공공기관 전산망은 왜 반복해서 뚫리는가

정부와 공공기관의 정보시스템에는 국민의 생활을 구성하는 핵심 정보가 모여 있습니다. 주민등록, 가족관계, 세금, 부동산, 복지, 건강보험, 교육, 연구, 병역, 출입국, 재판, 자격증명, 행정처분 기록이 기관별 시스템과 연계망을 통해 처리됩니다.

이 시스템이 침해되면 개인정보 유출에서 끝나지 않습니다. 행정문서 열람, 공직자 계정 도용, 정책자료 탈취, 국가기밀 접근, 민원서류 오발급, 서비스 중단, 피해 범위 확인 실패가 함께 발생할 수 있습니다. 공격자가 정상 사용자로 위장하면 기존 보안장비가 침입을 알아채기 어려운 상황도 생깁니다.

최근 공개된 사건들은 공공부문 보안의 약점이 특정 기관 한 곳에 한정되지 않는다는 사실을 보여줍니다. 원격접속 인증, 오래된 웹서비스, 기관 간 연계, 외주 유지관리, 로그 보존, 사고 공개, 복구 체계가 서로 연결돼 있습니다.

최근 수치가 보여주는 상황

개인정보보호위원회와 한국인터넷진흥원에 따르면 2025년 접수된 개인정보 유출 신고는 447건이었습니다. 2024년 307건에서 45.6% 증가했습니다. 전체 신고 원인 가운데 해킹은 276건으로 62%를 차지했습니다.

해킹 유형에서는 랜섬웨어와 웹셸 등 악성코드가 96건, SQL 인젝션과 파라미터 변조 등 웹 취약점 악용이 32건, 관리자 페이지 비정상 접속이 23건으로 집계됐습니다. 공격자는 새롭고 복잡한 기법만 사용하지 않습니다. 패치되지 않은 웹페이지, 노출된 관리자 화면, 재사용된 계정, 관리가 끝난 오래된 시스템이 계속 공격 경로가 됩니다.

2025년 개인정보위의 조사·처분 227건 가운데 공공부문은 77건이었습니다. 공공기관 41건, 중앙행정기관·헌법기관 등 22건, 지방자치단체 7건, 학교 7건으로 분류됐습니다. 공공기관 사고가 일부 기관의 예외적 실수로 보기 어려운 규모입니다.

2024년에는 공공기관의 개인정보 유출 신고가 104건으로 집계됐습니다. 신고 기준 강화의 영향도 포함됩니다. 중앙행정기관·지방자치단체가 42%, 대학교·교육청이 41%, 공공기관·특수법인이 17%였습니다.

이 수치는 공공서비스의 공격 표면이 넓다는 점을 보여줍니다. 중앙부처와 지방자치단체, 교육기관, 연구기관, 공기업, 산하기관은 서로 다른 예산과 인력, 기술 수준으로 수많은 시스템을 운영합니다. 하나의 기관 안에서도 대표 포털, 민원서비스, 내부 업무시스템, 모바일 앱, API, 데이터 연계, 외주 관리서버가 따로 관리되는 경우가 많습니다.

사건 1: 온나라시스템과 정부 행정망 침해

어떤 시스템인가

온나라시스템은 공무원이 문서를 작성하고 결재하며 기관 간 공문을 주고받는 정부 업무관리 체계입니다. 내부 보고, 메모, 문서 유통 등 일상적인 행정업무에 사용됩니다.

외부에서 업무망에 접속할 때 정부원격근무서비스인 G-VPN과 행정전자서명 인증서인 GPKI가 사용됐습니다. 인증서와 비밀번호가 안전하게 관리되고 접속 단계에서 사용자의 신원과 기기를 확실히 검증해야 하는 구조입니다.

확인된 침해 경과

국가정보원은 2025년 10월 17일 신원을 확인하지 못한 해커가 온나라시스템 등 정부 행정망에 무단 접속하고 자료를 열람한 사실을 발표했습니다.

공개된 조사 내용에 따르면 공격자는 여러 경로로 공무원의 GPKI 인증서와 비밀번호 등을 확보한 뒤 정상 사용자로 위장했습니다. 인증서 6개와 국내외 IP 주소 6개를 이용해 2022년 9월부터 2025년 7월까지 G-VPN을 통과하고 온나라시스템에 접속했습니다.

