과학기술정보통신부, 소속·산하기관 대상으로 6대 중점추진 분야 선정
①사각지대 없는 사이버 보안관제 시스템 구축 ②정보보안 인프라 구축 및 투자 확대 유도
③소속·산하기관 실태점검 강화 ④사이버 침해대응 훈련 혁신
⑤전문가 컨설팅 강화 및 정보보안 인식제고 ⑥소통·협력 추진체계 활성화
4~11월 현장·서면 점검...미흡 기관은 전문가 컨설팅 통해 정보보호 역량 제고
[보안뉴스 김경애 기자] 사이버위협이 거세짐에 따라 과학기술정보통신부(이하 과기정통부)가 소속·산하기관의 보안 강화를 위해 6대 중점추진 분야를 선정했다. 이와 함께 정보보호 실태 점검도 한층 강화될 전망이다. 이에 <보안뉴스>는 과기정통부 정보보호담당관 김태영 과장과의 인터뷰를 통해 소속·산하기관의 정보보호 강화를 위한 2024년 6대 중점추진 과제와 실태점검 계획 등에 대해 들어봤다.
Q. 정보보호담당관 조직 및 구성도, 업무 등에 대한 전반적인 소개 부탁드립니다
과기정통부 정보보호담당관실(기획조정실-정책기획관-정보보호담당관)은 정보보안, 개인정보보호 파트로 구성되어 있으며 과기정통부와 소속·산하기관(65개)의 정보보호 정책 수립 및 역량 제고, 3개 사이버안전센터 운영 등 정보보안·개인정보보호 업무를 총괄하고 있습니다.
Q. 이번 ‘2024년 정보보호 정책 설명회’에서 ‘2024년 소속·산하기관 정보보호 중점 추진계획’에 대해 소속·산하기관과 공유한 것으로 알고 있는데요. 어떤 내용이 공유됐고, 논의되었나요?
올 한해 과기정통부 및 소속·산하기관의 사이버침해위협 대응과 정보보호 역량 제고를 위해 6대 중점추진 분야를 선정했는데요. 6대 중점추진 분야는 ① 사각지대 없는 사이버 보안관제 시스템 구축 ② 정보보안 인프라 구축 및 투자 확대 유도 ③ 소속·산하기관 실태점검 강화 ④ 사이버 침해대응 훈련 혁신 ⑤ 전문가 컨설팅 강화 및 정보보안 인식제고 ⑥ 소통·협력 추진체계 활성화입니다. 이와 관련한 세부내용과 향후 일정 공유, 그리고 참석자를 대상으로 한 의견수렴 등을 진행했습니다.
Q. ‘2024년 정보보호 정책 설명회’에서 나온 주요 문의 사항은 무엇인가요?
정책 수행성과 평가개선 방안 등 평가관련 문의와 훈련 및 감사 세부 수행계획 문의가 있었고, 그 외 정보보안 인력 인센티브 부여방안 등에 대한 질의가 있었습니다.
Q. 소속·산하기관의 실태점검(감사, 성과평가)을 강화한다고 밝히셨는데, 구체적인 계획은?
실태점검은 4월부터 11월까지 현장 및 서면점검 형태로 실시할 예정입니다. 우수기관은 정책수행 성과평가 면제 등의 인센티브를 부여할 예정이며, 미흡 기관에 대해서는 전문가 컨설팅을 추진해 전체 기관의 정보보호 역량을 제고할 계획에 있습니다.
Q. 최근 드러나는 소속·산하기관의 주요 문제점과 개선사항은 무엇인가요?
과기정통부 및 소속·산하기관(65개)을 목표로 하는 사이버 침해 시도가 지속적으로 증가하고 있어 이에 대한 신속하고 효율적인 대응이 중요해지고 있습니다. 이를 위해 사각지대 없는 보안관제 시스템 구축, 소통·협력 체계 공고화 및 사이버 모의훈련 강화 등을 통해 각급기관의 사전대응 역량 강화를 추진할 계획입니다. 추가로 정보보안 인력과 조직의 확충을 위해 다양한 기관이 참여하는 협의체를 통한 인력 충원 및 조직 구성을 유도하고 있습니다.
