2026 National Assembly audit — 최형두
Official transcript excerpts from the National Assembly viewer. Unpublished or uncollected meetings may be missing.
Coverage: collected official documents only

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_3
위원 최형두
자료제출……

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_7
위원 최형두
존경하는 위원장님 그리고 선배·동료 위원 여러분!
저는 과방위 국민의힘 간사로서 지금 사이버보안 자료요청 대응 실태를 좀 짚기 위해서 자료요청을 하겠습니다.
저희 의원실은 9월 21일 카드사 해킹 관련 8개 항목을 과기정통부에 요청했습니다. 제출기한은 9월 30일이었으나 기한이 지나도록 답이 없었고 재차 확인한 끝에야 8개 항목 중 단 1개, 그것도 포함될 예정이라는 한 줄짜리 답변만 돌아왔습니다.
(영상자료를 보며)
나머지 7개 항목은 지금 화면에서 보듯이 단 하나도, 금융위·금감원이 아니라…… 그런데 이 일들이 금융위·금감원 일이 아닙니다. 해킹 사태는 기본적으로 정부 체계상 과기정통부 KISA의 일입니다.
심지어 같은 날 보낸 5대 카드사 공통 자료요청은 각 카드사에 전달조차 하지 않은 채 방치하다가 기한이 지나 재촉하자 그제서야 소관 기관이 아니라 안 했다라고 답했습니다. 안 할 거면 처음부터 안 하겠다고 이야기해야 되는데……
더 심각한 건 그다음입니다. 10월 1일 신한은행에서 외부 비인가자 인증을 우회해서 2만 5000명의 정보를 탈취하는 사고가 발생했습니다. 저희가 당일 즉시 자료를 요청했는데 이틀 뒤 답변은 단 네 글자, ‘해당기관 아님’이라는 것입니다.
바로 그제도 이재명 대통령께서 금융권 해킹 사고에 대해 엄중한 인식을 갖고 철저한 조사, 대책 마련에 만전을 기하라고 직접 지시했습니다. 대통령까지 나서서 철저한 조사를 주문한 사안을 정작 과학기술, 사이버해킹, 사이버보안을 책임지는 총괄부서인 과기정통부는 소관이 아니라고 발뺌하고 있습니다.
금융위 소관이다, 금융위에 KISA 넘기실 생각입니까? 이런 생각이면 금융위에다 KISA 넘기시고 청와대나 총리실이 과학기술, 사이버 해킹·보안 총괄 부서로 가도록 그렇게 정부 기능을 이양하십시오. 작년 범부처 정보보호 종합대책에서 없애겠다던 부처 간 칸막이, 칸막이가 1년이 지난 지금도 소관 기관의 핑계와 책임 회피로 남아 있습니다.
그래서 위원장님께 요청드립니다. 과기정통부는 오늘 미답변 7개 항목과 5대 카드사 자료요청 처리 경위, 신한은행 건의 ‘해당기관 아님’ 판단 근거를 서면으로 밝혀 줘야 합니다.
그리고 AI 해킹 시대에 소관 핑계로 손을 놓는다면 주무부처 자격을 스스로 포기하는 것입니다. 지금 대한민국이 공격당하고 있을 정도로 사이버테러, 사이버공격이, 특히 AI를 이용한 공격이 심각합니다. 이 문제에 대해서 주관부처로서 철저한 소임을 다할 수 있도록……
이전에는 충분히 밝혔던, 바로 사이버해킹과 관련되고 이런 데이터 브리치(data breach)와 관련된 기술 문제를 다루는 과학기술정보통신부가 여기에 대한 본 위원의 질문자료에 답변해 주셔야 됩니다. 위원장님께서 반드시 이 자료를 받아 주십시오.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_330
위원 최형두
최형두입니다.
우선 오전에 요청했던 자료가 아직 안 오고 있습니다. 부총리께서 좀 챙겨 주셔야 되고 빨리 보내 주십시오.
이게 은행에 알아보라 이렇게 이야기하시는데 지금 은행, 금융기관의 사이버해킹, 사이버공격, 데이터 브리치, 전부 과기정통부 일입니다. 이렇게 답변을 회피하고 무성의하게 하시면 정부로서도 큰 신뢰 위기에 처할 겁니다.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_332
위원 최형두
지금 시간이 없으니까 자료 빨리 주세요, 말로만 하지 마시고.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_334
위원 최형두
지금 시간이 없으니까 제가 포괄적으로 이야기하면 부총리나 아니면 담당하는 차관께서 답변해 주십시오.
