더불어민주당 이훈기 국회의원(인천 남동구을·과학기술정보방송통신위원회)이 정보통신기획평가원(이하 IITP)의 최근 4년간 정보보안 실태평가 결과를 확인한 결과, 2023년과 2024년 2년 연속 ‘양호’였던 평가등급이 2025년 ‘보통’으로 하락한 것으로 나타났다. IITP에서는 지난해 12월에 이어 불과 7개월 만인 올해 7월 또다시 보안사고가 발생했다.

IITP는 국가 ICT 연구개발(R&D) 사업의 기획·평가·관리 등을 담당하는 전문기관으로, 올해 약 1조 9천억 원 규모의 국가 ICT R&D 사업을 관리하고 있다.

이훈기 의원실이 확인한 IITP의 정보보안 실태평가 결과는 2022년 ‘보통’, 2023년 ‘양호’, 2024년 ‘양호’, 2025년 ‘보통’으로 나타났다. 과기정통부 정보보호 실태점검은 86.5점 이상 ‘우수’, 76.5점 이상~86.5점 미만 ‘양호’, 66.5점 이상~76.5점 미만 ‘보통’, 66.5점 미만 ‘미흡’으로 평가한다. 정보보안 실태평가는 기관의 정보보안 관리체계와 보안 수준을 점검하고 취약점을 개선하기 위해 실시된다.

< 정보통신기획평가원 정보보안 실태평가 결과 >

※출처:과학기술정보통신부

평가등급이 하락한 지난해 12월 IITP는 APT 공격으로 직원 직무분장 파일 등이 외부에 유출되는 사고를 겪었다. 이어 불과 7개월 만인 올해 7월 6일 개인정보 접속기록관리 시스템이 해킹되는 두 번째 사고가 발생했다.

특히 두 번째 사고는 외주 유지·보수 업체 담당자가 방화벽 설정 과정에서 ‘차단’해야 할 값을 ‘허용’으로 잘못 입력한 기초적인 설정 오류가 원인으로 파악됐다. 첫 사고 이후 보안점검과 재발방지대책이 마련됐음에도 보안사고가 반복되면서 대책의 실효성과 내부통제 체계를 점검해야 한다는 지적이다.

연이은 보안사고를 계기로 과기정통부의 정보보안 실태평가가 실제 기관의 보안 취약점을 찾아내고 개선하는 제도로 작동하고 있는지도 점검할 필요가 있다. IITP는 2023년과 2024년 2년 연속 ‘양호’ 평가를 받았지만 이후 보안사고가 연이어 발생했고, 2025년 평가등급이 ‘보통’으로 하락한 이후에도 또다시 해킹사고가 발생했다.

이 의원은 “1조 9천억 원 규모의 국가 ICT R&D를 관리하는 기관에서 7개월 사이 두 차례 보안사고가 발생했다”며 “정보보안 실태평가가 단순히 등급을 매기는 데 그치는 것이 아니라, 실제 보안 취약점을 찾아내 사고를 예방하는 제도로 작동하고 있는지 따져봐야 한다”고 지적했다.