Q. 신종 공격기법에 대응해 인공지능 기반 공격탐지 체계를 도입한다고 들었는데요. 구체적인 시기와 내용 등 자세한 계획이 궁금합니다
인공지능 기반 공격탐지 체계는 올해 예산을 반영해 2025년 도입을 목표로 진행하고 있습니다. 최근 해커들의 침해 시도가 나날이 증가하는 추세로, 진화된 악성코드 및 공격기법 등에 대응하기 위해서는 신속하게 새로운 탐지 규칙을 마련하고 이를 기반으로 한 관제가 필수입니다. 다만 해당 시스템의 정확한 도입 시기는 재정당국의 투자 우선순위에 따라 변경될 수 있을 것 같습니다.
Q. 지난해부터 도입한 휴일·심야시간대 사이버공격을 감지 및 차단하는 긴급 차단제와 해킹 메일 신고 시스템 강화는 어떤 형태로 시행되고 있나요?
긴급차단제 및 해킹 메일 신고 시스템은 선제적인 침해사고 사전예방을 목적으로 도입된 시스템인데요. 먼저 긴급 차단제(2023년 5월 시행)는 휴일 및 심야시간대에 발생하는 사이버공격에 대해 대응시간 단축과 피해확산 방지를 위해 사이버안전센터에서 탐지된 공격시도를 선 차단하고 이후 기관에서 추가 대응을 하는 제도입니다.
해킹 메일 신고 시스템(2023년 4월 시행)은 각급 기관과 사이버안전센터 간 신고기능 연계를 통해 임직원이 해킹 의심메일 수신·신고 시 해당 내용이 사이버안전센터로 즉각 전달되어 실제 해킹 메일 여부를 검증해 주는 시스템입니다. 위 제도들의 현장 안착을 위해 긴급 차단제 및 해킹메일 신고 체계에 대해 각 기관과 협의회 등을 통해 다방면으로 소통할 계획입니다.
Q. 한정된 예산으로 정보보안 전담인력, 조직, 예산 등 정보보안 기반 확대를 유도하는 게 현실적으로 쉽지 않은데요. 최우선으로 추진하는 과제가 있다면?
기관에서 우선적으로 정보보안 분야에 인력을 투입하고, 전담조직을 설치할 수 있도록 실태점검 및 협의체 등을 통해 기관 정보보호 인프라 투자를 유도할 계획입니다. 또한 정보보안 업무에 대한 인식 제고를 위해 정보보안 전문인력 대상 인센티브 부여 제도 마련도 검토 중에 있습니다.
Q. 사이버 침해대응 훈련에 전문가를 투입한다고 하셨는데, 어떤 이들이며 어떤 훈련 등이 진행되나요?
먼저 사이버공격 관제·분석·대응에 이르기까지 전 주기적 정보보호 활동을 수행하는 한국과학기술정보연구원(과학기술보안연구센터)을 전문기관으로 하고, 정보보호산업진흥법에 따른 정보보호 전문 서비스 기업과의 계약을 통해 화이트해커 등 전문가를 투입한 훈련을 진행할 예정입니다.
추가로 2024년 모의침투 훈련은 한국과학기술원(KAIST) 등 대학의 우수인력 참여를 통해 정보보안 인재양성 지원 및 훈련효과 제고를 추진합니다. 공모를 거쳐 전문교육과정 이수(정보보안대학원 등), 해킹대회 수상 등을 기준으로 우수한 인력을 선발하여 전문기관(KISTI), 보안전문기관, 우수인력으로 구성된 훈련 추진체계를 구축해 훈련을 실시할 계획에 있습니다.
