한국 정부출연 연구기관, 서버 보안 점검 대상 15.9%에 그쳐

예정된 점검에서 제외된 서버 1만6천 대 넘어

과학기술정보통신부가 국회에 제출한 자료에 따르면, 한국 정부출연 연구기관들은 2026년 보안 취약점 점검 대상으로 보유 서버 1만9,041대 중 3,025대만 선정했다. 전체의 84.1%인 1만6,016대가 점검 대상에서 제외된 셈이다. 국가 사이버보안 지침은 최소 연 1회 점검을 요구하고 있다.

자료에는 인공지능, 반도체, 생명공학, 원자력, 사이버보안 등을 연구하는 23개 기관이 포함됐다. 제한된 점검 대상에서 기관들은 1월 1일부터 10월 16일까지 취약점 3만4,536건을 확인했다. 23개 기관 모두 개선 작업이 아직 진행 중이라고 밝혔다.

악성 소프트웨어 방어에도 공백이 있었다. 국회 점검 과정에서 제시된 자료에 따르면 서버 1만7,387대(91.3%)에 백신 프로그램이 설치되지 않았다. 웹사이트 등 서비스를 제공하기 위해 인터넷에 직접 연결된 서버 766대 중 372대에도 백신이 없었다.

과기정통부 본부의 보안 적용 범위는 훨씬 넓었다. 서버 108대 전부가 취약점 점검 대상에 포함됐고, 100대에는 백신이 설치돼 있었다. 국회의원들은 국가적으로 중요한 연구를 담당하는 기관들이 같은 보안 지침 아래서도 왜 훨씬 제한적인 보호 조치만 운영하는지 따져 물었다.

과기정통부는 전문 인력 부족, 고가의 점검 도구, 일부 연구 장비에 백신을 설치하기 어려운 기술적 문제를 이유로 들었다. 대응 방안으로는 점검할 서버의 우선순위를 정하는 공통 기준 마련을 제시했다. 국회 과학기술정보방송통신위원회 소속 이훈기 더불어민주당 의원은 모든 서버를 대상으로 즉시 전수 점검해야 한다고 촉구했다.

서버가 가장 많은 기관의 점검률은 가장 낮아

한국과학기술정보연구원(KISTI)은 보유 서버 1만1,132대 중 267대를 점검 대상으로 선정했다. 한국전자통신연구원(ETRI)은 3,747대 중 100대를 선정했다.

두 기관의 서버는 모두 1만4,879대로, 23개 기관 전체의 약 78.1%를 차지했다. 그러나 점검 대상으로 선정한 서버는 합쳐서 367대, 전체 보유량의 약 2.5%에 불과했다. 두 기관의 규모를 고려하면 점검 대상 선정 방식은 국가 차원의 보안 현황을 좌우하는 핵심 요소다.

KISTI의 서버 백신 설치율은 0.6%, ETRI는 8.4%였다. 두 기관은 컴퓨팅 인프라와 통신 기술을 담당해 시스템 보호가 연구 운영에 특히 중요하다.

점검 수치는 보고 기간 중 점검 대상으로 선정된 서버를 보여준다. 점검이 실제로 얼마나 진행됐는지, 취약점이 얼마나 개선됐는지, 대상에서 제외된 서버에는 어떤 보호 조치가 적용됐는지 전체 현황이 있어야 완료된 작업 규모를 파악할 수 있다.

4년째 이어진 제한적 점검 범위

과기정통부 자료는 점검이 일시적으로 중단된 것이 아니라 제한된 범위에서 계속돼 왔음을 보여준다. 23개 기관 전체에서 점검 대상에서 제외된 서버 비율은 2023년 84.2%, 2024년 84.2%, 2025년 83.7%, 2026년 84.1%였다.

4년 내내 점검 대상에 포함된 서버는 6대 중 1대꼴에 그쳤다. 2025년 소폭 개선됐던 비율은 2026년에 대부분 되돌아갔다.

ETRI는 점검 제외 비율이 더 크게 변했다. 2025년 61.1%에서 2026년 97.3%로 상승했다. KISTI의 점검 제외 비율은 조사 대상이 된 모든 해에 96%를 넘었고, 2026년에는 97.6%에 달했다.

