2026년 10월 28일, 과학기술정보통신부는 최근 금융 및 공공기관에서 발생한 사이버 침해와 개인정보 유출 사고를 계기로 민간 주요정보통신기반시설 111개 기관(172개 시설)에 대해 긴급 보안 취약점 점검을 추진한다고 밝혔습니다 1, 2, 3. 이번 긴급 점검은 기존 법규에 따른 정기 점검과는 별개로 진행되는 조치입니다. 외부에서 악성 공격자가 쉽게 접근할 수 있는 인터넷 접점 자산의 보안 수준을 즉각적으로 끌어올리기 위한 목적을 띠고 있습니다. 이번 점검을 이해하기 위해서는 먼저 주요정보통신기반시설의 지정 구조와 관련 법령이 요구하는 보안 점검 체계를 파악해야 합니다.
주요정보통신기반시설의 지정 구조와 법적 기준
주요정보통신기반시설은 사이버 침해 사고가 발생했을 때 국가 안보나 사회경제적인 영향이 매우 큰 핵심 시스템을 의미합니다. 이러한 시설은 「정보통신기반 보호법」에 근거하여 지정 및 관리를 받습니다 3. 통신, 금융, 에너지, 교통, 방송, 의료, 공공 등 다양한 분야의 시설이 대상이 됩니다 4, 5. 특히 최근에는 클라우드 데이터센터, 스마트시티, 5G 통신망 등 신기술이 적용된 분야로 대상이 확대되는 추세를 보이고 있습니다 5.
주요정보통신기반시설로 지정되면 관리기관이 시설을 보호하기 위한 구체적인 의무를 부담하게 됩니다. 법에 따라 관리기관은 관계 중앙행정기관이 지정한 소관 시설에 대해 매년 정기적인 취약점 분석·평가를 반드시 수행해야 합니다 4, 5. 최초 지정 시에는 지정 후 6개월 이내에 분석·평가를 마쳐야 하는 것이 기본 원칙입니다 4, 5. 부득이한 사유로 기한 내 수행이 어려운 경우에는 중앙행정기관장의 승인을 받아 최대 3개월까지 연장할 수 있습니다 5. 하지만 6개월 이전에 수행된 평가라도 기준에 부합하는 경우에는 인정받게 됩니다 5.
2026년 보안 평가의 핵심: 웹·클라우드 항목 대폭 세분화
정기적인 보안 점검의 세부적이고 구체적인 기준은 한국인터넷진흥원(KISA)이 발행하는 가이드라인을 따릅니다. KISA는 2025년 12월 24일 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」를 공개했습니다 4. 이번 가이드라인의 가장 큰 특징은 실무자의 문의가 많았던 웹 애플리케이션과 클라우드 영역의 점검 항목이 대폭 세분화되고 상세해졌다는 점입니다 4.
기술적 가이드라인은 총 12개 분야로 구성되어 있습니다. 이 중 Web Application(웹) 분야는 21개의 세부 항목을 담고 있으며, 모든 항목의 중요도가 '상'으로 지정되어 있습니다 4. 구체적인 점검 항목에는 코드 인젝션(SSTI·XXE 포함), SQL 인젝션, SSRF, CSRF, 악성 파일 업로드, 관리자 페이지 노출, 자동화 공격 등이 포함됩니다 4.
클라우드(CA-01~CA-19) 분야는 총 19개 항목으로 운영됩니다. 이 영역은 계정 관리(MFA 등), 권한 관리, 가상 리소스 관리(VPC·스토리지 퍼블릭 접근), 운영 관리(암호화·로깅·백업) 등 네 가지 카테고리로 나뉘어 꼼꼼히 점검됩니다 4. 또한, 가상화 장비는 클라우드와 구분되는 독립적인 점검 대상이며, '가상화 장비' 분야(HV-01~HV-25)에서 별도 항목으로 다뤄집니다 4. 실무 준비 과정에서 기관은 중요도 '상' 항목에 대한 우선 조치를 진행하고, 무료 스캔 서비스를 활용해 외부에 노출된 자산을 1차로 확인하는 방식으로 접근하게 됩니다 4.
점검 수행 방식: 세 가지 영역에 걸친 입체적 평가
보안 점검은 단순히 자동화된 도구를 돌려보는데 그치지 않습니다. 관리적, 물리적, 기술적 영역으로 구분하여 입체적이고 종합적인 평가가 이루어집니다 5.
각 영역의 구체적인 수행 방식은 다음과 같습니다.
| 영역 | 주요 점검 방법 | 평가 내용 |
|---|---|---|
| 관리적 | 문서 확인 및 면담 | 보안 정책의 수립 및 이행 여부 |
| 물리적 | 전산실 등 통제구역 실사 | 물리적 접근 통제 및 시설 보호 상태 |
| 기술적 | 도구 점검 및 모의해킹 | 시스템 및 네트워크의 기술적 방어력 |
(5 근거)
평가 수행 주체는 관리기관이 직접 나서는 것도 가능하지만, 한국인터넷진흥원(KISA)이나 「정보통신산업진흥법」 제48조의2에 따라 지정된 정보보호 전문서비스 기업에 평가를 위탁할 수도 있습니다 5. 만약 시스템 운영을 SI(시스템 통합) 기업이 수탁하여 맡고 있는 경우, 계약 범위에 따라 점검 준비에 SI가 포함되기도 합니다 4.
