정보통신기획평가원(IITP)이 7개월 사이 두 차례 보안사고를 낸 가운데, IITP의 정보보안 실태평가 등급도 지난해 '보통'으로 하락했다. 기존 2년 연속 ‘양호’ 등급에서 한 단계 떨어진 수치다.

14일 국회 과학기술정보방송통신위원회 소속 더불어민주당 이훈기 의원이 확인한 자료에 따르면 IITP의 정보보안 실태평가 등급은 2022년 ‘보통’에서 2023년과 2024년 ‘양호’로 상승했으나 2025년 다시 ‘보통’으로 떨어졌다.

과학기술정보통신부의 정보보안 실태평가는 기관의 정보보안 관리체계와 보안 수준을 점검하고 취약점을 개선하기 위해 실시된다.

평가점수에 따라 86.5점 이상은 ‘우수’, 76.5점 이상 86.5점 미만은 ‘양호’, 66.5점 이상 76.5점 미만은 ‘보통’, 66.5점 미만은 ‘미흡’으로 분류된다.

IITP는 국가 ICT R&D 사업의 기획·평가·관리 등을 담당하는 전문기관으로, 올해 약 1조9000억원 규모의 국가 ICT R&D 사업을 관리하고 있다. 문제는 IITP의 정보보안 평가등급이 하락한 시기를 전후해 실제 보안사고가 잇따랐다는 점이다.

IITP는 지난해 12월 지능형 지속 위협(APT) 공격을 받아 직원 직무분장 파일 등이 외부로 유출되는 사고를 겪었다. 이후 보안점검과 재발방지대책을 마련했다.

하지만, 불과 7개월 만인 올해 7월 6일 개인정보 접속기록관리 시스템이 해킹되는 두 번째 사고가 발생했다. 두 번째 사고의 원인은 외주 유지·보수 업체 담당자의 기초적인 방화벽 설정 오류로 파악됐다.

담당자가 방화벽 설정 과정에서 ‘차단’해야 할 값을 ‘허용’으로 잘못 입력하면서 외부 침입에 노출됐다는 것이다.

첫 번째 사고 이후 보안점검과 재발방지대책이 마련됐음에도 유사한 보안사고가 반복되면서 IITP의 내부통제와 후속 대책의 실효성을 점검해야 한다는 지적이 나온다.

과기정통부의 정보보안 실태평가 제도 자체에 대한 점검 필요성도 제기됐다. IITP는 2023년과 2024년 2년 연속 ‘양호’ 평가를 받았지만 이후 보안사고가 연이어 발생했고, 2025년 평가등급이 ‘보통’으로 떨어진 뒤에도 추가 해킹사고를 막지 못했다.

이에 따라 정보보안 실태평가가 기관의 실제 보안 취약점을 사전에 포착하고 개선하는 기능을 제대로 수행하고 있는지, 평가 이후 지적사항에 대한 이행관리가 적절하게 이뤄지고 있는지 살펴봐야 한다는 지적이다.

이훈기 의원은 “1조9000억원 규모의 국가 ICT R&D를 관리하는 기관에서 7개월 사이 두 차례 보안사고가 발생했다”며 “정보보안 실태평가가 단순히 등급을 매기는 데 그치는 것이 아니라 실제 보안 취약점을 찾아내 사고를 예방하는 제도로 작동하고 있는지 따져봐야 한다”고 말했다.

이어 “평가에서 취약점이 발견되고도 개선되지 않았다면 사후관리가 부실한 것이고, 취약점을 제대로 포착하지 못했다면 평가체계 자체를 손봐야 한다”며 “과기정통부 산하기관의 정보보호 실태평가와 지적사항 이행관리 체계를 전반적으로 점검해야 한다”고 강조했다.