공공기관 보안 책임 규범화 … 예산·인력 확보 여부가 성패 가를 듯

서울시가 오는 29일부터 사이버보안 조례를 시행해 공공기관의 정보보호 의무를 법제화하고 지자체 차원의 보안 대응 역량을 제고한다. 중앙정부 법률을 보완하고 지역 특성에 맞춘 제도 장치를 마련함으로써 시민 개인정보 보호와 행정 신뢰 회복을 동시에 꾀하겠다는 계획이다.

◆ 개인정보 유출 사고 잇따르며 제도 개선 요구 커져

한국인터넷진흥원(KISA)에 따르면 2024년 하반기 침해사고 신고 건수는 1,887건으로, 전년(1,277건) 대비 약 48% 증가했다. 특히 해킹과 정보유출 등이 핵심 유형으로 나타났으며, 보안 대응 여력이 부족한 중소기관 피해가 많았다.

또한 2024년 상반기부터 7월까지 접수된 개인정보 유출 신고는 약 778만8천 건에 달했다. 지난해 국가기관과 공공기관에서만 총 391만 건의 개인정보가 유출된 것으로 집계돼 전년 대비 6배나 늘어난 수치다. 주민등록번호와 연락처 등 민감 정보도 포함돼 피해 우려가 컸다.

이처럼 대형 유출 사고와 빈발하는 침해 사건이 이어지면서 단순 법률 중심 대응만으로는 한계가 있다는 지적이 꾸준히 제기돼 왔다. 서울시는 이러한 상황 속에서 지자체 차원의 제도적 보완 필요성에 직면했다.

◆ 서울시 조례, 보안관리관 지정과 기술 조치 의무화

조례는 서울시와 산하기관을 대상으로 사이버보안관리관과 분임관리관 지정, 보안 정책 수립, 정기 감사·점검 의무화를 규정했다. 침입 탐지, 복구 체계, 로그 관리 등 기술적 보호조치 강화와 전 직원 대상 교육 및 모의훈련도 포함됐다.

서울시는 보안관제센터를 통해 실시간 위협 탐지·대응 체계를 구축해 피해를 최소화한다는 방침이다. 지난해 신설된 정보보안과와 이번 조례 시행이 연계되면서 행정적·법적 기반이 동시에 마련됐다.

개인정보보호법 제25조가 규정한 기술적·관리적 조치 의무와도 맞닿아 있으며, 정부의 정보보호 관리체계(ISMS) 인증 기준과도 조율돼 제도의 정합성을 확보했다는 평가가 나온다.

◆ 국제 권고와 학계 연구, 지방정부 보안 과제 지적

지방정부 보안 강화 과제는 국내만의 문제가 아니다. 해외 학계 연구는 지방정부 보안 강화 시 가장 큰 장애물로 재정 제약, 기술 취약성, 인적 요인, 규제 불확실성을 꼽았다. 지방정부 보안 역량은 조직 역량, 거버넌스 구조, 기술 인프라, 위험 대응 체계의 균형에 달려 있다는 분석도 있다.

OECD는 디지털 보안 권고에서 제품·서비스의 보안 책임 강화, 취약점 공개 절차, 이해관계자 협력을 강조했다. 또한 사이버보안 성과를 정량적으로 평가할 지표 개발의 중요성도 지적했다.

서울시 조례는 이러한 국제적 논의와 국내 제도 설계를 일정 부분 반영한 셈이다. 다만 제도 설계에 그치지 않고 실행, 평가, 보완의 주기를 얼마나 효과적으로 운용하느냐가 성패를 좌우한다.

◆ 조례 실효성, 예산 지원과 민관 협력에 달려

조례 시행으로 공공기관 보안 수준은 일정 기준 이상 상향될 전망이다. 서울시는 “전 기관의 사이버보안 수준을 한층 끌어올리고 민관 협력을 통해 선제 대응 역량을 강화하겠다”고 밝혔다.

그러나 중소 산하기관이나 위탁기관은 예산 부족과 전문 인력 확보의 어려움이 가장 큰 걸림돌로 꼽힌다. 업계 관계자는 “뼈대는 마련됐지만 실행력을 좌우할 인력과 예산이 부족하다면 조례 취지가 무색해질 수 있다”고 말했다.
보안 위협은 빠르게 변화하기 때문에 조례의 정적 규정만으로는 대응이 어렵다는 지적도 있다. 제로데이 취약성, 클라우드 서비스 위협 등은 제도 시행 이후에도 지속적인 개정과 보완이 필요하다.

◆ 지속적 점검과 거버넌스 구축이 핵심 과제

서울시는 5개년 보안 기본계획을 조속히 수립해 중장기 목표를 제시할 예정이다. 중앙정부 차원의 재정 지원과 인력 양성 정책도 병행돼야 제도의 안정적 정착이 가능하다.

지자체 간 정보 공유와 공동 대응 체계 강화는 향후 보안 수준의 균형 발전에 기여할 수 있다. 민간 보안업체 및 학계와의 협력 거버넌스를 마련해 실무 역량을 보완하는 것도 필요하다.

결국 이번 조례는 단일 제도의 도입을 넘어 지방정부 보안 거버넌스 전반을 재편하는 출발점으로 평가된다. 제도가 지속적으로 개선되는 구조를 마련할 수 있을지가 서울시뿐 아니라 전국 지자체의 보안 역량을 가르는 시험대가 될 전망이다.

☑️ 요약:
서울시가 29일부터 사이버보안 조례를 시행해 공공기관 보안 책임을 제도화한다. 반복되는 유출 사고와 국제적 흐름을 감안하면 지자체 차원의 대응 강화는 필수적이다. 실효성을 확보하기 위해서는 중앙정부 협력, 민관 협력, 지속적 제도 보완이 뒷받침돼야 한다.