2026년도 사이버보안 실태 평가지표 발표

2026년도 사이버보안 실태 평가지표가 발표됐다. 

 

작년과 달리, 2026년 버전에서 강조된 항목은 다음과 같다.

 

① 재난 방지대책 수립·시행

② 사이버 공격·재난 대응 훈련

③ 사이버공격방어대회 등 교육·훈련 참여

 

수립은 쉽다. 그런데 점수를 올린 이상, 이걸 정말 시행하는지 기록을 잘 따져야 할 것이다. 특히 훈련 상황이 정말 실제 상황과 가까운지, 그저 요식행위로 진행되었는지를 따져볼 필요가 있다. 그렇지 않다면, 이 항목을 강화한 이유가 없을 것이다. 또한 교육은.. 정말 의미가 없다. 이거야 말로 참여에 의의를 두거나 기록을 조작하는 경우를 지나치게 많이 봐왔기 때문이다. 교육의 퀄리티를 봐야 하는데, 그걸 따질 수 있을까? 큰 의미가 없는 항목이다.

 

④  정보보안 예산 확보

예산을 확보했다는 사실만으로 보안이 강화되었다고 볼 수 없을 것이다. 예산이 어디에, 얼마나 효율적으로 투자되었는지에 대한 평가 기준이 모호하다면, 이 돈은 실질적 보안 강화와는 거리가 먼 곳에 쓰일 가능성이 있기 때문이다.

 

⑤ 재해복구 시스템 구축(가산점)

DR 구축은 막대한 초기 투자 비용과 지속적인 유지보수 비용을 수반하기 마련이다. 참 필요한 항목이긴 한데, 규모가 작은 기관이나 기업에 이는 큰 부담으로 다가올 수 있다. 그래서 가산점으로 남아있는 항목일 것이다.

 

⑥ AI 기반 보안관제시스템 등 AI 기술 보안업무 도입(가산점)

왜 이렇게 AI를 좋아할까. AI 기반이라는 것 자체도 사실 모호한데, AI 기반이랍시고 여러 기업에서 쏟아져 나오는 시스템이 참 많다. 그중에 진정한 AI는 몇이나 될까? 단순 ML을 과대포장하여 AI로 여겨지지 않도록 할 필요가 있을 것이다.

 

⑥ 국가 망 보안체계(N2SF) 구축(가산점)

⑦ 국가 망 보안체계(N2SF) 적용

이건 국가에서 꾸준히 밀고 있는 영역이고 명분은 충분하니 고개가 끄덕여진다. 유연성은 부족할지라도, 작금의 실태를 고려한다면 충분히 괜찮은 항목이다.

 

⑧ 다중인증(MFA) 방식 강화

MFA는 이미 기본적인 보안 수칙이다. 그렇기에 이 '강화'가 무엇인지가 중요할 것이다. SMS 인증을 인정한다면 혼나야 한다. 

 

⑩ Windows 10 등 최근 보안지원 종료 S/W 추가

이걸 이제야 추가한다. 그리고 '보안지원'? End of Support로 또 끌고갈 게 뻔하다. 지나치게 사후적 대응이고, 더욱 선제적인 항목으로 강화할 필요가 있을 것이다.

 

⑪ 국가사이버위기관리단 사이버위협 동향 공유 등 협력 강화

협력 체계가 존재하는 것과 그 협력 체계를 통해 공유되는 정보의 퀄리티는 별개다. 따라서 후자의 영역으로 포커스가 맞춰지는 것이 좋을 것이다. 그리고 '협력 강화'가 일방적으로 정부가 주는 정보를 수동적으로 수용하는 형태에 그칠 수 있다. 아니 매우 클 것이다. 양방향의 심도 있는 협력 메커니즘이 지표에 반영되지 않는다면, 이 항목도 큰 의미가 있지는 않을 것이다.

 

 

https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=InstructionGuide_main&nttId=221882&pageIndex=1&searchCnd2=