국정원은 일부 부처가 자체 운영하는 전용 시스템에 접근한 사실도 확인해 추가 조사에 들어갔습니다. 부처 행정메일 서버 소스코드 노출, 공직자 이메일 계정, 업무용 인증서와 관련된 흔적도 점검 대상이 됐습니다.

공격 배후는 공식적으로 확정되지 않았습니다. 공개 보고서와 민간 분석에서 여러 국가 연계 조직이 언급됐습니다. 국정원은 기술적 증거가 충분하지 않다는 입장을 밝혔습니다.

왜 탐지가 어려웠나

이 사건의 핵심은 공격자가 정상 인증수단을 사용했다는 점입니다. 방화벽에서 허용된 G-VPN 경로로 접속하고 유효한 인증서를 제시하면 단순 접속 허용·차단 방식의 관제에서는 정상 업무로 보일 수 있습니다.

인증서 파일이 복사돼도 인증서 자체는 유효합니다. 접속 위치, 기기, 시간, 업무 패턴, 열람 문서, 다운로드 양을 함께 분석해야 도용 가능성을 판단할 수 있습니다.

다음과 같은 이상징후가 탐지 기준에 포함돼야 합니다.

• 평소 사용하지 않던 국가나 지역의 IP 주소
• 짧은 시간에 여러 기관으로 이동하는 접속
• 한 인증서가 서로 다른 기기에서 동시에 사용되는 현상
• 야간과 휴일의 대량 문서 조회
• 담당 업무와 관련성이 낮은 문서 접근
• 원격접속 직후 권한 있는 내부 시스템으로 연속 이동
• 평소와 다른 브라우저·운영체제·기기 지문
• 여러 계정이 하나의 외부 IP에서 사용되는 현상
• 로그인 성공 뒤 반복되는 검색과 다운로드
• 인증 실패가 누적된 뒤 갑자기 성공하는 접속

정부가 취한 조치

국정원과 행정안전부는 악용된 IP 주소를 국가·공공기관에 전파해 차단했습니다. 침해에 사용된 GPKI 인증서를 폐기하고, 피싱 사이트 접속 가능성이 있는 공직자 이메일 계정의 비밀번호를 변경했습니다.

G-VPN 접속에는 전화 자동응답 방식의 2차 인증이 추가됐습니다. 온나라시스템의 인증 로직 변경, 부처 서버 접근통제 강화, 소스코드 취약점 수정도 시행됐습니다. 행정전자서명 중심의 인증체계를 모바일 공무원증 등 복합 인증수단으로 전환하는 방향도 제시됐습니다.

이 조치들은 계정 탈취 이후의 방어력을 높입니다. 장기적인 개선에는 인증서 파일의 복사·반출 통제, 관리기기 확인, 세션 위험평가, 업무별 최소권한, 행위 기반 탐지가 포함돼야 합니다.

사건 2: 법원 전산망 1,014GB 자료 유출

사건 경과

경찰청 국가수사본부는 2024년 5월 11일 국가정보원·검찰과의 합동 조사 결과를 공개했습니다. 북한 해킹조직 라자루스로 추정되는 집단이 법원 전산망에 장기간 침투해 총 1,014GB의 자료를 외부로 전송한 것으로 조사됐습니다.

침입은 2021년 1월 7일 이전부터 2023년 2월 9일까지 이어진 것으로 파악됐습니다. 공격자는 국내외 서버 8대를 거쳐 자료를 전송했습니다.

수사기관이 내용까지 확인한 자료는 4.7GB, 파일 5,171개였습니다. 전체 유출 추정량의 약 0.5%입니다. 확인된 파일은 개인회생 사건과 관련된 자필진술서, 채무증대 및 지급불능 경위서, 혼인관계증명서, 진단서 등이었습니다. 이름, 주민등록번호, 금융정보, 병력기록 같은 민감한 정보가 포함됐습니다.

나머지 중계 서버의 자료 저장기간이 끝나면서 전체 유출 내용을 확인하지 못했습니다. 오래된 보안장비 로그도 삭제돼 최초 침입 시점과 침입 경로를 밝히는 데 제한이 생겼습니다.

이 사건이 특히 중요한 이유

법원 자료는 개인의 분쟁과 경제상태, 가족관계, 건강, 채무, 범죄 피해, 주소, 재산을 상세하게 담을 수 있습니다. 한 개의 사건기록 안에 여러 사람의 개인정보가 함께 들어가는 경우도 많습니다.

