행정안전부의 주요정보통신기반시설 보호, 소프트웨어 개발보안 강화, 첨단정보기술 활용 공공서비스 개선 및 재난안전사업 평가 체계 고도화 노력 doc_id PCY_202005290430139321_12

정부는｢정보통신기반보호법｣에 따라 국가안보 및 경제사회에 미치는 영향 등을 고려하여 각 부처의 중요한 시스템에 대해 주요정보통신기반시설로 지정(’18년, 414개)하고 안전하게 보호하기 위해 관리하고 있다. 정보화가 진전됨에 따라 정보통신 서비스에 대한 생활 의존도가 심화되면서 이란 석유시설(’12), 3.20.사이버테러(’13), 한수원 해킹사고(’14), 미 동부지역 디도스 공격(’16) 등 주요정보통신기반시설을 겨냥한 표적공격이 현실화되고 있는 상황이다. 국민의 생활과 안전에 밀착되어 있어 파급효과가 크고 막대한 혼란을 야기하기 때문에 기반시설의 안전한 보호는 백번 강조해도 지나치지 않는다. 특히 행정안전부는 국가 전체 기반시설(414개) 중에서 약 25%에 해당하는 102개를 주요정보통신기반시설로 지정하고 관리 중에 있으며 이는 각 지자체를 아우르는 중요자원들을 포함하고 있기 때문에 그 역할과 책임이 더욱 막중하다. 이에 매년 사이버 침해사고 및 보안사고 위험으로부터 주요정보통신기반시설을 보호하기 위하여 취약점 분석ㆍ평가, 보호대책 수립 등의 지원과 보호조치 이행점검 확인, 기술가이드 배포 등의 관리감독을 수행하고 있다. 사이버위협을 직접 탐지하고 신속히 대응하는 역량도 중요하지만 정보시스템 설계 및 개발, 그리고 운영 단계에서 발견할 수 있는 보안약점과 위험성을 사전에 조치하여 잠재적 위협요소를 최소화하고 예방하는 업무 수행도 필요하다. 이와 같은 취지로 행정안전부는｢행정기관 및 공공기관 정보시스템 구축ㆍ운영지침｣(행안부고시 제2018호-21호)을 근거로 하여 소프트웨어 개발보안과 정보시스템 등급제 제도 개선 및 활성화를 위하여 다방면으로 노력 중이다. 우선 사이버공격의 75% 이상이 응용프로그램의 취약점을 악용한다는 점에서[Gartner, “Now is the time for security at Application Level”, ’06.12월] 알 수 있듯이, 소프트웨어 설계 및 개발 단계부터 보안 취약점의 원인이 되는 보안약점을 진단ㆍ제거하는 보안활동의 필요성과 중요성이 강조되고 있다. 이에 소프트웨어 개발보안 기준 및 절차 등을 규정하고 행정기관 및 공공기관에서 정보화 사업 추진 시 소프트웨어 개발보안 적용을 의무적으로 준수하도록 제도화하고 있다. 첨단정보기술 활용 공공서비스는 첨단 ICT를 활용하여 국민생활과 밀접한 사회안전 및 공공행정 분야의 첨단 서비스를 발굴하고 공공분야에 선도적으로 시범ㆍ적용하고 확산함으로써 IT 신기술 수요 창출 및 경제 활성화에 크게 기여해왔다. 또한, 서비스만족도ㆍ활용도 등 운영성과가 우수하고 파급 효과가 큰 서비스를 표준모델로 만들어 확산함으로써 각 기관 및 지역 간 불필요한 중복투자를 방지하였다는 평가를 받았다. 그러나, 일부 이슈에 대한 개선도 필요한 것으로 파악되고 있다. 관계기관과의 협업 미흡, 수요자 불만족 등 기획 단계에서 수요자 관점의 의견수렴 과정이 부족해 실질적인 성과로 연계되지 못한 점과 첨단 기술을 도입하는 만큼 서비스 구축에 충분한 기간이 필요하나, 그렇지 못한 점이 아쉬움으로 남는다. 첨단정보기술 활용 공공서비스가 시스템 구현 수준에만 머무르지 않고 지속성을 가질 수 있도록 서비스 기획에 민간협력을 기반으로 현장문제 중심의 사업발굴 단계를 포함한 사업 전반에 대한 평가를 기반으로 개선해 나갈 계획이다. 2018년도 평가는 2017회계연도에 23개 부처에서 추진한 재난안전사업 280개(예산규모 10.5조)를 대상으로 실시하였다. 