"현실과 동떨어진 국정원 보안실태 평가…실무중심 재설계를"

[이데일리 이영민 기자] “국가정보원의 보안 실태 평가는 단기 평가 방식이라 일부 시스템을 확인하는 수준에 그친다. 실효성을 기대하기 위해서는 평가가 지적에 머무르지 않고 역량 강화로 이어져야 한다.”

공공기관의 정보보안 평가기준이 마련했지만 현장과 괴리가 있다는 지적이 나온다. 현직 보안 담당자들은 국정원 평가의 필요성에 공감하지만 기준이 현실과 동떨어져 있다고 하소연했다. 전문가들은 최소한의 보안 수칙이 지켜질 수 있도록 인력과 예산을 현실화해야 한다고 입을 모았다.

18일 국정원·공공기관 등에 따르면 152개 국가공공기관을 대상으로 한 국가정보원의 ‘2025 국가·공공기관 사이버보안 실태평가’에서 6곳이 미흡 등급을 받았다. 방송미디어통신위원회를 비롯해 △소방청 △우주항공청 △재외동포청 △서울시 △충남도 등이다. 이 중 소방청과 재외동포청, 서울시와 충남도는 2024년에 이어 2년 연속 낙제점을 받았다.

국정원은 “소방청과 재외동포청은 전체적으로 사이버보안에 대한 관심이 부족하고 개선 노력도 낮았다”고 평가했다. 서울시에 대해서는 시스템 규모 대비 부족한 인력을, 충남도는 취약점 관리 부실을 각각 지적했다.

이 결과는 정부업무평가에 반영되도록 행정안전부와 재정경제부에 전달돼 공공기관 경영평가에서 배점 0.6점을 반영한다. 각 기관은 0.1점 차이로도 평가 순위와 교부세 등 각종 지원에서 영향을 받을 수 있다.

(그래픽= 이미나 기자)

부처 및 기관의 보안 담당자들은 국정원 평가의 실효성에 의구심을 제기한다. 지난해 미흡 등급을 받은 중앙부처에서 5년 이상 정보보안을 맡은 A씨는 “평가 지표는 100여개이고 관리할 시스템은 30개 이상인데 전담인력은 1명뿐”이라며 “매뉴얼이 지나치게 많고 현장 상황을 반영하지 못하고 있다. 대부분 서류평가인데 사전만한 서류를 준비하느라 보안 업무를 못 보는 일이 잦다”고 비판했다.

또 다른 중앙부처 관계자는 “컨설팅 문의나 보안 홍보, 기관장 보고 후 결제 문서를 남기는 것 하나하나 자료이고 점수화한다. 고등학생 수행평가와 같다”고 지적했다. 수도권 지방자치단체의 한 공무원은 “국정원 매뉴얼은 공공보안의 기준선으로써 반드시 필요하다”면서도 “현장 상황과의 간극을 좁힐 보완책도 시급하다. 획일화된 기준에서 벗어나 기관의 규모와 시스템 특성을 반영한 차등화된 가이드라인이 필요하다”고 지적했다.

이에 대해 국정원은 “국가정보보안지침에 따라 각급 기관이 정보보안 전문 지식을 보유한 전담인력을 정보화 인력 대비 10% 이상 확보하도록 권고하고 있다”며 “각 기관이 정보보안 전담조직과 인력을 원활히 확보할 수 있도록 정부와 지속 협의 중이다”고 밝혔다.

전문가들은 보안 담당자가 업무에 집중할 수 있는 환경 조성이 우선이라고 강조했다.

박춘식 전 국가보안기술연구소 소장은 “결국에는 인력 부족이 문제”라며 “보안 실무 담당자들이 효율적으로 일할 수 있도록 국정원 평가와 같은 일은 자동화할 수 있는 기반을 갖춰야 한다”고 했다.

황석진 동국대 국제정보보호대학원 교수는 “과도한 매뉴얼과 서류 작업이 보안 집중을 저해한다는 지적은 타당하다”며 “평가지표를 실무 중심으로 재설계하고 컨설팅을 강화해야 한다”고 제언했다. 이어 “(국정원 평가 미흡 등급에) 민감 정보 취급 기관까지 포함돼 심각하다”며 “공공기관은 전담 인력 충원과 예산 확대를 최우선으로 삼고 정기 감사와 성과 기반 보상을 도입해 책임성을 높여야 한다”고 말했다.