민간 정보통신기반시설 점검 결과가 발표되면서 보안 관리에 대한 관심이 높아지고 있습니다. 과학기술정보통신부와 한국인터넷진흥원은 2026년 6월 29일부터 9월 25일까지 민간 주요정보통신기반시설 16곳을 대상으로 AI 기반 취약점 점검을 진행했습니다. 이번 점검에는 오픈AI의 보안 특화 모델인 GPT-5.5 사이버가 활용되었고, 모두 304건의 취약점이 발견되었습니다. 정부는 뒤이어 민간 주요정보통신기반시설 170여 곳으로 점검 대상을 넓혀 추가 점검에 들어갔습니다.
먼저 이번 점검의 핵심 내용을 표로 정리해 보았습니다.
| 구분 | 내용 |
|---|---|
| 점검 대상 | 민간 주요정보통신기반시설 16곳, 이후 170여 곳으로 확대 |
| 점검 기간 | 2026년 6월 29일부터 9월 25일까지 |
| 점검 방식 | AI 기반 취약점 점검, GPT-5.5 사이버 활용 |
| 발견 건수 | 취약점 304건 |
| 후속 조치 | 사업자 통보 후 보완 조치 및 재점검 예정 |
목차
민간 정보통신기반시설 점검은 무엇을 확인하는 과정인가
주요정보통신기반시설은 안보, 행정, 금융, 통신, 에너지처럼 국가와 사회에 미치는 영향이 큰 분야의 정보시스템을 말합니다. 이번 점검은 그중에서도 민간 사업자가 운영하는 시스템을 대상으로 진행되었습니다. AI가 취약점 후보를 빠르게 식별하고, 보안 담당자가 이를 검토하는 방식으로 운영되었습니다. 점검에 동의한 20곳 가운데 16곳을 먼저 확인했고, 나머지 4곳도 추가 점검을 진행한다고 알려졌습니다.
여기서 한 가지 오해하지 말아야 할 점이 있습니다. 취약점 304건이 발견되었다는 것은 16개 기업이 해킹을 당했다는 뜻이 아닙니다. 보안 점검 과정에서 보완이 필요한 부분을 확인했다는 의미입니다. AI가 취약점을 찾아내는 일은 보안 관리의 시작일 뿐입니다. 발견된 항목이 실제 위험으로 이어지는지 확인하고, 우선순위를 정해 수정한 뒤 다시 점검해야 합니다. AI가 점검 속도를 높여도 업무 시스템의 특성과 실제 사용 환경을 살피고 수정 여부를 확인하는 과정은 반드시 필요합니다. 취약점 목록을 받는 것만으로 보안 문제가 해결되는 것은 아닙니다.
정부의 점검 확대 소식에서 주목할 부분
이번 점검은 16곳에서 멈추지 않습니다. 정부는 민간 주요정보통신기반시설 170여 곳을 대상으로 보안 취약점 점검을 추가로 시작했습니다. 금융과 통신처럼 일상과 밀접한 서비스의 보안 수준을 확인한다는 점에서 관심을 모은 소식입니다. 다만 현재 확인된 보도는 점검 착수 사실에 관한 것이며, 시설별 결함이나 침해 사고가 발견되었다는 뜻은 아닙니다. 향후 점검 결과와 보완 조치를 별도로 확인해야 합니다.
우리 회사도 바로 확인할 보안 점검 5가지
정부의 민간 정보통신기반시설 점검이 시사하는 바는 분명합니다. 규모와 관계없이 모든 기업이 보안 취약점을 스스로 살펴볼 필요가 있다는 점입니다. 외부 전문 업체에 맡기기 전에 사내에서도 아래 5가지 항목부터 점검해 보면 실질적인 도움이 됩니다.