Q. 기관별 특성을 살린 자체 훈련 확대는 어떤 형태로 진행되는지 궁금합니다
과기정통부는 침해공격 대응을 위한 각급기관 자체 역량 제고를 위해 지속적으로 노력하고 있습니다. 출연연, 한국과학기술원, 준정부기관 등 기관 특성을 고려한 자체 훈련 유도를 위해 기관별 훈련 우수사례를 공유하고 자체훈련 실시 가이드라인을 제공할 계획입니다.
Q. 소통·협력 활성화를 위해 다양한 정책 수요자가 참석하는 협의회를 운영한다고 하셨는데, 협의회 구성과 주요 업무 등 자세한 소개 부탁드립니다.
우선 소속·산하기관의 정보보호최고책임자(CISO)가 한 자리에 모여 최신 사이버안보 동향 및 정보보호의 중요성을 공유하고, 책임자 역할 강조를 위한 정보보안최고책임자협의회를 구성·운영하고 있습니다(2022년 이후 운영 중). 추가로 정보보안 실무자급(정보보호담당관) 및 사이버안전센터를 대상으로 하는 협의회를 운영함으로써 정책 소통을 실무자까지 확대하고 침해사고 공동대응 방안을 협의하는 등 협의회별로 구성 목적에 따른 정보공유, 정책소통, 전문교육 등 다양한 활동을 수행할 예정에 있습니다.
Q. 개인정보 유출사고에 대응해 △개인정보 관련 법적 이행상황 점검 강화 △개인정보보호 기술적 안전조치 강화 △개인정보보호 전담인력 확보 △자체 연구반 및 교육·컨설팅을 통해 개인정보보호 전문성 등을 확대한다고 밝히셨는데, 자세한 설명 부탁드립니다.
개인정보보호법에 따라 과기정통부 소속·산하기관은 개인정보 처리방침과 내부관리계획(자체 점검 및 조치 계획)을 수립해야 하며, 해당 내용에 대해 감사·정책수행 평가를 통해 이행상황을 점검할 예정입니다.
개인정보보호 기술적 안전조치 강화를 위해 접속기록 관리시스템, 홈페이지 유·노출 자동점검 솔루션 도입을 유도하고 단체 이메일 발송으로 인한 개인정보 유출방지를 위한 기능 개선(메일 발송 시 기본값을 개별 발송으로 설정)이 적용될 수 있도록 노력할 계획입니다.
개인정보 전담인력 확보를 위해 기관 내 가용인력들이 개인정보보호 분야에 투입되고 해당업무를 전담할 수 있도록 감사, 평가 등을 통해 점검을 강화하고 개인정보보호 전문성 확보를 위한 전문가 컨설팅 제도, ‘찾아가는 정보보호 강연회’ 개최 등을 수행할 예정입니다.
Q. 최근 중국 해커가 국내 기관 및 기업을 공격한 사례가 있습니다. 주로 취약점 악용, 디도스 공격이었는데, 기관의 주요 피해사례는 무엇이며 이에 따른 보안 강화 계획은 무엇인가요?
과기정통부 및 소속·산하기관을 대상으로 한 직접적인 취약점 악용 및 디도스 공격 사례는 발견되지 않았습니다. 다만 지속되는 사이버 위협에 대비하기 위해 각 기관의 디도스 대응장비 현황과 보안정책을 점검(2023년 11월)했으며, 추가로 주요 정보 시스템에 대한 취약점 점검 및 모의침투 대응훈련, 디도스 공격 대응훈련 등을 통한 사전 대응역량 강화를 추진할 계획입니다.
Q. 정보보호담당관으로서 과장님의 향후 계획이 궁금합니다.
과기정통부와 소속·산하기관이 외부 사이버공격으로부터 피해를 받지 않도록 소속·산하기관은 물론 타 부처와도 지속적으로 협력하고 소통할 계획입니다.