(영상자료를 보며)
지금 대한민국이 공격당하고 있다 이렇게 이야기해도 과언이 아니라고 생각합니다. 지금 평온하니까 평온한 줄 아는데 벌써 보십시오. 지난주에만 정부24 그리고 신한은행, KB국민은행, 하나은행, 부산은행 해킹당했습니다. 우리은행, 농협은행도 공격받았고요. 또 10월 1일에는 국가기반시설을 운영하는 한국전력에서도 전 직원 2만 4000여 명의 정보가 외부 웹페이지에 올라왔습니다. 정부24는 8월 17일에 뚫렸는데 한 달이 넘도록 유출 규모도 확정하지 못했습니다.
대통령이 작년 9월에 보안 없이는 AI 강국도 사상누각이라고 했는데 정부에 과연 그런 경각심이 있는지 의심스럽습니다. 작년 10월에 범정부 종합대책이 나왔고 그로부터 1년이 지났는데 SKT, KT, 롯데카드, 쿠팡에 이어서 이제 정부 포털과 시중은행까지 뚫리고 있습니다. 도대체 국민들은 누구를 믿어야 됩니까?
침해사고 신고는 올 상반기에 19.5% 늘었습니다. 지금 범정부 종합대책이 제대로 작동하고 있는지 나중에 말씀해 주시고요. 과제별 이행현황을 점검해서 국회에 정기 보고해야 되는데 지금 그런 계획이 있는지, 없다면 그 이유가 무엇인지 물어봐 주십시오.
죽 넘어가 보십시오.
통신·금융·공공을 가리지 않는 대형사고가 터지고 있습니다. 해킹은 매년 늘고 있고 정부 보호예산 비중은 오히려 줄고 있습니다.
다음 보실까요.
통신사, 작년에 그렇게 큰 사고를 당했는데 현재 이행률이 낮습니다. 완료는 내년, 내후년이라고 합니다.
다음 슬라이드 보여 주십시오.
그리고 취약점 개선기한은 언제까지 될지 갑갑합니다. 개인회사나 통신사라든가 이런 회사들에 데이터 브리치가 생기거나 이런 문제가 생기면 어마어마한 과징금에 직면합니다. 그런데 정부는 국민의 모든 안보를 책임지고 있어야 되는데 정작 여기에 대해서 둔감한 것처럼 느껴집니다.
부총리님, 우리 국민은 20년 넘게 은행·관공서 사이트에 들어갈 때마다 보안프로그램을 깔아 왔습니다. 이른바 액티브X 같은 것이지요. 그런데 카이스트 연구진이 이 프로그램 7종을 분석해 보니 심각한 취약점이 19건이 나왔습니다. 북한 해킹조직은 오히려 이 프로그램을 노려 왔습니다. 더구나 이번에 뚫린 곳은 이용자 PC가 아니라 정부24 서버, 은행의 외부 접점, 한전 내부 명부, 모두 서비스 제공자 쪽이었습니다. 보안책임을 이용자 PC에 떠넘길 것이 아니라 이제 정부와 관계기관 스스로가 책임져야 되는 그런 시대에 왔습니다.
이른바 제로트러스트라는, 지금 몇 차례 제기를 했는데 이게 왜 정부에서 안 되는지 나중에 포괄적으로 좀 답변해 주십시오. 지금 미국 같은 경우에…… 제로트러스트가 무엇인지 아시지요? 제로트러스트야말로 지금 클라우드 환경이 매우 복잡하기 때문에 이제 액티브X 이런 걸로 막을 수가 없습니다. 곳곳에서, 접점에서 바로 공격이 들어오고 있기 때문에 그 공격을 막기 위한, 이번 공격경로가 바로 제로트러스트가 목표하는 바로 그 방어지점입니다.
그런데 지금 보면 정부의 예산은 깎이고 있습니다. 작년에 62억 원에서 올해 45억 원으로 27% 줄었고요. 그런데 제로트러스트라는 것이 지금 미국 같은 나라에서는 굉장히 강력하게 가고 있습니다.
다음 슬라이드 보여 주십시오.
미국 연방관보로 지금 제로트러스트를 굉장히 엄격하게 시행하고 있고요 일본도 진행하고 있습니다.
다음 슬라이드 보여 주시지요.
