카드사태 발생후 외부용역 인력관리 책임계획서 제출토록
패널티 포함 사업자 부담
패널티 포함 사업자 부담
올 초 카드3사 정보유출 사건이 '허가받은' 외부 용역 직원에 의해 발생함에 따라 외부 용역 인력을 통해 진행되는 대다수 공공정보화 사업에 대한 보안성 검증이 강화되고 있다.
18일 업계에 따르면 공공정보화 사업의 보안성 검증이 올 들어 대폭 강화되는 추세다. 그간 공공정보화 사업은 사업 수행사가 '보안 서약서'를 제출하는 등 보안에 대한 자체 규정에 따라 진행됐다. 사업 수행시 확보한 공공기관 기밀 정보나 민감한 개인정보를 외부로 유출하지 않는다든가 사업 완료 후 데이터의 삭제, 회수 여부 등을 확인하는 것이 보안서약서에 담긴 내용이었다.
하지만 최근에는 발주기관이 보안서약서 외에 프로젝트 전반에 걸친 '보안 관리 계획서' 등을 첨부하도록 하는 등 수준 높은 보안관리를 요구하는 것으로 나타났다.
업계 관계자는 "최근 이행되고 있는 대형 공공정보화 사업에서는 모두 이같은 보안관리계획서 첨부가 요구되고 있다고 보면 된다"면서 "용역개발이 주를 이루는 공공정보화 사업 특성상 용역 지원에 의한 정보유출을 예방하기 위한 대책이라고 보면 된다"고 설명했다.
국가정보화사업의 보안부문을 담당하고 있는 안전행정부도 올 들어 강화된 규정을 적용하고 있다. 하승철 안행부 정보기반보호과장은 "공공사업의 경우 국가정보원이 규정한 '용역업체 보안관리 지침'에 따라 보안성 검증을 하고 있다"면서 "주사업자와 계약을 맺을 때부터 프로젝트 전반에 대한 인적보안, 자료보안 등 보안 관리 활동 계획은 물론 투입되는 인력에 대한 보안 교육 실시 등을 강화하고 있다"고 설명했다.
특히 이번 강화된 보안성 검증에는 '보안 사고에 대한 패널티'가 포함된 것이 특징이다. 계약 당시부터 주 사업자에게 '만약 보안사고가 발생한다면 사업 수행자가 책임을 진다'는 조항을 추가한 것이다. 이 책임은 발주기관 요구에 따른 보안사항 추가 개발이나 보안사고 수습에 대한 금전적 부분까지 포함돼 있는 것으로 알려졌다.
업계 관계자는 "이전에도 입찰 계약을 할 때 보안서약서 등을 제출토록 했지만 이는 관행적인 부분이 컸고 실제 사업자가 느끼는 책임부담은 그리 크지 않았다"면서 "올 들어 카드사태 발생 이후 보안에 대한 사업자 책임을 발주기관이 대폭 강화함에 따라 사업자들도 보안 관리에 상당한 주의를 쏟고 있다"고 강조했다.
이에 대해 공공 정보화 사업을 주로 수행하는 대형 IT서비스업체 관계자는 "사업 신뢰성 확보를 위해서라도 보안 강화 요구는 마땅한 일이고 더구나 카드사 정보유출 이후 고객(발주기관) 측에서 강화된 보안계획 제출을 요구하는 것도 마땅하다고 생각한다"면서 "다만 보안성 강화 지침에 하도급 인력에 대한 보안관리까지 책임지라고 돼 있는데, 소프트웨어산업진흥법 등에선 하도급 업체에 대한 과도한 관리 감독을 못하도록 막고 있어 상충되는 법률 사이에서 업체가 곤혹스러운 경우도 있다"고 덧붙였다.
강은성기자 esther@
18일 업계에 따르면 공공정보화 사업의 보안성 검증이 올 들어 대폭 강화되는 추세다. 그간 공공정보화 사업은 사업 수행사가 '보안 서약서'를 제출하는 등 보안에 대한 자체 규정에 따라 진행됐다. 사업 수행시 확보한 공공기관 기밀 정보나 민감한 개인정보를 외부로 유출하지 않는다든가 사업 완료 후 데이터의 삭제, 회수 여부 등을 확인하는 것이 보안서약서에 담긴 내용이었다.
하지만 최근에는 발주기관이 보안서약서 외에 프로젝트 전반에 걸친 '보안 관리 계획서' 등을 첨부하도록 하는 등 수준 높은 보안관리를 요구하는 것으로 나타났다.
업계 관계자는 "최근 이행되고 있는 대형 공공정보화 사업에서는 모두 이같은 보안관리계획서 첨부가 요구되고 있다고 보면 된다"면서 "용역개발이 주를 이루는 공공정보화 사업 특성상 용역 지원에 의한 정보유출을 예방하기 위한 대책이라고 보면 된다"고 설명했다.
국가정보화사업의 보안부문을 담당하고 있는 안전행정부도 올 들어 강화된 규정을 적용하고 있다. 하승철 안행부 정보기반보호과장은 "공공사업의 경우 국가정보원이 규정한 '용역업체 보안관리 지침'에 따라 보안성 검증을 하고 있다"면서 "주사업자와 계약을 맺을 때부터 프로젝트 전반에 대한 인적보안, 자료보안 등 보안 관리 활동 계획은 물론 투입되는 인력에 대한 보안 교육 실시 등을 강화하고 있다"고 설명했다.
특히 이번 강화된 보안성 검증에는 '보안 사고에 대한 패널티'가 포함된 것이 특징이다. 계약 당시부터 주 사업자에게 '만약 보안사고가 발생한다면 사업 수행자가 책임을 진다'는 조항을 추가한 것이다. 이 책임은 발주기관 요구에 따른 보안사항 추가 개발이나 보안사고 수습에 대한 금전적 부분까지 포함돼 있는 것으로 알려졌다.
업계 관계자는 "이전에도 입찰 계약을 할 때 보안서약서 등을 제출토록 했지만 이는 관행적인 부분이 컸고 실제 사업자가 느끼는 책임부담은 그리 크지 않았다"면서 "올 들어 카드사태 발생 이후 보안에 대한 사업자 책임을 발주기관이 대폭 강화함에 따라 사업자들도 보안 관리에 상당한 주의를 쏟고 있다"고 강조했다.
이에 대해 공공 정보화 사업을 주로 수행하는 대형 IT서비스업체 관계자는 "사업 신뢰성 확보를 위해서라도 보안 강화 요구는 마땅한 일이고 더구나 카드사 정보유출 이후 고객(발주기관) 측에서 강화된 보안계획 제출을 요구하는 것도 마땅하다고 생각한다"면서 "다만 보안성 강화 지침에 하도급 인력에 대한 보안관리까지 책임지라고 돼 있는데, 소프트웨어산업진흥법 등에선 하도급 업체에 대한 과도한 관리 감독을 못하도록 막고 있어 상충되는 법률 사이에서 업체가 곤혹스러운 경우도 있다"고 덧붙였다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
