국가 ICT연구개발 관리기관 잇단 해킹·개인정보 보호체계 허점 드러나…2027년 3월 개정 제도 엄격 적용 예고

핵심 요약

- 2026년 국정감사에서 국가 ICT 연구개발 관리기관의 잇단 해킹 사고로 개인정보 보호체계 허점 지적 - 연구비 부정 의혹과 근무시간 중 게임·해킹 등 복합적 문제 제기 - 과기정통부, 2027년 3월 시행되는 개정 제도 엄격 적용 및 법 집행 강화 방침 발표

주요 내용

2026년 국정감사에서 국가 정보통신기술(ICT) 연구개발을 총괄하는 관리기관의 보안 및 개인정보 보호체계에 심각한 허점이 있는 것으로 드러났다. 국회 과학기술정보방송통신위원회 소속 의원들은 해당 기관에서 발생한 연이은 해킹 사고를 지적하며, 개인정보 보호체계 전반에 대한 재점검을 요구했다.

특히 이번 국감에서는 해킹 사고뿐만 아니라 연구비 부정 사용 의혹, 근무시간 중 게임 및 불법 해킹 행위 등 다층적인 문제가 복합적으로 제기되면서 과학기술계 공공기관의 전반적인 관리·감독 체계에 대한 근본적인 개선이 필요하다는 지적이 나왔다. 국가 연구개발 사업을 관리하는 핵심 기관에서 이 같은 보안 사고가 반복적으로 발생한 것은 정보보호 거버넌스의 실효성에 의문을 제기하는 대목이다.

국회는 과학기술정보통신부에 보다 엄격한 법 집행을 주문했으며, 과기정통부는 2027년 3월 시행 예정인 개정 제도를 엄격히 적용하겠다고 답변했다. 이번 개정안에는 정보보호 관리체계 강화, 침해사고 대응체계 개선, 내부자에 의한 보안 위협 관리 등이 포함될 것으로 예상된다.

과기정통부 관계자는 "국가 R&D 정보를 관리하는 기관의 특성상 보안과 개인정보 보호는 선택이 아닌 필수"라며 "재발 방지를 위한 종합적인 대책을 마련하고 있다"고 밝혔다.

전문가 시각

ISMS-P 심사 현장에서 공공기관의 정보보호 관리체계를 평가해온 경험에 비춰볼 때, 이번 사례는 형식적인 인증 취득과 실질적인 보안 수준 간의 괴리를 단적으로 보여준다. 특히 국가 연구개발 정보를 다루는 기관에서 반복적인 해킹 사고가 발생했다는 것은 최고경영진의 정보보호 의지, 내부 통제체계, 기술적 보호조치가 모두 실효성을 확보하지 못했음을 의미한다. 단순히 인증을 유지하는 것이 아니라, 지속적인 모니터링과 개선 활동이 실질적으로 이루어져야 한다.

2027년 3월 시행 예정인 개정 제도는 처벌 수위 강화뿐만 아니라 사후 관리 강화에 초점이 맞춰질 것으로 보인다. 특히 내부자에 의한 보안 위협(Insider Threat)과 특권 계정 관리, 개인정보 접근 통제 등이 핵심 쟁점이 될 것이다. ICT 연구개발 관리기관뿐만 아니라 유사한 성격의 공공기관들은 이번 사례를 타산지석으로 삼아, 형식적 준수를 넘어 실질적인 보안 내재화(Security by Design) 전략을 조속히 수립해야 한다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.1.2 정보보호 조직 구성 및 운영
- 최고경영자의 정보보호 의지가 실질적으로 조직 전반에 반영되고 있는지 점검
- 정보보호 책임자(CISO)의 독립성과 권한이 실효성 있게 보장되는지 확인
- 개인정보보호법 제31조(개인정보 보호책임자의 지정) 준수 여부

2. 인증기준 2.5.2 침해사고 대응 및 복구
- 침해사고 탐지·분석·대응·복구 절차의 실효성 검증
- 유사 사고 재발 방지를 위한 근본원인 분석 및 재발방지대책 수립 여부
- 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제73조(과징금 부과) 해당 여부

3. 인증기준 2.8.5 접근권한 검토 및 조정
- 특권 계정 및 개인정보 접근권한에 대한 정기적 검토 체계
- 근무시간 중 비정상 접근 패턴 모니터링 체계 구축 여부
- 정보통신망법 제28조(개인정보의 보호조치) 기술적·관리적 보호조치 이행 점검

위반 조항

개인정보보호법 제29조(안전조치의무)
- 개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 해야 함
- 해킹 사고로 인한 개인정보 유출 시 안전조치의무 위반 해당

개인정보보호법 제34조(개인정보 유출 통지 등)
- 개인정보가 유출된 경우 정보주체에게 통지하고 보호위원회에 신고해야 함
- 유출 사실 은폐 또는 지연 통지 시 가중처벌 대상

개인정보보호법 제73조(과징금)
- 안전조치의무 위반 시 매출액의 100분의 3 이하 또는 5억 원 이하의 과징금 부과 가능
- 고의 또는 중과실 입증 시 처벌 수위 강화

정보통신망법 제28조(개인정보의 보호조치)
- 정보통신서비스 제공자의 기술적·관리적 보호조치 의무
- 위반 시 3천만 원 이하의 과태료 부과(동법 제76조)

CPPG·ISMS-P 연계 포인트

1. 침해사고 대응체계(Incident Response)
개인정보 침해사고 발생 시 탐지→분석→대응→복구→재발방지의 전 단계를 체계적으로 수행할 수 있는 절차와 조직을 갖춰야 한다. 특히 공공기관의 경우 국가정보원의 「국가사이버안전관리규정」과 연계된 신속한 보고체계 구축이 필수이며, 사고 발생 후 24시간 이내 초동조치가 완료되어야 한다.

2. 내부자 위협 관리(Insider Threat Management)
내부 구성원에 의한 정보유출 및 보안사고는 외부 공격보다 탐지가 어렵고 피해 규모가 크다. 특권 계정 모니터링, 직무분리(Segregation of Duties), 비정상 행위 패턴 분석(UBA/UEBA), 퇴직자 계정 즉시 삭제 등의 통제가 요구되며, ISMS-P 인증심사에서도 최근 강화되고 있는 핵심 점검 항목이다.