유출된 파일의 이름만 확인해도 사건 당사자의 상황을 추론할 수 있습니다. 문서 본문까지 확보되면 보이스피싱, 채무 관련 협박, 사칭, 표적 피싱, 사회공학 공격에 이용될 가능성이 커집니다.

피해 내용의 99.5%를 확인하지 못한 사실은 로그 보존과 사고 초기 대응의 중요성을 보여줍니다. 침입을 막는 통제와 사고 뒤 사실을 재구성하는 통제는 모두 필요합니다.

확인할 관리 문제

• 내부망 악성코드 탐지 경보의 처리 절차
• 사고 인지 뒤 수사기관·감독기관에 알리는 기준
• 네트워크 흐름 기록과 외부 전송량 보존기간
• 서버·보안장비 로그의 중앙 수집
• 법원 사건기록에 대한 대량 접근 탐지
• 민감문서의 저장·전송 암호화
• 내부 시스템 간 이동을 제한하는 망세분화
• 악성코드 감염 시스템의 포렌식 보존
• 피해자 통지에 필요한 문서·개인 식별 체계
• 장기간 잠복 공격을 가정한 위협 헌팅

사건 3: 한국연구재단 JAMS 12만 명 개인정보 유출

공격 방식

개인정보보호위원회는 2026년 1월 한국연구재단에 총 7억 780만 원의 과징금과 과태료를 부과했습니다. 사고는 2025년 6월 6일 온라인논문투고시스템 JAMS에서 발생했습니다.

해커는 학회페이지의 비밀번호 찾기 URL에 존재하던 취약점을 이용했습니다. URL의 이메일 주소를 임의로 변경하고 파라미터를 조작해 회원의 개인정보 화면을 열람했습니다. 이메일 주소를 무작위로 대입하는 방식도 사용됐습니다.

약 12만 명의 성명, ID, 이메일, 휴대전화번호, 계좌번호 등 44개 항목이 열람된 것으로 조사됐습니다. 일부 이용자가 비고란에 직접 입력한 주민등록번호 116건도 유출됐습니다.

해당 취약점은 2013년부터 존재했습니다. 연구재단은 JAMS 포털을 대상으로 취약점 점검을 수행했으며 1,600개가 넘는 개별 학회페이지는 점검 범위에서 빠져 있었습니다.

피해가 확대된 과정

연구재단은 유출 통지에서 휴대전화번호, 계좌번호, 연구자등록번호 등 주요 유출 항목을 누락했습니다. 해킹 뒤 충분한 개선이 이뤄지지 않은 상태에서 JAMS 회원 명의를 도용한 2차 피해도 발생했습니다.

웹방화벽은 시스템 내부의 주민등록번호 형식을 탐지한 적이 있었습니다. 기관은 이를 오탐으로 판단하고 실제 입력 여부를 확인하는 후속조치를 하지 않았습니다.

이 사건은 보안 점검 범위의 중요성을 보여줍니다. 대표 도메인 한 곳을 점검해도 하위 서비스가 안전해지는 것은 아닙니다. 동일한 프로그램을 사용하는 수천 개의 학회페이지 가운데 하나의 취약한 기능이 전체 회원정보 접근 경로가 될 수 있습니다.

공공 연구서비스가 가진 특수성

연구 시스템은 일반 회원정보 외에도 논문 원고, 심사 의견, 소속, 연구분야, 계좌정보, 연구자번호, 공동연구자 관계를 저장합니다. 공개 전 연구 내용과 학술활동 이력이 포함될 수 있습니다.

공격자는 이런 정보를 이용해 연구자 사칭 메일, 가짜 학술대회 초청, 허위 심사 요청, 연구비 관련 피싱, 계좌 변경 사기를 시도할 수 있습니다. 국가 연구개발과 연계된 정보가 포함된 경우 산업기술과 정책정보 보호 문제도 생깁니다.

사건 4: 정부24 민원서류 오발급

해킹 없이도 발생하는 보안사고

행정안전부는 2024년 4월 초 정부24 오류로 납세증명서, 성적증명서 등 민원서류 약 1,400건이 신청자와 다른 사람에게 발급된 사실을 확인했습니다.

이 사건의 원인은 외부 해킹으로 발표되지 않았습니다. 시스템 오류가 개인정보 유출을 일으킨 사례입니다.

공공서비스 보안에는 기밀성, 무결성, 가용성이 함께 포함됩니다. 올바른 사용자가 올바른 문서를 받는지, 문서 내용이 변경되지 않았는지, 신청과 발급 대상의 연결이 정확한지 검증해야 합니다.