한국전기연구원은 4년 내내 서버의 94.8%를 점검 대상에서 제외했다. 국가보안기술연구소의 제외 비율은 2023년과 2024년 90.9%에서 2025년 71.8%, 2026년 67.3%로 낮아졌다. 개선됐지만 여전히 약 3분의 2가 점검 대상에 포함되지 않았다.

점검 규정의 요구 사항

국가사이버안보 기본지침 제53조 2항은 서버 관리자가 보안 대책을 검토하고 취약점을 점검해 최소 연 1회 조치하도록 규정한다. 점검 대상 위험에는 저장된 정보의 탈취, 서버 설정이나 데이터의 무단 변경 등이 포함된다.

5월 1일 시행된 개정 지침은 운영체제와 소프트웨어의 취약점 및 업데이트도 정기적으로 점검하도록 했다. 취약점은 안전하지 않은 설정이나 오래된 소프트웨어처럼 누군가 시스템에 침입하거나 운영을 방해할 기회를 줄 수 있는 약점을 뜻한다.

기관마다 점검 대상을 선정하는 기준은 달랐다. 일부는 전년도에 점검한 서버를 제외했고, 다른 기관은 폐기 예정 장비를 제외했다. 과기정통부는 이런 선택을 각 기관에 맡겨 왔다.

주요 경과는 다음과 같다.

• 2023~2026년: 기관 서버 중 점검 대상에서 제외된 비율이 매년 83%를 넘었다.
• 5월 1일: 개정 지침에 소프트웨어 취약점과 업데이트 정기 점검 요건이 추가됐다.
• 7월: 감사원은 모든 서버를 세부 점검할 수 없는 기관에 점검 우선순위 기준을 마련하라고 요구했다.
• 2026년 9월: 23개 기관의 백신 설치 서버는 1만9,041대 중 1,654대였다.
• 10월 16일: 취약점 보고 기간이 종료됐으며, 확인된 취약점은 3만4,536건이었다.
• 10월 20일: 국회는 연구기관 국정감사에서 과기정통부의 보안 관리 문제를 추궁했다.

개선 조치가 필요한 취약점 수천 건

한국과학기술연구원(KIST)이 7,079건으로 기관 중 가장 많은 취약점을 기록했다. 한국기계연구원이 6,472건으로 뒤를 이었고, 한국지질자원연구원은 4,290건, KISTI는 3,944건이었다. 한국생명공학연구원에서도 2,693건이 확인됐다.

기계연구원에서는 서버 89대에서 취약점 6,472건이 발견돼 서버당 평균 약 73건에 달했다. 한 서버에서도 운영체제, 애플리케이션, 보안 설정을 각각 점검해야 하므로 여러 취약점이 발견될 수 있다.

기관들은 개선 작업이 진행 중이라고 밝혔다. 취약점을 해결하려면 업데이트를 설치하거나 설정을 변경하고, 불필요한 소프트웨어를 제거하거나 접근을 제한해야 할 수 있다. 자료는 확인된 취약점 수를 제시하지만 실제 작업량은 취약점의 심각도와 필요한 변경 사항에 따라 달라진다.

연구팀을 위해서는 사용하는 시스템 운영에 맞춰 개선 작업을 조율해야 한다. 서버는 계산 작업을 지원하고 실험 결과를 저장하거나 장비를 제어할 수 있다. 과기정통부가 인력 부족을 이유로 든 만큼, 연구 기능을 유지하면서 취약점을 평가하고 복구할 수 있는 전문 인력이 필요하다.

인터넷에 공개된 서비스에도 백신 공백

기관 서버 1만9,041대 중 백신이 설치된 서버는 1,654대로, 설치율은 8.7%였다. 과기정통부 본부의 설치율은 92.6%로, 두 수치의 차이는 83.9%포인트였다.

인터넷 연결 서버의 백신 설치율은 기관 전체 서버보다 높았지만, 여전히 거의 절반이 백신을 갖추지 못했다. 766대 중 372대, 즉 48.6%에 백신이 없었다. 이 서버들은 공용 인터넷과 직접 연결돼 있어 공격자가 서비스의 취약점을 탐색할 경로가 될 수 있다.

