- 산하기관엔 인증 점검 지시… 본부는 ‘다중인증 설정 미흡’ 지적
- 보안 책임자 1년 새 세 차례 교체… AI·자동화 공격 별도 통계도 없어
- 올해 3월 AI 보안관제 도입… AI·자동화 공격은 별도 구분 없이 기존 공격 유형에 포함
- 행사 용역업체 홈페이지 해킹으로 개인정보 유출… 외주업체 책임 부과는 “해당 없음”
- 연 1회 점검·사후 대응으로는 한계… 사전 취약점 공개(VDP)로 상시 예방 체제 전환해야
임문영 의원 “AI 보안도 기본부터…본부 인증 보완·책임자 업무 연속성·공격 통계 연계 갖춰야”

　AI 해킹대응을 강조해 온 산업통상부가 정작 본부의 기본 보안 조치인 다중인증 설정에서 미흡 판정을 받은 것으로 드러났다. 산하기관에는 계정·인증 점검을 지시하면서 본부의 미비점은 “조치 예정”으로 남겨뒀다. AI 보안관제를 도입했지만 AI·자동화 공격을 별도로 파악할 통계는 없었고, 보안 책임자는 1년 사이 세 차례 교체됐다.
　더불어민주당 임문영 의원(광주 광산을, 국회 산업통상자원중소벤처기업위원회)이 산업통상부(이하 산업부)로부터 제출받은 자료를 분석한 결과다. 산업부는 고성능 AI의 발달과 대중화로 공격자가 시스템 취약점을 자동으로 빠르게 찾아내고 있다며, 올해 3월부터 산업통상 사이버안전센터에서 AI를 활용한 보안관제를 운영하고 있다고 밝혔다. 내년 정부 예산안에는 ‘AI를 활용한 산업부 및 소관 공공기관 대상 모의해킹’도 반영했다. 그러나 새로운 기술 도입과 별개로, 본부의 기본 보안에서는 해마다 미비점이 드러났다.

■ 산하기관엔 인증 점검 지시, 본부는 ‘다중인증 미흡’
　산업부 본부는 국가정보원 보안관리실태 평가에서 2022년부터 2025년까지 4년 연속 ‘보통’을 받았다. 2022년에는 소프트웨어·운영체제·백신 업데이트와 접근통제, 2023년에는 용역업체 PC 네트워크 관리와 시스템 권한 차등 부여가 지적됐다. 2024년에는 망간 자료전송 시스템 설정과 서버 취약 포트 사용, 2025년에는 불필요한 프로그램 설치와 프린터·복합기 보안대책이 미흡한 것으로 나타났다. 올해 진행 중인 평가에서는 ‘정보시스템 환경설정 및 다중인증 설정 미흡’이 지적됐다. 이에 산업부는 “조치 예정”이라고 답했다.
　다중인증은 산업부가 직원의 생성형 AI 사용 지침으로 제출한 국정원 보안수칙에도 명시된 항목이다. 해당 수칙은 로그인 계정에 다중인증을 설정하도록 하고 있다. 산업부는 이달 초 금융권 해킹 사태 이후인 10월 3일 소관 공공기관에 ‘계정·인증 점검’을 공지하기도 했다. 산하기관에 점검을 주문한 보안 항목에서 본부가 먼저 미흡 지적을 받은 셈이다.

■ 보안 책임자는 1년 새 세 차례 교체
　보안 업무를 책임지는 담당자도 잇따라 바뀌었다. 산업부의 사이버보안담당관인 정보보호담당관은 2022년 1월부터 2025년 2월까지 약 3년 1개월간 한 사람이 맡았다. 그러나 이후 2026년 2월까지 1년 사이 세 차례 교체됐다. 2025년 2월 부임한 담당자는 같은 해 10월까지 약 8개월, 후임자는 2026년 2월까지 약 4개월간 재임했다. 현재 담당자는 올해 2월부터 업무를 맡고 있다. 보안 위협에 지속적으로 대응하고 개선 조치를 관리해야 할 책임자의 잦은 교체로 업무 연속성이 약화될 수 있다는 지적이다.