기술적 취약점을 분석할 때 특히 직전년도에 발견되었던 취약점을 중점적으로 확인합니다 5. 점검 대상 자산을 중요도별로 등급화하여 우선순위를 정하며, 분석 결과를 바탕으로 비밀성, 무결성, 가용성을 고려한 위험등급을 산출합니다 5. 이 위험등급은 상·중·하로 분류되며, '상'으로 판정된 취약점은 조기 개선이 요구됩니다 5. 나머지 등급에 대해서는 중·장기적인 개선 계획을 수립하게 됩니다 5.
이번 긴급 점검의 배경: 외부 노출 자산과 PHP 취약점
2026년 10월 말부터 시작된 이번 긴급 보안 취약점 점검은 법에 규정된 정기 이행 점검과는 독립적인 성격으로 진행되었습니다 3. 점검 대상에는 SK텔레콤, KT, LG유플러스 등 통신 3사의 유무선 네트워크 서비스와 인터넷데이터센터 관련 시스템을 포함하여 통신, 플랫폼, 금융 분야의 172개 시설을 관리하는 111개 기관이 포함되었습니다 3.
이번 긴급 조치의 배경에는 최근 발생한 금융권 사이버 침해 사고의 원인 규명 과정이 자리 잡고 있습니다. 금융당국의 분석에 따르면, 기존 보안 점검 대상에서 제외되었던 부가 시스템 등 인터넷 접점 자산(외부 노출 서버, 웹페이지 등)이 해커의 주요 침투 경로로 악용된 것으로 확인되었습니다 1, 3. 이 때문에 과기정통부는 해킹 악용 가능성이 높은 인터넷 노출 자산을 집중적으로 파악하고 보안 취약점을 확인하는 데 역량을 모았습니다 1, 3.
여기에 전 세계 웹사이트의 최대 70%가 사용하는 PHP 언어에서 심각한 보안 취약점이 발견된 점도 주요 원인으로 작용했습니다 3. 프로그래밍 언어 차원의 취약점인 PHP의 경우, 정부는 이에 대한 국내 영향도와 보안 패치 현황을 파악하여 필요한 대응 조치를 함께 추진했습니다 3.
점검 절차와 개선 조치 산출 방식
과기정통부는 이번 긴급 점검을 위해 2026년 10월 말까지 대상 관리기관들로부터 보안 점검 동의서, 대상 시설 현황, 자체 점검 체크리스트 등을 제출받았습니다 2, 3. 이를 바탕으로 11월 중 점검을 개시하여 늦어도 2026년 연내에는 모든 점검 절차를 마무리한다는 방침을 세웠습니다 1, 2. 현장에서는 기관별 자체 점검 결과에 더해 보안 관리 실태에 대한 현장 확인 및 병행 점검이 진행될 예정이었습니다 1, 2.
정기 취약점 분석·평가 결과 산출 방식 역시 명확한 기준을 따릅니다. 분석된 취약점은 평가 결과에 따라 정량화된 점수로 환산됩니다. 평가 결과의 객관성을 확보하기 위해 100점 만점의 별도 산출식을 통해 점수를 도출합니다 5.
기술적 조치 자체가 불가능하거나, 보안 패치 적용 시 서비스 운영에 지장을 초래하는 '조치불가 취약점'에 대한 처리 기준도 마련되어 있습니다. 이러한 취약점은 반드시 증빙자료를 확보하고 보완 대책을 체계적으로 수립하여 보호 대책에 반영해야 합니다 5.
결과의 활용 및 기관의 사전 준비 프로세스
취약점 분석·평가는 단순한 형식 요건을 넘어, 실질적인 보호 대책 수립을 위한 기초 자료로 쓰입니다 5. 관리기관과 SI를 비롯한 실무진은 KISA가 공개한 2026년 상세가이드를 기준으로 구체적인 사전 준비 프로세스를 적용합니다. 가이드에서 권장하는 실무 준비 4단계를 적용하면 다음과 같습니다.
- D-90 이전: IP, 도메인, 클라우드 계정 등 대상 자산을 식별하여 목록을 완전히 정리합니다.
- D-60 이전: 웹 애플리케이션 21개 및 클라우드 19개 항목을 기준으로 기관 내부의 사전 자가점검을 실시합니다.
- D-45 이전: 점검 수행 기관(위탁 기관)과 평가 일정 및 범위를 협의합니다.
- D-30 이전: 취약점 개선 조치 전후의 설정 상태, 로그, 화면 캡처 등 필수 증적을 체계적으로 정리합니다 4.
이러한 단계적 접근은 기관이 산발적인 보안 대응을 넘어 체계적인 취약점 관리 체계를 갖추도록 돕습니다. 클라우드, AI, 양자암호통신 등 신기술의 도입이 빠르게 진행되면서 기반시설에 대한 보안 요구사항도 한층 엄격해졌습니다. 정부는 정기적인 보호 조치와 지속적이고 꼼꼼한 보안 점검을 통해 주요 정보통신기반시설이 사이버 위협으로부터 안정적으로 운영될 수 있도록 관리 역량을 집중해야 할 시점입니다.
참고자료
- 금융·공공 해킹에 정부 긴급 점검…민간 기반시설 172곳 대상 | 연합뉴스 · yna.co.kr↩
- [속보] 정부, 민간 주요정보통신기반시설 170여개 취약점 점검 착수 · joongang.co.kr↩
- 금융권 해킹·PHP 취약점에…정부, 통신사 등 172곳 보안 점검 | 한겨레 · hani.co.kr↩
- 주요정보통신기반시설 취약점 평가 2026 개편... | SENTRIX 블로그 · sentrix.co.kr↩
- 주요 정보통신기반시설 취약점 분석ㆍ평가 - Carlsen's · carlsenblog.com↩