| 순서 | 점검 항목 | 확인 내용 |
|---|---|---|
| 1 | 외부 접속 시스템 파악 | 홈페이지, VPN, 원격 접속 도구, 사내 서버 목록 정리 |
| 2 | 프로그램과 장비 업데이트 | 운영체제, 업무 프로그램, 네트워크 장비의 업데이트 이력 확인 |
| 3 | 계정과 접근 권한 정리 | 퇴사자 계정, 미사용 계정, 과도한 권한 부여 여부 확인 |
| 4 | 점검 결과 조치 관리 | 문제별 담당자와 조치 기한 설정 및 재점검 |
| 5 | 백업과 복구 절차 확인 | 중요 자료의 백업 상태와 실제 복구 가능 여부 점검 |
외부 접속 시스템부터 목록으로 정리하자
첫 단계는 인터넷과 연결된 시스템이 무엇인지 파악하는 일입니다. 홈페이지, VPN, 원격 접속 도구, 사내 서버처럼 외부에서 접근할 수 있는 지점을 목록으로 정리해 보세요. 생각보다 많은 기업이 자사 시스템의 외부 노출 현황을 정확히 파악하지 못하고 있습니다. 점검 대상을 정리해 두면 보안 담당자나 IT 지원 업체에 문의할 때도 현재 상황을 더 구체적으로 전달할 수 있습니다.
오래된 계정과 과도한 권한부터 정리하는 것이 빠릅니다
보안 사고의 상당수는 복잡한 최신 공격 기술보다 방치된 계정에서 시작됩니다. 퇴사자 계정이 여전히 살아 있거나, 직원에게 업무에 필요한 범위보다 넓은 권한이 부여된 경우가 흔합니다. 사용하지 않는 계정을 삭제하고 권한을 최소한으로 조정하는 것만으로도 위험을 크게 줄일 수 있습니다. AI 기반 점검이 취약점을 찾아내는 속도는 빠르지만, 실제 수정과 재점검은 사람의 꾸준한 관리가 필요합니다.
AI 보안 점검의 흐름 속에서 기업이 준비할 방향
정부가 AI를 점검에 활용하기 시작한 것은 보안 영역에서도 기술 변화가 빠르게 진행되고 있다는 방증입니다. 앞으로는 AI가 더 많은 취약점을 더 빠르게 찾아내고, 보안 담당자는 발견된 문제의 우선순위와 실제 영향을 판단하는 역할에 집중하게 될 것입니다. 이번에 발표된 304건의 취약점도 단순히 수치로 볼 것이 아니라, 우리 회사의 보안 수준을 되돌아보는 계기로 삼으면 좋겠습니다.
민간 정보통신기반시설 점검은 국가 차원의 보안 관리 체계가 진화하고 있음을 보여줍니다. 개별 기업도 같은 흐름에 맞춰 외부 접속 시스템과 오래된 계정부터 정리하고, 발견된 문제를 조치 완료까지 관리하는 습관을 들여야 합니다. AI가 취약점을 더 빠르게 찾는 시대일수록, 발견한 문제를 실제로 고치고 다시 확인하는 과정이 보안 수준을 결정합니다. 오늘부터 자사 시스템의 목록을 정리하고 보안 점검 주기를 세우는 작은 실천을 시작해 보시길 바랍니다.
자주 묻는 질문
Q: 민간 정보통신기반시설 점검에서 취약점이 나왔다고 해서 문제가 있는 기업인가요?
A: 아닙니다. 취약점 발견은 해킹 피해를 뜻하지 않습니다. 보안 점검 과정에서 보완이 필요한 부분을 확인했다는 의미이며, 이를 개선하면 오히려 보안 수준이 높아집니다.
Q: AI가 취약점 점검을 하면 사람이 할 일이 없어지나요?
A: 그렇지 않습니다. AI는 취약점을 빠르게 찾아내는 도구일 뿐입니다. 발견된 항목의 위험성을 판단하고, 우선순위를 정해 수정한 뒤 다시 점검하는 과정은 보안 담당자의 역할입니다.
Q: 우리 회사도 점검 대상에 해당하나요?
A: 주요정보통신기반시설로 지정된 대형 사업자가 아니라면 정부 점검 대상이 아닐 수 있습니다. 하지만 외부 접속 시스템과 계정 권한, 백업 상태 등은 모든 기업이 스스로 점검하는 것이 안전합니다.