왜 중요한가

전자정부 서비스는 여러 기관의 데이터를 실시간으로 불러오고 하나의 민원서류로 조합합니다. 신청자 인증, 민원 종류, 발급 대상, 수신 화면, 파일 생성, 전자지갑 전송 과정 가운데 한 단계에서 식별자가 잘못 연결되면 다른 사람의 문서가 전달될 수 있습니다.

이런 오류를 막기 위해 다음 통제가 필요합니다.

• 신청자 식별자와 문서 소유자의 일치 검증
• 발급 직전 중요 항목 재확인
• 캐시와 세션의 사용자 분리
• 동시 요청 상황을 포함한 부하 테스트
• 배포 전 개인정보 흐름 테스트
• 오류 발생 시 자동 발급 중지
• 발급 파일의 수신자 식별정보 검증
• 비정상 발급량과 중복 식별자 탐지
• 변경 배포 뒤 집중 모니터링
• 피해자 통지와 재발급 절차

사건 5: 외주 유지관리 업체를 통한 우회 침투

국가정보원은 2025년 3월 북한 해킹조직의 소프트웨어 공급망 공격 사례를 공개했습니다.

공개 사례에서 공격자는 지방자치단체 전산망 유지관리 업체 직원의 이메일을 해킹했습니다. 이메일에 보관돼 있던 서버 접속계정을 확보한 뒤 지자체 원격관리 서버에 무단 접속하고 행정자료 절취를 시도했습니다.

공공기관은 개발, 시스템 운영, 보안관제, 장비 유지보수, 콜센터, 클라우드, 데이터 이전을 외부업체에 맡기는 경우가 많습니다. 외부업체 계정은 여러 시스템에 넓은 권한을 갖고 야간에도 접속할 수 있습니다.

공급망 보안에서 확인할 사항은 다음과 같습니다.

• 외주인력별 개인 계정 발급
• 공용 관리자 계정 사용 금지
• 작업시간과 대상 서버 사전 승인
• 기관 관리 단말기를 통한 접속
• 다중인증과 단기 권한 부여
• 명령어와 파일 전송 기록
• 계약 종료 즉시 계정 폐기
• 하도급 업체와 재위탁 현황
• 직원 이메일에 비밀번호·인증서 저장 금지
• 업체 침해사고 발생 시 기관 통보 기한
• 원격지원 도구와 VPN 계정 정기 점검
• 공급 소프트웨어의 구성요소 명세와 취약점 관리

공공기관 보안이 어려운 구조적 이유

시스템 수가 많고 수명이 길다

공공서비스는 법령과 행정절차에 맞춰 장기간 운영됩니다. 새로운 시스템이 도입돼도 과거 자료 조회와 다른 기관 연계를 위해 기존 시스템이 계속 남을 수 있습니다.

오래된 운영체제와 프레임워크는 패치 적용이 어렵습니다. 담당자가 교체되면 시스템 구조와 예외처리에 관한 지식이 사라질 수 있습니다. 유지보수 계약 범위에 포함되지 않은 하위 페이지와 배치 프로그램은 점검에서 누락되기도 합니다.

기관은 다음 자산을 하나의 목록으로 관리해야 합니다.

• 인터넷에 공개된 도메인과 하위 도메인
• 사용 중인 서버와 가상머신
• 운영체제와 프레임워크 버전
• 웹 애플리케이션과 API
• 관리자 페이지와 원격접속 장비
• 데이터베이스와 저장 개인정보
• 인증서, API 키, 서비스 계정
• 외주업체 원격접속 경로
• 사용 중단 예정 시스템
• 백업, 개발, 시험 환경
• 클라우드 계정과 외부 SaaS
• 모바일 앱과 배포 인증서

기관 간 연결이 많다

정부24, 공공 마이데이터, 전자문서 유통, 행정정보 공동이용 같은 서비스는 여러 기관의 데이터를 연결합니다. 한 기관의 계정이나 인증체계가 침해되면 다른 기관으로 이동할 경로가 생길 수 있습니다.

연계 시스템에는 기관별 신뢰를 자동으로 부여하는 방식이 사용될 수 있습니다. 각 요청의 사용자, 기관, 목적, 데이터 범위, 기기 상태를 매번 확인하는 구조가 필요합니다.