■ AI·자동화 공격 통계 없고, 기관 자체 관제와 차이 커
　AI 공격에 얼마나 대응하고 있는지 확인할 통계도 미비했다. 산업부는 대량 로그인 시도 등 AI를 활용한 자동화 공격에 대해 홈페이지·디도스 공격 건수에 포함된다고 답했다. 제출자료에서 2025년 홈페이지·디도스 공격은 모두 0건이었다. AI·자동화 공격을 별도로 구분하지 않아, 기존 통계만으로는 해당 공격의 규모와 대응 실적을 확인하기 어렵다. 산업부 본부 대상 전체 공격 시도는 2022년 23건, 2023년 16건, 2024년 21건, 2025년 9건이었으며, 올해는 9월까지 4건으로 집계됐다.
　반면 소관기관 자체 관제에서는 공격 시도가 크게 늘었다. 강원랜드가 자체 보안관제센터로 파악한 공격 시도는 지난해 2만4,330건에서 올해 10월 5일까지 9만2,965건으로 증가했다. 같은 기간 산업부 사이버안전센터가 강원랜드에 통보한 공격 시도는 지난해 48건, 올해 55건이었다.
　공격 유형별 흐름에도 차이가 있었다. 강원랜드가 파악한 웹 공격은 지난해 1만890건에서 올해 5만9,268건으로 약 5.4배 늘었다. 산업부가 통보한 홈페이지 공격은 같은 기간 35건에서 47건으로 증가했다. 기관 자체 관제 건수와 산업부 통보 건수는 탐지 범위와 분류·통보 기준이 달라, 단순 비교만으로 산업부의 탐지율이나 관제 성능을 단정할 수는 없다. 기관 보안장비가 자동으로 차단한 단순 탐색까지 산업부가 모두 통보해야 하는 것도 아니다.
　다만 산업통상 사이버안전센터는 본부와 소관 공공기관을 24시간 관제하는 곳이다. 기관 자체 관제에서 포착한 공격 급증을 산업부가 함께 파악하고 있는지, 어떤 위협을 선별해 통보하는지, 기관 간 정보를 어떻게 공유하는지는 점검해야 한다. AI 보안관제의 성과 역시 이러한 기준과 연계 체계를 토대로 제시할 필요가 있다.

■ 용역업체 홈페이지 해킹에도 책임 부과는 “해당 없음”…정보보호 예산은 감소
　외주 보안 관리에서는 실제 개인정보 유출 사고가 발생했다. 2025년 5월 산업부 행사 용역업체가 구축·운영한 홈페이지가 해킹돼 참가자의 성명, 소속, 휴대전화 번호, 이메일이 유출됐다. 유출 신고와 통지는 용역업체가 했다. 그러나 보안사고 관련 징계와 외주업체 책임 부과 현황을 묻자 산업부는 “해당 없음”이라고 답했다. 사고 이후 관리·감독 책임과 계약상 책임을 어떻게 검토했는지 확인이 필요한 대목이다. 산업부 본부는 앞서 2023년 국정원 평가에서도 ‘용역업체 PC 네트워크 관리’를 지적받은 바 있다.
　정보화 예산이 늘어나는 동안 정보보호 예산은 줄었다. 2022년부터 올해까지 산업부 정보화 예산은 32억6,500만원에서 47억2,700만원으로 증가했다. 반면 정보보호 예산은 같은 기간 30억8,400만원에서 23억7,200만원으로 감소했다. 내년 정부안에는 정보보호 예산이 25억6,800만원으로 증액 반영됐지만, 여전히 2022년 수준에는 못 미친다.

