다음 내용이 궁금하다면?
불편하시다면 뒤로 가기를 눌러주세요
출연연 보안지침 19건 전달했지만 18건 이행점검 안 해
김남국 "치명적 취약점 사후점검 없이 끝내…감독 책임 소홀"
[과학기술정보통신부 제공]
(서울=연합뉴스) 조승한 기자 = 과학기술정보통신부가 최근 4년간 산하 정부출연연구기관에 19건의 보안 관련 권고와 지침을 전달하고도 이행 여부 점검은 단 1건에 그친 것으로 확인됐다.
실제 랜섬웨어 공격에 악용된 치명적인 보안 취약점에 대한 조치 권고까지 사후점검 대상에서 빠져 국가 핵심 연구 기술을 보호해야 할 정부의 보안관리·감독 체계가 부실하다는 지적이 나온다.
19일 국회 과학기술정보방송통신위원회 소속 더불어민주당 김남국 의원이 과학기술정보통신부로부터 제출받은 자료에 따르면, 2023년부터 4년간 과기정통부가 출연연에 전달한 보안 관련 권고와 지침은 총 19건으로 나타났다.
연도별로는 2023년 '챗GPT 등 생성형 AI 활용 보안 가이드라인' 등 4건, 2024년에도 '각급기관 홈페이지 인증수단 보안강화 권고' 등 2건, 2025년 'React2Shell 취약점 보안조치 권고' 등 총 9건을 출연연에 전달했다.
하지만 권고사항 준수 여부는 단 하나도 확인하지 않았다.
올해도 '기반시설 관리기관 보안관리 강화 권고' 등 4건을 전달했으나, 3건은 이행점검을 실시하지 않았으며 '연구목적 기관 사이버보안 강화 요청' 1건만 점검 중인 것으로 나타났다.
특히 2025년 전달된 React2Shell 관련 권고는 공격자가 별도의 인증 없이 취약한 서버에서 임의의 코드를 실행할 수 있는 보안 취약점으로, 국제 공통 취약점 평가체계(CVSS)에서 최고 위험등급인 10.0점을 받아 한국인터넷진흥원(KISA)이 긴급 보안강화를 권고했으나 과기정통부는 이행 여부를 확인하지 않았다고 김 의원은 설명했다.
앞서 과기정통부는 2024년 자체 성과관리 시행계획에서 산하기관의 정보시스템·홈페이지에 대한 취약점 점검과 이행 조치를 내실화하고, 정보보호 감사와 평가 결과의 환류를 통해 기관 책임성을 강화하겠다 밝혔다.
하지만 개별 보안지침의 사후관리에는 충분히 반영되지 않았다는 지적을 피하기 어렵다고 김 의원은 지적했다.
앞서 김 의원이 공개한 자료에서는 출연연을 대상으로 한 해킹 시도가 2024년 123건에서 2025년 213건으로 73.2% 증가한 것으로 나타나기도 했다.
김남국 의원은 "정부가 보안지침을 수십 차례 전달하더라도 실제 현장에서 이행되는지 확인하지 않는다면 아무런 의미가 없다"며 "특히 치명적인 해킹 취약점에 대한 조치 권고까지 사후점검 없이 끝냈다는 것은 국가 핵심 연구기술을 보호해야 할 정부의 관리·감독 책임을 소홀히 한 것"이라고 지적했다.
그는 "과기정통부는 출연연의 보안지침 이행 실태를 전면 점검하고, 앞으로는 권고사항 전달부터 이행 확인, 미조치 사항에 대한 개선까지 이어지는 체계적인 관리·감독 시스템을 마련해야 한다"고 강조했다.
shjo@yna.co.kr
Copyright 연합뉴스 All rights reserved. 무단 전재 및 재배포 금지.
인기상품 확인하고 계속 읽어보세요!
원치 않을 경우 뒤로가기를 눌러주세요.