인증서와 계정의 권한이 크다

공무원 인증서, 외주 관리자 계정, 서비스 계정은 많은 기능에 접근할 수 있습니다. 인증정보가 탈취되면 공격자가 정상 사용자처럼 행동합니다.

비밀번호 변경만으로 인증서 파일, 로그인 토큰, API 키의 위험이 모두 해소되지는 않습니다. 관련 자격증명을 한 번에 폐기하고 재발급하는 절차가 필요합니다.

예산 집행과 조달에 시간이 걸린다

공공기관은 예산 편성, 조달, 심사, 계약 절차를 거쳐 보안제품과 서비스를 도입합니다. 긴급한 취약점 개선이 다음 회계연도 사업으로 미뤄질 수 있습니다.

제품 구매와 보안 수준은 같은 의미가 아닙니다. 보안 인력, 운영 절차, 로그 분석, 패치 적용, 훈련, 사고 대응이 지속적으로 수행돼야 합니다.

담당 인력과 책임이 분산된다

개인정보 보호책임자, 정보보안 담당자, 시스템 운영부서, 사업부서, 외주업체, 상급기관의 역할이 나뉘어 있습니다. 취약점이 발견돼도 누가 수정 예산을 확보하고 서비스 중단을 승인하며 위험을 수용할지 불명확할 수 있습니다.

시스템별 책임자와 위험 승인권자를 지정해야 합니다. 기관장은 장기간 미조치 취약점과 반복 사고 현황을 정기적으로 보고받아야 합니다.

사고 공개에 부담이 있다

공공기관 사고는 국민 신뢰, 국가안보, 수사, 정책 책임과 연결됩니다. 정보 공개가 늦어지면 피해자가 계정 변경과 사기 대응을 시작할 기회도 늦어집니다.

공개 범위는 공격자에게 유용한 기술정보를 제외하면서 피해자가 알아야 할 내용을 포함해야 합니다.

• 사고 발생·인지 시점
• 영향받은 시스템
• 유출 가능성이 있는 개인정보 항목
• 확인된 피해자 범위
• 공격자가 수행한 주요 행동
• 기관이 완료한 차단 조치
• 이용자가 해야 할 보호조치
• 추가 결과 발표 일정
• 문의와 피해 신고 방법

공공서비스에서 우선 강화할 보안 통제

1. 모든 인터넷 접점을 먼저 찾기

기관이 존재를 모르는 시스템은 패치와 관제 대상에서 빠집니다. 외부에서 확인되는 도메인, IP, 인증서, 클라우드 저장소, 관리자 페이지를 상시 탐색해야 합니다.

폐기 예정 서비스와 시험 서버도 인터넷에 연결돼 있으면 공격 대상이 됩니다. 담당 부서와 운영업체가 불명확한 시스템은 우선 정리해야 합니다.

2. 다중인증과 기기 신뢰 검증

원격접속과 관리자 계정에는 다중인증을 적용합니다. 문자와 ARS는 긴급한 보완수단으로 사용할 수 있습니다. 장기적으로는 기관이 관리하는 기기, 모바일 공무원증, 생체 또는 하드웨어 기반 인증을 조합할 수 있습니다.

접속할 때 확인할 요소는 사용자 신원, 기기 상태, 접속 위치, 시간, 업무 위험도입니다. 위험도가 높은 접속에는 추가 인증과 관리자 승인을 요구합니다.

3. 최소권한과 짧은 관리자 권한

상시 관리자 권한을 줄이고 작업할 때만 일정 시간 동안 권한을 부여합니다. 외주업체와 개발자는 업무에 필요한 서버에만 접근하게 합니다.

문서 검색, 개인정보 조회, 다운로드, 수정, 삭제, 외부 전송 권한을 구분해야 합니다. 대량 조회와 내보내기에는 별도 승인과 사유 입력을 적용합니다.

4. 취약점 점검 범위를 실제 서비스 전체로 설정

대표 포털, 하위 페이지, API, 모바일 앱, 관리자 기능, 배치 프로그램, 개발·시험 환경을 모두 포함합니다.

자동 진단 도구는 알려진 취약점을 빠르게 찾습니다. 업무 로직 취약점과 인증 우회는 전문인력의 수동 점검과 모의침투가 필요합니다. URL 파라미터를 바꿨을 때 다른 사용자의 정보가 나타나는지 같은 권한 검증도 수행해야 합니다.

5. 패치 기한과 예외 승인

취약점의 심각도와 외부 노출 여부에 따라 수정 기한을 정합니다. 기한 내 패치가 불가능하면 임시 차단, 기능 중지, 접근 IP 제한, 웹방화벽 규칙, 추가 관제를 적용합니다.