[김경애 기자(boan3@boannews.com)]
①사각지대 없는 사이버 보안관제 시스템 구축 ②정보보안 인프라 구축 및 투자 확대 유도
③소속·산하기관 실태점검 강화 ④사이버 침해대응 훈련 혁신
⑤전문가 컨설팅 강화 및 정보보안 인식제고 ⑥소통·협력 추진체계 활성화
4~11월 현장·서면 점검...미흡 기관은 전문가 컨설팅 통해 정보보호 역량 제고
[보안뉴스 김경애 기자] 사이버위협이 거세짐에 따라 과학기술정보통신부(이하 과기정통부)가 소속·산하기관의 보안 강화를 위해 6대 중점추진 분야를 선정했다. 이와 함께 정보보호 실태 점검도 한층 강화될 전망이다. 이에 <보안뉴스>는 과기정통부 정보보호담당관 김태영 과장과의 인터뷰를 통해 소속·산하기관의 정보보호 강화를 위한 2024년 6대 중점추진 과제와 실태점검 계획 등에 대해 들어봤다.
▲과학기술정보통신부 김태영 정보보호담당관[사진=보안뉴스]
Q. 정보보호담당관 조직 및 구성도, 업무 등에 대한 전반적인 소개 부탁드립니다
과기정통부 정보보호담당관실(기획조정실-정책기획관-정보보호담당관)은 정보보안, 개인정보보호 파트로 구성되어 있으며 과기정통부와 소속·산하기관(65개)의 정보보호 정책 수립 및 역량 제고, 3개 사이버안전센터 운영 등 정보보안·개인정보보호 업무를 총괄하고 있습니다.
Q. 이번 ‘2024년 정보보호 정책 설명회’에서 ‘2024년 소속·산하기관 정보보호 중점 추진계획’에 대해 소속·산하기관과 공유한 것으로 알고 있는데요. 어떤 내용이 공유됐고, 논의되었나요?
올 한해 과기정통부 및 소속·산하기관의 사이버침해위협 대응과 정보보호 역량 제고를 위해 6대 중점추진 분야를 선정했는데요. 6대 중점추진 분야는 ① 사각지대 없는 사이버 보안관제 시스템 구축 ② 정보보안 인프라 구축 및 투자 확대 유도 ③ 소속·산하기관 실태점검 강화 ④ 사이버 침해대응 훈련 혁신 ⑤ 전문가 컨설팅 강화 및 정보보안 인식제고 ⑥ 소통·협력 추진체계 활성화입니다. 이와 관련한 세부내용과 향후 일정 공유, 그리고 참석자를 대상으로 한 의견수렴 등을 진행했습니다.
Q. ‘2024년 정보보호 정책 설명회’에서 나온 주요 문의 사항은 무엇인가요?
정책 수행성과 평가개선 방안 등 평가관련 문의와 훈련 및 감사 세부 수행계획 문의가 있었고, 그 외 정보보안 인력 인센티브 부여방안 등에 대한 질의가 있었습니다.
Q. 소속·산하기관의 실태점검(감사, 성과평가)을 강화한다고 밝히셨는데, 구체적인 계획은?
실태점검은 4월부터 11월까지 현장 및 서면점검 형태로 실시할 예정입니다. 우수기관은 정책수행 성과평가 면제 등의 인센티브를 부여할 예정이며, 미흡 기관에 대해서는 전문가 컨설팅을 추진해 전체 기관의 정보보호 역량을 제고할 계획에 있습니다.
Q. 최근 드러나는 소속·산하기관의 주요 문제점과 개선사항은 무엇인가요?
과기정통부 및 소속·산하기관(65개)을 목표로 하는 사이버 침해 시도가 지속적으로 증가하고 있어 이에 대한 신속하고 효율적인 대응이 중요해지고 있습니다. 이를 위해 사각지대 없는 보안관제 시스템 구축, 소통·협력 체계 공고화 및 사이버 모의훈련 강화 등을 통해 각급기관의 사전대응 역량 강화를 추진할 계획입니다. 추가로 정보보안 인력과 조직의 확충을 위해 다양한 기관이 참여하는 협의체를 통한 인력 충원 및 조직 구성을 유도하고 있습니다.
