“기업엔 보안 압박, 정작 정부는 C등급”…공공 보안 ‘이중 잣대’ 도마

[이데일리 안유리 기자] 그간 민간 기업에 개인정보 보호 강화를 강하게 요구해온 정부가 정작 스스로는 기대에 못 미치는 보안 수준을 드러냈다. 특히 과학기술정보통신부(B등급), 방송미디어통신위원회(C등급), 우주항공청(D등급) 등 기술 부처 전반이 낮은 평가를 받으면서 ‘이중 잣대’ 논란이 불가피해졌다는 지적이다.

[이데일리 이미나 기자]

27일 개인정보보호위원회가 발표한 ‘2025년 공공기관 개인정보 보호수준 평가’ 결과에 따르면, 전체 1442개 기관의 평균 점수는 76.5점으로 집계됐다. 등급별로는 B등급이 41.8%로 가장 많았고, 최고 등급인 S등급은 54개 기관(6.6%)에 그쳤다.

특히 전년 대비 S등급 기관은 소폭 늘었지만, A등급이 감소하고 B~D등급이 모두 증가하면서 공공부문 전반이 ‘상향’이 아닌 ‘하향 흐름’에 진입했다는 분석이 나온다.

중앙부처 가운데 S등급을 받은 곳은 농림축산식품부, 보건복지부, 문화체육관광부, 해양수산부, 기후에너지환경부 등 일부에 한정됐다. 반면 민간 사이버 침해 대응을 총괄하는 과기정통부와 첨단 기술을 다루는 우주항공청이 낮은 점수를 받으면서, 보안을 직접 다루는 부처보다 정책 부처가 더 높은 평가를 받는 ‘역전 현상’도 나타났다.

기관 유형별 격차도 뚜렷했다. 공기업·준정부기관은 평균 87.5점으로 가장 높은 수준을 기록한 반면, 기초자치단체는 평균 73.2점으로 가장 낮았다. 특히 광역자치단체에서는 S등급이 단 한 곳도 없었고, 기초자치단체 중에서도 S등급은 경기도 광주시 한 곳에 불과했다. 절반 이상이 B등급에 머무르는 등 일선 행정조직의 보안 취약성이 그대로 드러났다.

실제 사고와 보안 수준 간의 연관성도 확인됐다. 개인정보 유출이나 행정처분 이력이 있는 기관일수록 평가 점수가 낮게 나타나, 보호 수준과 사고 발생 가능성이 밀접하게 연결돼 있는 것으로 분석됐다.

“기업엔 보안 압박, 정작 정부는 C등급”…공공 보안 ‘이중 잣대’ 도마

문제의 핵심은 기술이 아닌 ‘관리체계’에 있다는 점이다. ‘안전성 확보조치’ 항목 점수는 5점 만점에 2.26점으로 가장 낮았다. 내부관리계획 수립 과정에서 기관장 승인 등 의사결정 절차가 누락되거나, 이행 점검이 형식적으로 운영되는 등 거버넌스 부재가 주요 원인으로 지목됐다.

황석진 동국대 국제정보보호대학원 교수는 “공기업은 리스크 관리 필요성으로 보안 투자와 관리체계가 강화되는 반면, 중앙부처와 지자체는 상대적으로 긴장도가 낮다”며 “사고 발생 시 책임 소재가 불명확하고 사후 대응이 반복적으로 미흡한 구조”라고 지적했다. 이어 “공공부문 보안 수준을 높이기 위해서는 예산 확대뿐 아니라 책임 기반의 관리체계를 확립해야 한다”고 강조했다.

개인정보위는 평가 결과를 정부 경영평가 및 포상에 연계하고, 미흡 기관에 대한 개선 권고와 이행 점검을 강화할 방침이다. 맞춤형 컨설팅도 병행해 공공기관 간 보호 수준 격차를 줄이겠다는 계획이다.

송경희 개인정보위 위원장은 “우수기관의 선제적 예방 사례를 전 공공부문으로 확산하고, 필요 기관에는 집중 컨설팅을 제공해 보호 수준 격차를 해소하겠다”고 밝혔다.

이번 평가는 분명한 메시지를 던진다. 기업에는 강한 규제를 적용하면서도 정부 스스로는 보안 의식과 실행력이 뒤처져 있다는 점이다. 공공 개인정보 보호의 한계는 기술이 아니라 인식과 책임의 문제이며, 이제는 ‘관리하는 조직’부터 바뀌어야 한다는 지적이 커지고 있다.