예외는 시스템 담당자가 단독으로 결정하지 않도록 합니다. 책임자 승인, 만료일, 대체 통제, 재검토 일정을 기록해야 합니다.

6. 통합 로그와 장기 보존

로그에는 로그인 성공·실패, 인증서 사용, 권한 변경, 문서 조회, 대량 다운로드, API 호출, 관리자 명령, 외부 전송이 포함돼야 합니다.

기관별 시스템의 시간을 동기화하고 공통 식별자를 사용하면 사건 흐름을 연결할 수 있습니다. 원본 로그는 운영자가 임의로 변경하기 어려운 저장소에 보관합니다.

법원 사건처럼 장기간 침투가 확인되는 상황을 고려해 핵심 시스템의 보존기간을 위험 수준에 맞춰 설정해야 합니다.

7. 행위 기반 탐지

정상 계정으로 들어오는 공격을 찾으려면 사용자의 평소 행동과 다른 변화를 분석해야 합니다.

• 새로운 기기와 지역에서의 접속
• 직무와 관련 없는 정보 조회
• 짧은 시간의 대량 문서 접근
• 여러 시스템을 빠르게 이동하는 세션
• 민감정보 검색의 급증
• 평소 사용하지 않던 관리자 기능
• 압축파일 생성과 외부 전송
• 장기간 사용하지 않던 계정의 활동

탐지 경보에는 담당자와 대응 기한을 지정합니다. 낮은 등급 경보가 반복될 때 하나의 사건으로 묶어 심각도를 높이는 규칙도 필요합니다.

8. 백업과 서비스 연속성

공공서비스 보안에는 장애와 재난에 대한 복구도 포함됩니다. 2025년 국가정보자원관리원 사고에서는 다수 정부 정보시스템의 복구가 장기간 진행됐고, 행정안전부가 709개 시스템의 복구 현황을 공개했습니다. 해당 사고의 원인은 화재였습니다.

핵심 서비스는 다른 지역의 복구 환경, 오프라인 백업, 정기 복구훈련, 수동 민원 절차를 준비해야 합니다. 백업 파일이 존재하는지 확인하는 작업과 실제 서비스가 복구되는지 시험하는 작업이 모두 필요합니다.

9. 공격 직후 증거 보존

감염 서버를 바로 초기화하면 공격 차단에는 도움이 될 수 있으며 침입 경로와 유출 범위를 확인할 자료가 사라질 수 있습니다. 긴급 격리, 메모리 확보, 디스크 이미지, 로그 보존, 토큰 폐기, 복구 순서를 미리 정해야 합니다.

원본과 분석본을 분리하고 해시값과 보관 이력을 남깁니다. 외주업체와 클라우드 사업자에게도 보존 명령을 전달할 수 있어야 합니다.

10. 국민 통지를 실행 가능한 정보로 작성

“개인정보가 유출됐을 가능성이 있다”는 설명만으로는 이용자가 대응하기 어렵습니다. 유출 항목, 발생 기간, 예상되는 악용 방식, 비밀번호 변경 대상, 금융기관 신고 필요성, 명의도용 확인 방법을 구체적으로 안내해야 합니다.

조사가 진행 중이면 확인된 사실과 조사 중인 범위를 분리해 발표합니다. 새로운 사실이 확인될 때 통지 내용을 갱신해야 합니다.

2026년 정부의 제도 개선 방향

중요 공공시스템 ISMS-P 의무화 추진

개인정보보호위원회와 과학기술정보통신부는 2026년 4월 주요 공공시스템 운영기관을 포함한 중요 개인정보처리자에게 ISMS-P 인증을 의무화하는 방향을 발표했습니다.

인증 범위에는 외부 인터넷과 연결돼 공격 경로로 사용될 수 있는 디지털 자산을 포함하도록 했습니다. 서면 확인 중심의 심사에 취약점 진단, 모의침투, 실시간 시연 같은 현장 검증을 확대하는 내용도 담겼습니다.

인증은 특정 시점의 점검 결과입니다. 실제 보안 수준을 유지하려면 인증 이후에도 자산 변화, 신규 연계, 외주업체 변경, 취약점 공개, 사고 경보를 계속 관리해야 합니다.