백신 프로그램과 취약점 점검은 서로 다른 역할을 한다. 백신은 악성 프로그램이나 의심스러운 활동을 찾고, 취약점 점검은 복구가 필요한 약점을 찾아낸다. 기관은 소프트웨어 상태와 유해 프로그램의 존재 징후를 모두 관리해야 한다.

과기정통부 기획조정실장 강상욱은 백신 설치율에 대한 질의에 기술적 한계를 인정했다.

“연구기관 장비 중에는 기술적으로 백신을 설치하기 어려운 것이 있어 100% 설치가 쉽지 않다”며 “다만 개선의 여지가 크다고 본다”고 말했다.

강 실장은 과기정통부가 백신 설치를 앞당기고, 기관장들이 보안에 더 주의를 기울이도록 관리·감독을 강화하겠다고 밝혔다. 백신을 지원하지 않는 장비에 대해서는 이 의원이 동등한 수준의 대체 보호 조치를 확인하라고 촉구했다. 여기에는 접근을 엄격히 제한하고 네트워크를 분리하며 악성 활동을 탐지하는 다른 방법을 적용하는 방안이 포함된다.

악성코드 발견, 긍정적 보안 평가에 의문 제기

감사원이 앞서 서버 1만7,073대를 운영하는 연구기관 5곳을 점검한 결과, 백신 설치 서버는 374대(2.2%)에 그쳤다. 이 점검은 23개 기관을 대상으로 한 9월 집계와는 대상 기관과 기간이 달랐다.

감사원은 백신이 없는 서버 251대를 점검해 4개 기관의 서버 21대에서 38종의 악성 소프트웨어를 발견했다. 조사한 서버의 약 8.4%에서 악성코드가 확인된 것이다. 이 비율은 해당 점검 대상에 한정된 수치다.

감사원은 주요 서버의 보안 업데이트 지연과 외부에서 내부망으로 접속할 수 있는 프로그램에 대한 관리 부실도 확인했다. 이 같은 지적은 백신 설치율과 함께 실제 운영상의 문제를 보여준다.

이런 취약점에도 과기정통부는 매년 연구기관의 정보보안 관리 수준을 매우 우수하다고 평가해 왔다. 국민의힘 서천호 의원은 해당 평가가 기관 내부의 실제 상황을 반영했는지 의문을 제기했다.

김남국 더불어민주당 의원은 또 다른 감독 공백을 지적했다. 2023년 이후 연구기관에 전달된 보안 권고와 지침 19건 가운데 이행 여부를 점검하는 것은 단 1건뿐이었다. 국제 취약점 평가 체계에서 최고 위험 등급으로 분류된 취약점 관련 지침도 과기정통부가 조치 여부를 확인하지 않았다고 밝혔다.

이번 지적은 과기정통부가 해결해야 할 두 가지 과제를 드러낸다. 지침이 이행되는지 확인하고, 상세 점검에서 발견된 취약점이 기관 평가에 제대로 반영되는지 검증해야 한다.

예산 증가 속 지출 우선순위 도마에

6개 기관은 예산을 확보한 뒤 단계적으로 백신을 설치하겠다고 밝혔다. 그러나 이들 기관의 정보보안 예산 합계는 24억7,000만 원에서 36억2,000만 원으로 11억5,000만 원, 46.3% 증가했다.

해당 기관은 녹색기술센터, 한국한의학연구원, 한국생산기술연구원, 한국기계연구원, 한국에너지기술연구원, 한국전기연구원이다. 23개 기관 모두 신청한 정보보안 예산을 삭감 없이 승인받았다.

녹색기술센터와 한국한의학연구원은 2025년과 2026년 모두 서버 백신 도입·유지에 별도 예산을 편성하지 않았다. 한의학연구원의 경우 서버 141대 중 백신이 설치된 서버는 2대뿐이었다.

