국정원이 사이버보안 실태평가 대상을 확대하고 배점을 크게 올리면서 공공기관은 인력·예산 확보와 평가 준비를 서둘러야 합니다. 기존 0.25점이던 배점이 0.6점으로 상승했으며, 정보화 인력 10%·예산 15% 이상을 의무화하는 새로운 규정이 적용됩니다. 이는 단순 점수 확보를 넘어 기관 전반의 보안 역량을 강화하도록 설계된 조치이며, 평가 대상이 기타 공공기관·시도교육청까지 확대되는 만큼 사전 대비가 필수적입니다. 이번 글에서는 평가 배점·기준 변화, 인력·예산 산정 요령, 등급 체계 개편, 기술적 대응 방안, 그리고 실무자가 현장에서 바로 적용할 수 있는 체크리스트와 FAQ를 제공하여, 공공기관이 체계적으로 준비할 수 있도록 돕습니다.
평가 배점 확대와 의무 비율 신설
국정원은 사이버보안 실태평가를 경영평가에 반영하는 배점을 기존 0.25점에서 0.6점으로 대폭 상향했습니다. 이는 개인정보보호수준 평가보다 높은 비중을 차지하게 되며, 기관의 보안 책임감을 제고하려는 목적입니다.
새로운 의무 규정에 따라 각 기관은 정보화 인력 대비 최소 10%와 정보화 예산 대비 최소 15%를 보안 분야에 배정해야 합니다. 이 비율은 기관 규모와 업무 특성에 따라 조정될 수 있지만, 최소 기준을 충족하지 못하면 평가 점수에서 감점이 발생합니다.
평가 대상 확대와 단계적 적용
2024년 현재 중앙행정기관·광역지자체·공기업 등 153곳이 평가 대상이지만, 2028년에는 기초자치단체·지방출자출연기관까지 포함해 220여 곳이 평가를 받게 됩니다. 특히 내년부터는 기타 공공기관과 시도교육청이 새롭게 평가군에 합류합니다.
대상 기관은 국정원에서 제공하는 지표 해설서를 사전에 검토하고 자체 평가를 실시해 부족한 보안 요소를 보완해야 합니다. 평가 전 단계에서 자체 점검을 통해 주요 약점을 파악하면, 공식 평가 시 감점을 최소화할 수 있습니다.
보안 등급 체계와 결과 공개 방식 변화
기존의 3단계(우수·보통·미흡) 등급이 5단계로 확대됩니다. 새로운 등급은 우수·양호·보통·취약·미흡으로 세분화돼 보다 정밀한 보안 수준 파악이 가능해집니다.
또한 각 기관의 보안 전담 조직 현황, 인력 구성, 예산 규모까지 상세히 공개하도록 요구됩니다. 이는 투명성을 높이고 기관 간 보안 책임을 명확히 하는 전략으로, 정보보호백서에 결과를 수록해 공식 자료로 활용하게 됩니다.
인력·예산 산정 시 핵심 유의사항
인력 비율을 맞추는 것만으로는 충분하지 않으며, 실제 운영 가능성을 입증해야 합니다. 인건비와 설비 투자비를 구분해 예산 항목을 명확히 하고, 내년도 예산 편성 시 보안 투자 항목을 별도 명시해야 평가 지표에서 불이익을 피할 수 있습니다.
예산 산정 시 고려해야 할 주요 항목은
- 보안 전담 인력 급여
- 보안 솔루션 및 클라우드 서비스 비용
- 외부 컨설팅·모의해킹 비용
이며, 각 항목을 구체적으로 명시하면 평가 시점에 서류 준비가 수월해집니다.
기술적 대응 방안과 실무 체크리스트
점수 관리와 동시에 실제 보안 수준을 높이는 기술적 조치가 필요합니다. 플러그인 소프트웨어 설치를 최소화하고, 클라우드 공동인증서·정부통합로그인(Any‑ID) 도입을 권장합니다. 연 1회 이상 모의해킹과 취약점 점검을 수행하고, 외부 전문가 컨설팅 비용을 예산에 반영해야 합니다.
아래는 평가 준비를 위한 핵심 체크리스트입니다.
- 인력 확보: 정보화 인력 대비 10% 이상 전담 인력 배치
- 예산 편성: 정보화 예산 대비 15% 이상 보안 예산 배정
- 기술 점검: 연 1회 이상 모의해킹 및 취약점 점검 실시
- 환경 개선: 플러그인 소프트웨어 삭제·통합인증 적용
FAQ
- 평가 배점이 상승하면 기존 점수는 어떻게 반영되나요? 기존 점수는 그대로 유지되지만, 새로운 배점 기준에 따라 향후 평가 점수가 재계산됩니다.
- 인력 10%·예산 15% 기준을 초과하면 추가 혜택이 있나요? 초과분에 대한 별도 혜택은 없지만, 감점 위험을 크게 낮출 수 있습니다.
- 기초자치단체까지 평가가 확대되는 시점은 언제인가요? 2028년부터 기초자치단체와 지방출자출연기관이 포함됩니다.
- 모의해킹은 내부 인력으로도 가능한가요? 내부 인력으로도 가능하지만, 객관성을 확보하기 위해 외부 전문기관을 활용하는 것이 권장됩니다.
- 보안 등급이 ‘취약’으로 나올 경우 어떤 조치를 취해야 하나요? 취약 등급은 즉각적인 보안 개선 계획 수립과 예산 재배정, 그리고 추가 모의해킹을 통해 개선 여부를 검증해야 합니다.
- 평가 결과를 정보보호백서에 수록하려면 별도의 절차가 필요한가요? 별도 절차 없이 평가 결과를 백서에 반영하도록 규정돼 있으나, 정확한 데이터 입력과 검증 과정을 거쳐야 합니다.