공공기관 평가 패널티 확대

개인정보위는 2026년 공공기관 개인정보 보호수준 평가에서 유출 사고 감점 최대치를 10점에서 20점으로 확대했습니다. 사고 뒤 대응이 미흡한 기관에는 최대 5점의 추가 감점을 적용합니다.

모의해킹을 포함한 취약점 점검 실적, 내부자 보안, 기관장의 보호 노력도 평가에 반영됩니다. 평가 대상은 중앙행정기관, 지방자치단체, 공공기관, 지방공사·공단, 교육청과 학교 등을 포함한 1,464개 기관입니다.

점수 중심의 대응을 막으려면 실제 시스템을 표본으로 선정해 기술 검증을 수행하고, 반복 사고와 장기 미조치 취약점을 기관장 평가와 예산에 연결할 필요가 있습니다.

고위험 시스템 집중관리

개인정보위는 개인정보 보유량, 취급자 수, 민감정보와 주민등록정보 처리 여부를 기준으로 집중관리시스템 1,515개를 선정한 바 있습니다.

이 시스템을 운영하는 기관에는 시스템별 책임자 지정, 운영기관·수탁기관 협의체, 접근권한 관리, 접속기록 점검, 담당 인력과 시스템 확충 등의 강화된 과제가 제시됐습니다.

고위험 시스템은 사고 확률과 피해 규모를 함께 고려해 관리해야 합니다. 같은 취약점이 존재해도 주민등록번호와 건강정보를 대량 처리하는 시스템의 조치 우선순위가 높습니다.

기관장이 확인해야 할 질문

공공기관 보안은 정보화 부서의 기술 업무에 한정되지 않습니다. 기관장은 다음 질문에 답을 받을 수 있어야 합니다.

• 우리 기관이 운영하거나 위탁한 인터넷 공개 시스템은 몇 개인가
• 개인정보를 가장 많이 처리하는 시스템은 무엇인가
• 1년 이상 해결되지 않은 중요 취약점이 있는가
• 관리자와 외주업체가 다중인증을 사용하는가
• 퇴직자와 계약 종료자의 계정이 남아 있는가
• 가장 오래된 운영체제와 프로그램은 무엇인가
• 대량 조회와 다운로드 경보가 실제로 점검되는가
• 침해사고를 몇 시간 안에 의사결정권자에게 보고하는가
• 원본 로그와 포렌식 자료를 보존할 수 있는가
• 유출 항목과 피해자를 정확히 식별할 수 있는가
• 복구훈련에서 실제 서비스가 정상화됐는가
• 수탁업체의 하도급과 원격접속 현황을 알고 있는가
• 사고 통지 문안을 사전에 준비했는가
• 보안 예외의 승인자와 만료일이 기록되는가

국민이 공공기관 유출 통지를 받았을 때 할 일

유출된 정보의 종류에 따라 대응 방법이 달라집니다.

계정정보가 포함된 경우

해당 서비스의 비밀번호를 변경하고 같은 비밀번호를 쓰는 다른 서비스도 변경합니다. 로그인 기록과 연결된 기기를 확인합니다. 이메일 계정이 포함됐다면 이메일 비밀번호와 2단계 인증을 우선 점검합니다.

주민등록번호가 포함된 경우

명의도용 가능성을 확인하고 개인정보 포털의 관련 지원 서비스, 금융기관의 본인정보 조회, 통신 명의 확인 서비스를 이용할 수 있습니다. 실제 피해나 명의도용 정황이 있으면 경찰과 관계기관에 신고합니다.

계좌번호와 금융정보가 포함된 경우

기관을 사칭한 환급, 수수료, 계좌 변경 연락에 주의합니다. 비밀번호, 보안카드 번호, 인증번호를 요구하는 연락에는 응하지 않습니다. 의심 거래가 발견되면 금융회사에 즉시 알립니다.

법원·복지·건강정보가 포함된 경우

유출 사실을 증명할 수 있는 통지문과 화면을 보관합니다. 협박, 사칭, 표적 피싱이 발생하면 메시지와 통화 기록을 보존합니다. 개인정보 분쟁조정과 손해배상 절차에 필요한 자료가 될 수 있습니다.

통지 내용이 불명확한 경우

기관에 유출 항목, 발생 기간, 열람·다운로드 여부, 암호화 여부, 피해자 선정 기준을 문의합니다. 추가 조사 결과를 어디에서 발표하는지도 확인합니다.