Q. 신종 공격기법에 대응해 인공지능 기반 공격탐지 체계를 도입한다고 들었는데요. 구체적인 시기와 내용 등 자세한 계획이 궁금합니다
인공지능 기반 공격탐지 체계는 올해 예산을 반영해 2025년 도입을 목표로 진행하고 있습니다. 최근 해커들의 침해 시도가 나날이 증가하는 추세로, 진화된 악성코드 및 공격기법 등에 대응하기 위해서는 신속하게 새로운 탐지 규칙을 마련하고 이를 기반으로 한 관제가 필수입니다. 다만 해당 시스템의 정확한 도입 시기는 재정당국의 투자 우선순위에 따라 변경될 수 있을 것 같습니다.
Q. 지난해부터 도입한 휴일·심야시간대 사이버공격을 감지 및 차단하는 긴급 차단제와 해킹 메일 신고 시스템 강화는 어떤 형태로 시행되고 있나요?
긴급차단제 및 해킹 메일 신고 시스템은 선제적인 침해사고 사전예방을 목적으로 도입된 시스템인데요. 먼저 긴급 차단제(2023년 5월 시행)는 휴일 및 심야시간대에 발생하는 사이버공격에 대해 대응시간 단축과 피해확산 방지를 위해 사이버안전센터에서 탐지된 공격시도를 선 차단하고 이후 기관에서 추가 대응을 하는 제도입니다.
해킹 메일 신고 시스템(2023년 4월 시행)은 각급 기관과 사이버안전센터 간 신고기능 연계를 통해 임직원이 해킹 의심메일 수신·신고 시 해당 내용이 사이버안전센터로 즉각 전달되어 실제 해킹 메일 여부를 검증해 주는 시스템입니다. 위 제도들의 현장 안착을 위해 긴급 차단제 및 해킹메일 신고 체계에 대해 각 기관과 협의회 등을 통해 다방면으로 소통할 계획입니다.
Q. 한정된 예산으로 정보보안 전담인력, 조직, 예산 등 정보보안 기반 확대를 유도하는 게 현실적으로 쉽지 않은데요. 최우선으로 추진하는 과제가 있다면?
기관에서 우선적으로 정보보안 분야에 인력을 투입하고, 전담조직을 설치할 수 있도록 실태점검 및 협의체 등을 통해 기관 정보보호 인프라 투자를 유도할 계획입니다. 또한 정보보안 업무에 대한 인식 제고를 위해 정보보안 전문인력 대상 인센티브 부여 제도 마련도 검토 중에 있습니다.
Q. 사이버 침해대응 훈련에 전문가를 투입한다고 하셨는데, 어떤 이들이며 어떤 훈련 등이 진행되나요?
먼저 사이버공격 관제·분석·대응에 이르기까지 전 주기적 정보보호 활동을 수행하는 한국과학기술정보연구원(과학기술보안연구센터)을 전문기관으로 하고, 정보보호산업진흥법에 따른 정보보호 전문 서비스 기업과의 계약을 통해 화이트해커 등 전문가를 투입한 훈련을 진행할 예정입니다.
추가로 2024년 모의침투 훈련은 한국과학기술원(KAIST) 등 대학의 우수인력 참여를 통해 정보보안 인재양성 지원 및 훈련효과 제고를 추진합니다. 공모를 거쳐 전문교육과정 이수(정보보안대학원 등), 해킹대회 수상 등을 기준으로 우수한 인력을 선발하여 전문기관(KISTI), 보안전문기관, 우수인력으로 구성된 훈련 추진체계를 구축해 훈련을 실시할 계획에 있습니다.
