

---

최근 외교부·고용노동부 해킹, 서울시 따릉이 462만명 개인정보 유출, 국립중앙도서관·영화진흥위원회 해킹 등 공공부문 대상 사이버공격이 연이어 발생하고 있다. 특히 일부 사고는 발생 후 2년이 지나서야 확인되는 등 공공기관의 보안 체계와 침해 대응 역량에 심각한 경고등이 켜졌다.

---

잇따른 공공기관 해킹…피해 규모 '역대급'

2022년 이후 공공부문을 겨냥한 사이버공격이 급증하고 있다. 외교부는 외부 해킹 공격을 받았고, 고용노동부는 랜섬웨어 공격에 노출됐다. 가장 충격적인 사례는 서울시 공공자전거 '따릉이' 회원 462만명의 개인정보가 유출된 사건이다. 이 사고는 발생 후 무려 2년이 지나서야 확인되어 공공부문의 침해사고 탐지·대응 체계가 사실상 무방비 상태였음을 여실히 드러냈다.

문화체육관광부 산하 기관들도 예외가 아니었다. 국립중앙도서관과 영화진흥위원회는 웹 취약점 공격을 받아 총 1,236명(국립중앙도서관 879명, 영진위 357명)의 이름, 연락처 등 회원정보가 외부로 유출됐다.

공통 패턴 분석: 구조적 취약성 노출

이번 연쇄 사고들에서 드러난 공통적인 문제점은 다음과 같다.

첫째, 노후화된 보안 시스템이다. 공공기관 상당수가 예산 부족과 인력 한계로 최신 보안 패치 적용이 지연되고 있으며, 웹 취약점이 장기간 방치되고 있다.

둘째, 침해사고 탐지 역량의 부재다. 따릉이 사례처럼 침해 발생 후 2년간 이를 인지하지 못했다는 것은 실시간 모니터링 체계가 형식적으로만 운영되고 있음을 의미한다.

셋째, 위탁업체 관리 소홀이다. 공공기관의 정보시스템 상당수가 외부 업체에 위탁 운영되고 있으나, 수탁사에 대한 보안 점검과 관리·감독이 미흡한 실정이다.

공공기관이 나아가야 할 방향

전문가들은 공공부문의 보안 체계 전면 재점검이 시급하다고 입을 모은다.

① 상시 취약점 점검 체계 구축: 연 1회 형식적 점검이 아닌, 분기별 또는 상시 취약점 진단과 모의해킹을 의무화해야 한다.

② 침해사고 대응 체계 고도화: 보안관제센터(SOC)의 실질적 운영, 이상징후 탐지(SIEM) 시스템 도입, 침해사고 발생 시 72시간 내 신고 의무 준수가 필수적이다.

③ 수탁사 보안 관리 강화: 개인정보 처리 위탁 시 수탁사의 보안 수준을 계약서에 명시하고, 정기적인 현장 점검을 실시해야 한다.

④ 정보보호 전담 인력 확충: 공공기관 정보보호 전담 조직과 인력에 대한 법적 기준을 강화하고 예산을 현실화할 필요가 있다.

공공부문은 국민의 민감한 개인정보를 대량으로 보유하고 있어 한 번의 사고가 수백만 명에게 피해를 줄 수 있다. 이번 연쇄 사고를 계기로 공공기관 정보보호 거버넌스의 근본적인 혁신이 이뤄져야 할 때다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

침해사고 통지·신고 의무 (개인정보보호법 제34조, 제34조의2)

>

개인정보처리자는 개인정보 유출을 인지한 때에는 지체 없이(72시간 이내) 정보주체에게 통지하고, 1천명 이상 유출 시 개인정보보호위원회에 신고해야 한다. 따릉이 사례처럼 침해 발생 후 2년간 인지하지 못한 경우, 이는 접근 기록 점검(최소 반기 1회) 의무 위반과도 연결된다. ISMS-P 인증 기준 중 '2.9.7 침해사고 대응' 항목에서는 침해사고 탐지·분석·대응·복구 절차 수립과 주기적 모의훈련을 요구하고 있음을 기억하자.

---

백남정 기자 | 개인정보보호 전문