해당 기관은 서버당 설치 비용을 50만 원으로 추산해 나머지 139대에 백신을 설치하는 데 6,950만 원이 들 것으로 계산했다. 이 의원실은 이 금액을 정보보안 예산 중 네트워크 회선료 4,300만 원, 클라우드 서비스 2,800만 원, 자기저장매체 삭제 장비 2,200만 원과 비교했다.

이 세 항목의 합계는 9,300만 원이다. 이번 비교는 기관이 얼마나 많은 예산을 받는지뿐 아니라 보안 예산을 어디에 쓰는지에도 관심을 집중시킨다. 일부 백신 설치는 2027년이나 2028년으로 예정돼 있어 이 의원은 완료 시점을 앞당기라고 촉구했다.

하드 드라이브에 남겨진 연구 자료

감사원은 한국항공우주연구원에서 물리적 정보보안 사고도 확인했다. 다른 기관으로 옮긴 연구자가 허가 없이 하드 드라이브를 반출했으며, 여기에는 국가안보 관련 사업 4건의 자료를 포함해 연구 파일 6만956개가 들어 있었다.

이 사건은 서버와 함께 저장장치도 보안 논의의 대상임을 보여준다. 연구 정보를 보호하려면 누가 드라이브를 반출할 수 있는지, 누가 이를 승인하는지, 이동 내역을 어떻게 기록하는지에 관한 규정도 필요하다.

악성코드 발견이나 드라이브 반출로 연구 데이터가 실제 유출됐다는 확인은 없고, 해당 사건에 대한 조사가 완료됐다는 내용도 없다. 모든 취약점 개선이 언제 끝날지도 확정되지 않았다. 다음으로 제시된 주요 일정은 과기정통부의 점검 기준 마련과 국회의원들이 요구한 전수 검토다.

점검 우선순위 기준 마련 시한 임박

과기정통부는 2026년 말까지 공통 우선순위 기준을 마련하고 2027년부터 적용할 계획이다. 기관별 기존 기준을 수집해 2026년 중 필수 우선 점검 항목을 반영하겠다고도 밝혀, 전체 기준 적용에 앞서 먼저 추진할 조치도 제시했다.

우선순위 기준은 인력과 도구가 부족할 때 어떤 장비부터 점검할지 정하는 역할을 한다. 이 의원은 점검 순서를 정하더라도 모든 서버를 대상으로 연례 취약점 점검과 개선을 해야 하는 의무는 지켜져야 한다고 강조했다.

이 의원은 연말까지 서버 보안 전수 점검을 마칠 것도 촉구했다. 백신을 설치할 수 없는 장비에 대한 과기정통부의 책임을 언급하며 다음과 같이 말했다.

“백신 설치가 어려운 서버에도 이에 상응하는 대체 보호 조치가 마련돼 있는지 과기정통부가 확인해야 한다. 기관장들이 정보보안에 직접 책임을 지도록 감독 책임도 강화해야 한다”고 말했다.

이번 지적은 점검 범위, 취약점 개선, 악성코드 방어, 관리 책임을 하나의 과제로 제시한다. 기관들이 실제로 성과를 내는지는 모든 서버에 점검 일정이 지정되고, 확인된 취약점에 개선 조치가 이뤄지며, 전문 장비의 운영 환경에 맞는 보호 체계가 마련되는지에 달려 있다.

핵심 내용

• 23개 연구기관은 2026년 서버 1만9,041대 중 3,025대를 취약점 점검 대상으로 선정했다. 점검 대상 비율은 15.9%다.
• 10월 16일까지 취약점 3만4,536건이 확인됐으며, 개선 작업은 진행 중이다.
• 서버 1만7,387대에 백신이 없었고, 이 가운데 372대는 인터넷에 직접 연결돼 있었다.
• 앞선 감사에서는 점검 대상 서버 251대 중 21대에서 악성코드 38종이 발견됐다.
• 예산 부족을 이유로 든 6개 기관의 보안 예산은 합계 46.3% 증가했다.
• 과기정통부는 연말까지 공통 점검 우선순위 기준을 마련해 2027년부터 적용할 계획이며, 국회의원들은 더 이른 시일 내 전수 점검을 요구하고 있다.