■ “구축 후 막는 보안”에서 “상시로 찾아 고치는 보안”으로
　해마다 지적 항목이 바뀌는 국정원 평가 결과는 연 1회 점검과 사후 대응에 기대는 지금의 보안 체계가 가진 한계와도 맞닿아 있다. 국가인공지능전략위원회가 올해 2월 마련한 「보안 취약점 신고·조치·공개 제도(CVD/VDP) 도입 로드맵」은 국내 정보보안 인증·점검·평가 제도가 “年 1회 또는 제품 도입시에만 실시”돼 실시간으로 진화하는 사이버 위협에 대응하기에 역부족이라고 진단했다. 국정원의 사이버보안 관리실태 평가도 절차 평가 중심이라는 것이다.
　로드맵은 대안으로 사전 취약점 공개 정책(VDP)과 버그바운티를 제시했다. 기관이 해킹 허용 범위와 신고 절차를 미리 공개하면, 화이트해커가 그 범위 안에서 상시로 취약점을 찾아 신고하고 기관은 이를 조치한 뒤 공개하는 방식이다. 취약점을 찾아낸 사람에게 포상금을 주는 버그바운티도 함께 운영한다. 미국과 EU는 공공 분야에 이 제도를 의무화했고, 로드맵은 올해 하반기 공공(국정원)·민간(과학기술정보통신부) 시범사업을 거쳐 법제화까지 추진하도록 했다.
　산업부가 내년 예산안에 반영한 AI 모의해킹도 필요한 조치다. 그러나 AI를 활용한 공격은 정해진 점검 일정에 맞춰 오지 않는다. 시스템을 구축한 뒤 접근을 막는 방식에서 벗어나, 산업부와 소관기관부터 공공 분야 시범사업에 참여해 취약점을 상시로 찾고 고치는 체제로 바꿔야 한다는 지적이다.

■ 임문영 의원 “AI 보안도 기본부터…상시 예방 체제로 전환해야”
　임문영 의원은 산업부에 본부 다중인증 등 기본 보안 조치를 즉시 마무리하고, 보안 책임자가 충분한 기간 업무를 수행할 수 있도록 인사 운영을 개선하라고 주문했다. 아울러 AI·자동화 공격을 구분할 통계 기준을 마련하고, 소관기관 자체 관제에서 파악한 공격 흐름을 산업부 관제와 공유하는 연계 체계를 구축해야 한다고 강조했다. 또 산업부와 소관기관이 VDP·버그바운티 공공 시범사업에 먼저 참여해 상시 예방 체제를 갖춰야 한다고 밝혔다.
임 의원은 “AI 보안관제를 도입하고 AI 모의해킹을 준비하는 방향에는 공감한다”면서도 “산하기관에는 인증을 점검하라고 하면서 정작 본부는 다중인증을 지적받았다면 지시를 따를 기관이 없을 것”이라고 지적했다.
이어 “AI 시대의 보안은 시스템을 다 만든 뒤 문을 걸어 잠그는 방식으로는 지킬 수 없다”며 “화이트해커와 함께 취약점을 먼저 찾아 고치는 사전 취약점 공개(VDP)와 버그바운티로, 상시 예방·대응 체제로 패러다임을 바꿔야 한다”고 말했다.
임 의원은 “AI 보안관제를 도입했다는 사실만으로 보안 수준이 입증되는 것은 아니다. 무엇을 파악했고 무엇을 막았는지 보여줘야 한다”며 “본부의 기본 보안 조치 완료, 보안 책임자의 업무 연속성 확보, 기관 자체 관제와 연계한 공격 통계 마련이라는 세 가지 과제를 국정감사에서 확인하겠다”고 강조했다. 끝.

붙임 1. 최근 5년간 산업부 본부 국정원 보안관리실태 평가 결과
붙임 2. 산업부 정부보호담당관(사이버보안담당관) 교체 이력
붙임 3. 산업부 본부 대상 사이버 공격 시도 현황
붙임 4. 강원랜드 자체 관제 유형별 공격 시도 발생·차단 현황
붙임 5. 산업부 사이버관제센터가 강원랜드에 통보한 사이버 공격 시도 건수