공공기관 보안에 필요한 기준

공공서비스는 국민이 선택적으로 가입한 서비스와 성격이 다릅니다. 세금, 복지, 교육, 병역, 재판, 자격, 주민등록 업무를 이용하려면 국가와 공공기관에 개인정보를 제공해야 합니다. 기관에는 높은 수준의 보호 책임이 부여됩니다.

최근 사건에서 확인되는 기준은 명확합니다.

첫째, 인터넷에 연결된 모든 시스템을 찾아야 합니다. 대표 홈페이지만 점검하는 방식은 하위 서비스와 외주 관리서버의 위험을 놓칩니다.

둘째, 정상 인증정보의 도용을 전제로 해야 합니다. 인증서와 비밀번호가 유효해도 기기와 행동이 비정상적이면 접속을 제한해야 합니다.

셋째, 오래된 취약점을 방치하지 않아야 합니다. 한국연구재단 사건에서는 2013년부터 존재한 취약점이 2025년 사고로 이어졌습니다.

넷째, 사고 자료를 오래 보존해야 합니다. 법원 전산망 사건에서는 전체 유출 추정량 가운데 약 0.5%만 내용을 확인할 수 있었습니다.

다섯째, 외주업체를 기관 보안 범위에 포함해야 합니다. 유지관리 업체의 이메일과 계정이 지자체 전산망 진입 경로가 될 수 있습니다.

여섯째, 시스템 오류도 개인정보 사고로 관리해야 합니다. 정부24 오발급은 신청자와 문서 대상의 연결 검증이 공공서비스 보안의 핵심임을 보여줍니다.

일곱째, 사고 공개와 피해자 통지를 신속하고 구체적으로 수행해야 합니다. 국민은 유출 사실과 보호조치를 알아야 추가 피해를 줄일 수 있습니다.

정리

국내 공공기관과 정부서비스의 최근 보안사고는 서로 다른 경로에서 발생했습니다.

온나라시스템 사건에서는 탈취된 공무원 인증서와 비밀번호가 원격접속 경로에 사용됐습니다. 법원 전산망 사건에서는 공격자가 2년 넘게 침투해 1,014GB를 외부로 전송했고, 전체 자료의 대부분은 내용을 확인하지 못했습니다. 한국연구재단 사건에서는 2013년부터 존재한 웹 취약점이 약 12만 명의 개인정보 유출과 명의도용 피해로 이어졌습니다. 정부24에서는 시스템 오류로 약 1,400건의 민원서류가 다른 사람에게 발급됐습니다. 외주 유지관리 업체 계정을 통한 지자체 침투 시도도 공개됐습니다.

공통 원인은 자산과 권한의 범위가 넓고, 오래된 시스템과 외주 경로가 남아 있으며, 로그와 탐지가 실제 공격 속도를 따라가지 못한다는 데 있습니다.

개선의 중심에는 전체 자산 식별, 다중인증, 최소권한, 하위 서비스까지 포함한 취약점 점검, 통합 로그, 행위 기반 탐지, 공급망 관리, 증거 보존, 복구훈련, 정확한 피해 통지가 있습니다.

정부는 2026년 중요 공공시스템의 ISMS-P 의무화, 기술심사 확대, 공공기관 평가 패널티 강화 등을 추진하고 있습니다. 제도의 효과는 현장 시스템에서 취약점이 실제로 수정되고, 관리자 권한이 줄고, 이상행위가 탐지되고, 사고 내용이 국민에게 정확히 공개되는지에 따라 평가할 수 있습니다.

참고자료

국가정보원 - 온나라시스템 등에 대한 정교한 위장침투 대응

국가정보원 - 온나라시스템 침해 관련 보도자료 원문

연합뉴스 - 법원 전산망 1,014GB 자료 유출 합동조사 결과

개인정보보호위원회 - 한국연구재단 개인정보 유출 제재

행정안전부 - 정부24 민원증명서 발급 오류 설명자료

국가정보원 - 소프트웨어 공급망 관련 북한 해킹 확산 경고

개인정보보호위원회 - 2025년 개인정보 유출 신고 동향

개인정보보호위원회 - 2024년 개인정보 유출 신고 동향

개인정보보호위원회·과학기술정보통신부 - ISMS·ISMS-P 인증제 실효성 강화방안

개인정보보호위원회 - 2026년 공공기관 개인정보 보호수준 평가계획

개인정보보호위원회 - 공공부문 집중관리시스템 개인정보 안전조치 강화

행정안전부 - 국가정보자원관리원 사고 이후 정보시스템 복구 현황