그리고 구체적인 계획도 있습니다. 우리 정부는 이런 계획이 있는지……
미국의 경우에는 보면 60일 안에 계획해야 될 것, 180일 안에 다중 인증해야 될 것 이런 것들을 미국 연방관보를 통해서 다 하고 있는데 우리는 도대체 국회에서 지적을 해도 무응답이고……
1분만 주십시오.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_336
위원 최형두
그뿐 아닙니다. 지금 AI가 아니어도 공공기관의 데이터 보호에 대한 인식은 너무 심각합니다. 지금 AI 공격이라고 그랬는데 AI가 아니어도 한국전력은 이미 뚫렸습니다.
외국은 하지 않는 건데 액티브X 이런 거 해서 괜히 국민들만 고생시키고, 카이스트에서 분석을 해 보니까 오히려 북한의 해킹 경로 숙주가 되고 있습니다.
예산은 거꾸로 가고 있습니다. 정부가 인식이 흐릿하니까 예산 요구도 제대로 못 하고 있는 거 아닙니까? 그리고 지금 AI 해킹 시대에 예산부터 확보한 뒤에 만들어야 됩니다. 미국에서 9·11을 겪고 난 뒤에, 지금 사이버 해킹이 9·11에 버금간다는 국내의 그런 지적이 있습니다. 이제는 제트 드론으로 공격하고 사이버로 공격합니다.
그런데 정부는 있었지만 점을 잇지 못했던, 국정원 나뉘고 과기부 나뉘고 어디 군대에 나뉘어서 포괄적으로 대책을 세우지 못했던 문제를 정부가 지금은 종합 컨트롤타워를 만들어야 될 시점입니다. 여기에 대해서 답변 부탁합니다.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_770
위원 최형두
저도 재보충 함께 쓰겠습니다. 그러면 5분 바로……

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_772
위원 최형두
오늘 기업들 증인도 나오고 했습니다만 지금 이게 AI를 이용한 엄청난 고난도 기법으로 해킹한 게 아닙니다. 이번 사고에서 특히 티빙 같은, 오늘 강남언니, 대부분 다 나왔는데 해커가 새로운 공격 기술을 사용한 것이 아니라 2024년에 이미 발견된 취약점이 방치됐고 접속 키, 접근 권한, 로그, 모니터링 보고 체계 등 기본적인 보안 관리 체계가 작동하지 않은 데 문제가 있는 겁니다.
정부가 이걸 자꾸 그냥 대충 넘어가면…… 국민들은 정부를 믿고 있습니다. 기업을 믿는 게 아닙니다. 기업에는 과징금 매기고 막 그러지 않습니까? 그런데 정작 정부는 무엇을 하는가? 지금 이렇게 연일 계속 터지는데……
(영상자료를 보며)
첫 번째 슬라이드 보십시오.
그래서 지금 우리가 미국이라든가 일본이라든가 다른 나라에서 하고 있는 제로트러스트, 완전히 다방면에 걸쳐서 공격 경로를 확인하고 점검하고 막는 체제를 갖추지 않으면…… 2024년에 발견된 문제점이 지금 그대로 방치되어서 또 뚫리고 또 뚫리고 이렇게 한단 말이지요. 지금 우리나라가 이렇게 안전해 보이니까 그냥 아무 일 없이 계속 넘어갈 것 같습니까?
업계에서는 이렇게 얘기해요. 솔직히 말하면 은행 금융계좌 이런 게 안전한 까닭은 우리 정부가 잘해서라든가 우리 기업의 보안이 잘돼서가 아니라 그 클라우드가 글로벌 클라우드 시스템을 쓰기 때문에, 글로벌 클라우드가 자기들 보안 체계를 작동하기 때문에 그나마 그건 안 뚫렸다 이렇게 이야기를 하고 있어요. 정부가 책임을 통감해야 됩니다.
첫 번째 사례를 보실까요?
그래서 지금 제로트러스트라는 것을 만들어야 되는데 보십시오. 이번 공격 경로, 다 이전에 나왔던 겁니다. 이게 그대로 반복되고 있습니다. 만일 제로트러스트라는 것을 한다면, 그러니까 다방면에 걸친 공격의 통로를 그때그때 점검해서 막았다면 노출 자산을 사고 전에 상시 파악할 수 있었을 테고 접속마다 사용자·기기 검증을 갔을 테고 최소 권한 로그를 통해서 이상행위를 즉시 탐지할 수 있었을 것입니다.
지금 보시면 다 뒤늦게들 발견하고 있습니다. 이게 사전에 감지된 것이 아니고, 정부가 상시 감지 체제가 있는 것이 아니고 뒤늦게들 막 발견하고 있습니다.
