최고 위험등급 해킹 취약점도 점검 안했다…과기부 관리 허점 작성일 10-19 57 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">출연연 보안지침 19건 전달했지만 18건 이행점검 안 해<br>김남국 "치명적 취약점 사후점검 없이 끝내…감독 책임 소홀"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8FhtZ5Lx1y"> <figure class="figure_frm origin_fig" contents-hash="22dc8ff56c3971948667029a71cb937bf45aef229a706a9ba773c0df693bb4e2" dmcf-pid="63lF51oM1T" dmcf-ptype="figure"> <p class="link_figure"><img alt="과학기술정보통신부 [과학기술정보통신부 제공]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/19/yonhap/20261019070128436nnon.jpg" data-org-width="1200" dmcf-mid="4WEySvQ9XW" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/19/yonhap/20261019070128436nnon.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 과학기술정보통신부 [과학기술정보통신부 제공] </figcaption> </figure> <p contents-hash="485f9ae474e6b426e85e3bd72d2e8b9f2098bd966dc0c00a069e518d2291429f" dmcf-pid="P0S31tgR1v" dmcf-ptype="general">(서울=연합뉴스) 조승한 기자 = 과학기술정보통신부가 최근 4년간 산하 정부출연연구기관에 19건의 보안 관련 권고와 지침을 전달하고도 이행 여부 점검은 단 1건에 그친 것으로 확인됐다.</p> <p contents-hash="a5a01c1d96943cf0511c65b458d860762af1116b47cf2ec12f2508bd8afe6185" dmcf-pid="QlNhOIfz5S" dmcf-ptype="general">실제 랜섬웨어 공격에 악용된 치명적인 보안 취약점에 대한 조치 권고까지 사후점검 대상에서 빠져 국가 핵심 연구 기술을 보호해야 할 정부의 보안관리·감독 체계가 부실하다는 지적이 나온다.</p> <p contents-hash="8fdba697d6606e740f510fe12f2bf6f5a006d6af4a6a38d91debe9b6fee9dc24" dmcf-pid="xSjlIC4qHl" dmcf-ptype="general">19일 국회 과학기술정보방송통신위원회 소속 더불어민주당 김남국 의원이 과학기술정보통신부로부터 제출받은 자료에 따르면, 2023년부터 4년간 과기정통부가 출연연에 전달한 보안 관련 권고와 지침은 총 19건으로 나타났다.</p> <p contents-hash="224b23430fa7bb8595f00e0004fcf4a3fb56fac1193d85e8d31dc5d3140de499" dmcf-pid="y6p8VfhDGh" dmcf-ptype="general">연도별로는 2023년 '챗GPT 등 생성형 AI 활용 보안 가이드라인' 등 4건, 2024년에도 '각급기관 홈페이지 인증수단 보안강화 권고' 등 2건, 2025년 'React2Shell 취약점 보안조치 권고' 등 총 9건을 출연연에 전달했다.</p> <p contents-hash="a0b65f1bf08b28251c82289cb979da49c36654248d7b4f5d62465aaa8d542014" dmcf-pid="WPU6f4lwHC" dmcf-ptype="general">하지만 권고사항 준수 여부는 단 하나도 확인하지 않았다.</p> <p contents-hash="43e722cd4a951a2dc869262203fdf099666b3b3fedd359048d44d71a73e5be1f" dmcf-pid="YQuP48SrXI" dmcf-ptype="general">올해도 '기반시설 관리기관 보안관리 강화 권고' 등 4건을 전달했으나, 3건은 이행점검을 실시하지 않았으며 '연구목적 기관 사이버보안 강화 요청' 1건만 점검 중인 것으로 나타났다.</p> <p contents-hash="95b93461a13c4eab1e44dbd59d855501fb9ebd3e3e5eed4c7a5864cacdc85cfe" dmcf-pid="Gx7Q86vmYO" dmcf-ptype="general">특히 2025년 전달된 React2Shell 관련 권고는 공격자가 별도의 인증 없이 취약한 서버에서 임의의 코드를 실행할 수 있는 보안 취약점으로, 국제 공통 취약점 평가체계(CVSS)에서 최고 위험등급인 10.0점을 받아 한국인터넷진흥원(KISA)이 긴급 보안강화를 권고했으나 과기정통부는 이행 여부를 확인하지 않았다고 김 의원은 설명했다.</p> <p contents-hash="c459ccd02251410bef43448e927f7736fdf3bbcf060e3c9330375c172beb7d6f" dmcf-pid="HMzx6PTsYs" dmcf-ptype="general">앞서 과기정통부는 2024년 자체 성과관리 시행계획에서 산하기관의 정보시스템·홈페이지에 대한 취약점 점검과 이행 조치를 내실화하고, 정보보호 감사와 평가 결과의 환류를 통해 기관 책임성을 강화하겠다 밝혔다.</p> <p contents-hash="ff9b0811eea8f39541676e7f94cfa91df343f6f2fb50cfbae75db21a0e715dde" dmcf-pid="XRqMPQyOtm" dmcf-ptype="general">하지만 개별 보안지침의 사후관리에는 충분히 반영되지 않았다는 지적을 피하기 어렵다고 김 의원은 지적했다.</p> <p contents-hash="4850e37ad7df99240bc536e3ba4fac6d272369f382f7d48e9c593b8f4ec39c9b" dmcf-pid="ZeBRQxWI1r" dmcf-ptype="general">앞서 김 의원이 공개한 자료에서는 출연연을 대상으로 한 해킹 시도가 2024년 123건에서 2025년 213건으로 73.2% 증가한 것으로 나타나기도 했다.</p> <p contents-hash="f82361d811b5f825ce15895c932ad80e3b9af124812065a16b362c560baccb4d" dmcf-pid="5fFVK9Oc1w" dmcf-ptype="general">김남국 의원은 "정부가 보안지침을 수십 차례 전달하더라도 실제 현장에서 이행되는지 확인하지 않는다면 아무런 의미가 없다"며 "특히 치명적인 해킹 취약점에 대한 조치 권고까지 사후점검 없이 끝냈다는 것은 국가 핵심 연구기술을 보호해야 할 정부의 관리·감독 책임을 소홀히 한 것"이라고 지적했다.</p> <p contents-hash="36ece33530455e92a753c1ea1dfd3b82ec5db28c906f335a6e37b5b55aeac97b" dmcf-pid="143f92IkXD" dmcf-ptype="general">그는 "과기정통부는 출연연의 보안지침 이행 실태를 전면 점검하고, 앞으로는 권고사항 전달부터 이행 확인, 미조치 사항에 대한 개선까지 이어지는 체계적인 관리·감독 시스템을 마련해야 한다"고 강조했다.</p> <p contents-hash="936595b7a1208aea6e17dfa92407f11d1bfb53e7acf79c461d4069e1fb87f2df" dmcf-pid="t8042VCEHE" dmcf-ptype="general">shjo@yna.co.kr</p> <p contents-hash="310597acbd556d770c6c90f2dbf11ec19d0896e82c7d13e6aa2b3c9ad98aa3ae" dmcf-pid="3PU6f4lw1c" dmcf-ptype="general">▶제보는 카톡 okjebo</p> </section> </div> <p class="" data-translation="true">Copyright © 연합뉴스. 무단전재 -재배포, AI 학습 및 활용 금지</p> 관련자료 이전 "아빠 육아휴직은 1년만 근속 인정"…법 개정 외면한 과기출연연 10-19 다음 “로봇 몇 대 주고 사람이 들여다보지 않으면 소용없어” 10-19 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