Q. 기관별 특성을 살린 자체 훈련 확대는 어떤 형태로 진행되는지 궁금합니다
과기정통부는 침해공격 대응을 위한 각급기관 자체 역량 제고를 위해 지속적으로 노력하고 있습니다. 출연연, 한국과학기술원, 준정부기관 등 기관 특성을 고려한 자체 훈련 유도를 위해 기관별 훈련 우수사례를 공유하고 자체훈련 실시 가이드라인을 제공할 계획입니다.
Q. 소통·협력 활성화를 위해 다양한 정책 수요자가 참석하는 협의회를 운영한다고 하셨는데, 협의회 구성과 주요 업무 등 자세한 소개 부탁드립니다.
우선 소속·산하기관의 정보보호최고책임자(CISO)가 한 자리에 모여 최신 사이버안보 동향 및 정보보호의 중요성을 공유하고, 책임자 역할 강조를 위한 정보보안최고책임자협의회를 구성·운영하고 있습니다(2022년 이후 운영 중). 추가로 정보보안 실무자급(정보보호담당관) 및 사이버안전센터를 대상으로 하는 협의회를 운영함으로써 정책 소통을 실무자까지 확대하고 침해사고 공동대응 방안을 협의하는 등 협의회별로 구성 목적에 따른 정보공유, 정책소통, 전문교육 등 다양한 활동을 수행할 예정에 있습니다.
Q. 개인정보 유출사고에 대응해 △개인정보 관련 법적 이행상황 점검 강화 △개인정보보호 기술적 안전조치 강화 △개인정보보호 전담인력 확보 △자체 연구반 및 교육·컨설팅을 통해 개인정보보호 전문성 등을 확대한다고 밝히셨는데, 자세한 설명 부탁드립니다.
개인정보보호법에 따라 과기정통부 소속·산하기관은 개인정보 처리방침과 내부관리계획(자체 점검 및 조치 계획)을 수립해야 하며, 해당 내용에 대해 감사·정책수행 평가를 통해 이행상황을 점검할 예정입니다.
개인정보보호 기술적 안전조치 강화를 위해 접속기록 관리시스템, 홈페이지 유·노출 자동점검 솔루션 도입을 유도하고 단체 이메일 발송으로 인한 개인정보 유출방지를 위한 기능 개선(메일 발송 시 기본값을 개별 발송으로 설정)이 적용될 수 있도록 노력할 계획입니다.
개인정보 전담인력 확보를 위해 기관 내 가용인력들이 개인정보보호 분야에 투입되고 해당업무를 전담할 수 있도록 감사, 평가 등을 통해 점검을 강화하고 개인정보보호 전문성 확보를 위한 전문가 컨설팅 제도, ‘찾아가는 정보보호 강연회’ 개최 등을 수행할 예정입니다.
Q. 최근 중국 해커가 국내 기관 및 기업을 공격한 사례가 있습니다. 주로 취약점 악용, 디도스 공격이었는데, 기관의 주요 피해사례는 무엇이며 이에 따른 보안 강화 계획은 무엇인가요?
과기정통부 및 소속·산하기관을 대상으로 한 직접적인 취약점 악용 및 디도스 공격 사례는 발견되지 않았습니다. 다만 지속되는 사이버 위협에 대비하기 위해 각 기관의 디도스 대응장비 현황과 보안정책을 점검(2023년 11월)했으며, 추가로 주요 정보 시스템에 대한 취약점 점검 및 모의침투 대응훈련, 디도스 공격 대응훈련 등을 통한 사전 대응역량 강화를 추진할 계획입니다.
Q. 정보보호담당관으로서 과장님의 향후 계획이 궁금합니다.
과기정통부와 소속·산하기관이 외부 사이버공격으로부터 피해를 받지 않도록 소속·산하기관은 물론 타 부처와도 지속적으로 협력하고 소통할 계획입니다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-12-25] 