원칙적으로 모든 재난안전사업이 평가 대상이지만, 평가실익이 적은 예비비ㆍ교부세, 인건비ㆍ기본경비 위주 사업, 2018년 종료사업 등은 평가에서 제외하였다. 2018년에는 기존 평가 체계의 문제점 및 한계를 분석을 통하여 평가 체계를 대폭 개선하였다. 우선 2017년 평가는 각 부처에서 자체평가를 실시하고 행안부는 자체평가의 적절성을 점검하는 메타평가만을 실시하여 일반적인 재정사업 평가의 방식을 준용하였으나, 2018년에는 재난안전 분야에 특화된 평가 체계인 피해유형별 평가 체계롤 최초 도입하였다. 피해유형별 평가는 각 부처에서 개별적으로 평가한 사업들을 풍수해, 도로교통사고, 감염병 등 42개 피해유형으로 분류하여, 피해유형 내 상대평가를 하는 제도로, 각 피해유형 예방 및 저감에 대한 각 부처 사업 성과 및 기여도를 적절히 평가할 수 있는 방식이다. 2017년 평가의 또 다른 문제점은 중복 평가였다. 중앙행정기관 재난안전사업에 대한 평가를 행안부와 기재부에서 중복으로 실시하여 피평가 부처의 평가 부담이 가중되었고, 평가 결과(사업 점수 및 등급) 또한 중복으로 도출되어 평가 결과 환류 단계에서도 혼선이 발생하였다. 2018년부터는 재난안전사업은 기재부 재정사업자율평가 대상에서 제외하고 행안부에서 단독으로 평가를 실시하여, 평가 중복 문제를 해소하였다. 평가 운영 측면에서는 2018년에 최초로 평가 전문기관을 활용하고, 평가단을 구성ㆍ운영하여 전문성 및 공정성을 강화하였다. 평가단은 다양한 재난 및 안전관리 분야와 재정사업 평가 분야 민간전문가 42명으로 구성하였고, 14개 평가반(반별 평가위원 3명)으로 세분화하여 평가반별로 전문분야에 해당하는 사업들을 담당하여 평가를 실시하였다. 2018년 1월부터 4월까지 부처 자체평가와 행안부 주관 피해유형별 평가를 실시하고, 두 결과를 종합하여 상위 10% 사업 28개와 하위 10% 사업 28개를 최종적으로 선정하였다. 상위 10% 사업은 자체평가와 피해유형별 평가에서 모두 우수 등급에 선정된 사업, 피해유형별 평가 시 각 피해유형 내에서 1위 사업 등을 기준으로 선정하였다. 최종적으로 재난 및 안전사고 예방 및 저감 성과가 탁월한 2018년(’17회계연도) 10대 우수사업을 선정하여 보도자료 배포 등 적극 홍보를 실시하였다. 2018년에는 우수사업 선정 방식을 개선하여 평가자문위원회에만 의존하던 기존 방식에서 벗어나, 평가전문기관과 유형별 협의체(공무원, 민간전문가, 시민단체 등으로 구성)의 투트랙(Two-Track) 사전 검토를 거친 후 평가자문위원회에서 최종심의 하는 방식으로 변경하였다. 이에 따라 10대 우수사업 선정의 공정성 및 객관성이 대폭 강화되었다. 2018년 평가는 기재부(재정관리국)와 역할 분담을 통해 재난안전사업을 행안부 단독으로 평가하여 제도의 권위를 상승시키고 부처 수용성을 제고하였다. 또한 재난안전 특화 평가 방식인 피해유형별 평가 도입으로 재난안전사업의 특성을 고려한 평가 및 성과관리 체계를 확립하였다. 평가 운영에 있어서는 재난안전 전문기관과 평가단(총 42명)을 활용하여 객관적이고 심층적인 평가 결과를 도출하였고, 환류 측면에서는 행안부 사전협의와 기재부 예산편성 반영을 대폭 강화하였다. 다만 부처 자체평가와 행안부 피해유형별 평가를 각각 운영하여 체계가 복잡하였고, 평가 추진에 있어 시간적 여유가 부족하였다. 또한 14개 평가단으로 34개 피해유형(280개 사업)을 평가하여 일부 평가단에 이질적인 피해유형이 할당되었다. 특히 평가 예산이 확보되지 않아 심층적인 평가 운영 및 결과보고서 마련에 한계가 발생하였다.