[단독]보안 관리도 성과급에 반영한다…과기정통부 평가 강화

보안 비중 높인 새 평가체계 마련
잇단 침해사고에 사전 예방 역량 강화
정보화 역량·사이버안전 강화 배점도 상향
내년 4월 성과급 지급에 평가 반영

[파이낸셜뉴스] 사이버침해 사고 대응 주무부처인 과학기술정보통신부가 내부 성과평가에 사이버보안 책임을 강화한다. 부서뿐 아니라 공무원 개인의 성과평가에도 사이버보안 항목을 5% 이상 반영하고, 정보보호 관련 평가 배점도 확대하기로 했다. 잇단 사이버침해 사고로 보안 관리의 중요성이 커진 가운데, 보안 책임을 담당 부서에서 조직 구성원 전체로 확대하고 성과급과도 연계해 사전 예방 중심의 보안 관리체계를 강화하려는 취지다.

26일 업계에 따르면 과기정통부는 '2026년 통합성과평가 운영계획'을 통해 부서와 개인의 성과평가에 사이버보안 관련 항목을 각각 5% 이상 반영하는 방안을 추진한다. 지난해 행정관리역량평가와 사이버보안 실태평가에서 미흡한 것으로 나타난 분야의 평가 기준을 강화하고, 보안 관리 실적이 실제 성과평가에 반영되도록 하겠다는 것이다.

부서평가에서는 행정관리역량·개별평가 요소의 배점을 기존 10점에서 20점으로 두 배 확대한다. 해당 평가 요소에는 정보화 역량 강화와 사이버안전 수준 제고 등 정보화·정보보호 관련 항목이 포함돼 있다. 보안 관리 실적이 부서의 평가 결과에 미치는 영향을 높이려는 조치다.

특히 사이버보안 평가를 공무원 개인의 성과점수에도 연계한다는 점이 주목된다. 기존에는 정보화·보안 담당 부서를 중심으로 관리하던 보안 업무를 조직 구성원 전체의 성과관리 영역으로 확대하는 것이다. 이에 따라 보안 관리 수준이 미흡할 경우 관련 부서뿐 아니라 개인의 평가 결과에도 영향을 미칠 수 있게 된다.

과기정통부는 조만간 이 같은 내용의 성과평가 개편 계획을 확정한 뒤 부서평가와 개인평가를 거쳐 내년 4월 성과급 지급에 반영할 예정이다.

이번 개편은 사이버침해 사고 발생 이후의 조사와 대응뿐 아니라 평상시 보안 관리와 예방 활동에 대한 조직 전체의 책임을 높이려는 움직임으로 풀이된다. 과기정통부는 지난해 12월 사이버침해 사고 조사·대응 업무를 전담하는 사이버침해조사팀을 신설하는 등 대응 체계도 보강해 왔다.

보안 관리 강화의 필요성은 정부기관에 대한 평가에서도 확인된다. 국가정보원이 중앙부처와 광역지자체, 공공기관 등 152개 기관을 대상으로 실시한 '2025년도 사이버보안 실태평가'에서 중앙부처와 광역지자체 중 '우수' 등급을 받은 기관은 한 곳도 없었다. 사이버보안 정책을 담당하는 과기정통부 역시 '보통' 등급에 머물렀다.

통신·플랫폼·금융 등 국민 생활과 밀접한 분야에서 사이버침해 사고가 잇따르는 가운데, 정부기관 자체의 보안 역량을 강화해야 한다는 요구도 커지고 있다. 최근에는 웹 프로그래밍 언어 PHP와 서버 측 자바스크립트 실행 환경인 Node.js 등에서도 보안 취약점이 공개되면서 공공·민간을 막론하고 상시적인 취약점 관리와 보안 점검의 중요성이 부각되고 있다.

다만 보안 비중을 높인 새 평가 체계가 실질적인 보안 역량을 강화하는 장치로 작동할 지는 미지수다. 평가 결과에 따른 불이익이 지나치게 강조될 경우 오히려 보안 문제를 적극적으로 보고하거나 공유하는 데 부담으로 작용할 수 있기 때문이다. 평가 기준을 개편하는 것과 별개로 보안 인력·예산 확충, 취약점 개선 이행 등 기관 차원의 보안 강화 조치도 지속적으로 병행해야 한다는 목소리가 높다. 업계 관계자는 "보안 담당 부서에만 보안 관리를 맡기지 않고, 조직 전반의 보안 관리 책임성과 실행력을 높이려는 시도"라고 말했다.

[email protected] 장민권 기자