[긴급 공공 보안진단] 〈중〉 공공 시스템 취약성 1월 확인…전면 점검은 6월에야

생성형AI가 만든 이미지 공공시스템의 개인정보 탈취 취약점이 올해 1월 감사원 모의해킹에서 확인됐지만, 정부의 공공부문 전반의 실태 점검은 6월 전담조직 출범 이후에야 본격화됐다. 인공지능(AI)을 악용한 사이버 공격이 급증하는 가운데 공공 보안 대응 속도를 높여야 한다는 목소리가 커지고 있다. ◇1월 감사원 모의해킹 7곳 모두 '취약점 확인' 감사원은 지난 1월 개인정보보호위원회가 집중관리 대상으로 지정한 공공시스템 123개 가운데 개인정보 보유량이 많은 7개를 선정해 모의해킹을 실시했다. 7개 시스템 모두에서는 권한이 없는 타인의 개인정보를 조회하거나 탈취할 수 있는 취약점이 확인됐다. 한 시스템은 중요 접속정보가 암호화되지 않아 관리자 권한을 확보하면 주민등록번호 등 13만명의 정보를 탈취할 수 있었다. 또 다른 시스템은 입력값 검증이 미흡해 주민등록번호 등 최대 5000만건을 반복 조회할 수 있었다. 시스템 개편 뒤 재점검이 이뤄지지 않아 회원정보 1000만건을 20분 안에 탈취할 수 있는 사례도 확인됐다. 감사원은 공공부문 개인정보 유출의 95.5%가 외부 해킹으로 발생했는데도 기존 대책은 내부자 접근권한 통제에 치우쳤다고 진단했다. ◇제도는 손봤지만 예방조치는 2027년부터 정부는 감사원의 조사 결과를 토대로 대응에 나섰다. 개인정보위는 감사원의 협조 요청을 받은 뒤 지난 3월 공공부문 개인정보보호 제도 개선안을 내놨다. 집중관리시스템 58개 기관·387개 시스템을 대상으로 취약점 점검과 외부 전문가 침투테스트를 각각 연 1회 이상 실시하도록 하는 관련 고시를 개정한 것이다. 하지만 핵심 예방조치인 취약점 점검과 침투테스트 의무는 2027년 1월부터 시행된다. 공공기관들이 해당 고시에 따라 즉시 점검해야 할 의무는 부여되지 않은 셈이다. 규정이 시행된 뒤에도 점검 결과를 개인정보위에 정기 제출하는 구조가 아니다. 사고가 발생하면 조사 과정에서 해당 기관의 준수 여부를 확인하는 방식이다. 공공시스템 전반의 취약성을 선제적으로 파악하고 관리하는 데 한계가 있다는 분석이다. ◇공공실태점검단 6월 출범, 8월부터 현장 점검 개인정보위는 지난 6월에서야 공공부문 개인정보 보호 실태를 전담 점검하는 '공공실태점검단'을 출범시켰다. 공공기관의 개인정보 관리체계를 사고 발생 뒤 조사하는 방식에서 벗어나, 위험 요인을 미리 확인하는 예방 중심 체계로 전환하기 위한 조직이다. 점검단은 출범 즉시 각 중앙부처에 본부와 ...