그래서 이 제로트러스트라는 걸 제가 누차 말씀드렸습니다만 주요국은 이미 시작을 했습니다. 주요국은 의무와 기한도 정했어요. 그런데 우리나라는 아직 권고와 시범 단계입니다.
다음 슬라이드 보실까요?
미국에서는 바이든 대통령 때 이미 대통령 명령에서 기관 구현까지 한 줄로 딱 정리했습니다. 2021년 5월에 대통령 행정명령이 나왔고 이렇게 기술표준 또 2024년 말까지 달성할 구체적 목표, 신원·단말·네트워크·앱·데이터 5개 축에 대한 검증, 국방부의 전략·로드맵까지 다 나와 있습니다. 우리 정부가 하고 있습니까? 이것 나중에 포괄적으로 답변해 주십시오.
다음 슬라이드 보여 주십시오.
행정명령을 통해서 이걸 관철하기 위해서 미국의 연방관보에서 이렇게 상세하게 연방정부는 보안 모범관행을 채택하고 제로트러스트 아키텍처로 나아가야 한다, 기술과 인력 모두에 투자해야 한다는 것까지 명시하고 있습니다. 대통령이 직접 정부 보안의 방향을 제로트러스트라고 못 박고 있습니다.
다음 슬라이드 보여 주십시오.
보면 여기에 60일 안에 계획해야 될 것, 180일 안에 다중인증 받아야 될 것 이런 것 다 정하고 있습니다. 우리 정부는 이런 매뉴얼대로 하려는 노력이라도 하고 있습니까?
다음 슬라이드 보여 주십시오.
제로트러스트에 대한 정의가 나옵니다, 데피니션 나오지요. 위협은 기존 네트워크 경계 안팎 모두에 존재한다. 우리처럼 액티브X 만들어 놨더니 액티브X가 오히려 북한 해커의 침투 경로가 되어 버렸어요. 위협이 기존 네트워크 경계 안팎에 모두 존재한다는 위협에 대한 그런 인식 그리고 어떤 요소·노드·서비스도 암묵적으로 신뢰하지 않는다. 모든 것을 검증한다는 그런 확고한 원칙. 그리고 실시간 정보로 접근을 지속적으로 검증하는 것, 이것 없이는 그냥 운이 나빠서 뚫린 게 아니라 그냥 상시적으로 뚫리게 돼 있습니다. 그런데 우리 해법은…… 제로트러스트라는 게 선진국에서도 다 검증되어 있는데 우리 예산은 지금 줄어들고 있습니다.
보십시오. 2024년에 62억이었다가 2025년에 56억이었다가 45억. 과기부가 이런 요청을 했는데 국회가 깎았습니까?
1분만 더 주십시오.

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_774
위원 최형두
여기에 대해서 정부가 비상한 인식으로 필요하다면 국회에 예산 증액을 단호히 요구해 주십시오.
늘 이야기하는데 9·11하고 차이가 없습니다. 9·11 때 보니까 미국 의회가…… 9·11의 교훈을 비교해 보니까 CIA·FBI·DIA가 알 카에다를 잡을 뻔했습니다. 개별 정보는 있었는데 그게 선으로 이어지지 않아서 종합적으로 막을 수 없었다. 그래서 국가정보장이라는 걸, DNI를 만들었습니다.
다음 슬라이드 보십시오.
그런데 궁금한 것은 이런 사이버 공격 대응 총괄 부처가 어디입니까? 과기부입니까, 어디입니까? 과기부에 총괄 부처라는 인식 자체가 있습니까?

2026-10-06 2026년도 국정감사 · 과학기술정보방송통신위원회
[국회 공식 회의록]
https://record.assembly.go.kr/assembly/viewer/minutes/xml.do?id=57472&type=view#spk_776
위원 최형두
그렇습니다.
그런데 보십시오. 사고마다 다른 담당, 비어 있는 총괄. 그래서 KB국민은행은 신한은행 사고가 알려졌을 때 자기 피해를 확인했을 정도입니다.
(발언시간 초과로 마이크 중단)
(마이크 중단 이후 계속 발언한 부분)
과기정통부, 개인정보위, 국정원 최근 3년간 협의 실적도 전혀 알려지지 않고 있습니다. 사이버안보기본법을 17대 국회부터 추진해 왔는데 과기부에서도 관심이 없습니다.
이제 정말 국가안보가 사이버안보에 있다는 사실을 명심하시고 정부가 이 문제, 특히 과기부가 총력 대응해 주시고 만일 그럴 자신이 없으면 청와대에 요청하시거나 총리실로 넘기십시오.