창업진흥원의 부실한 보안 관리가 정부의 초대형 창업 프로젝트인 '모두의 창업' 개인정보 유출 사고의 근본적인 배경으로 드러났다. 창업진흥원은 2025년 4월에서 6월 사이 중소벤처기업부가 실시한 정보보안 실태 점검에서 관리자 접근 통제 미흡, 중요 파일 암호 설정 미비 등 총 15개 항목에 걸쳐 무더기 감점을 받았다.
문제는 감사 이후의 대응이다. 창업진흥원이 지난달 제출한 개선 계획에 따르면, 지적받은 15개 항목 중 개선이 완료된 곳은 8개에 불과했다. 나머지 7개 항목은 사고 임박 시점까지 미조치 상태로 방치되었다. 특히 보안 네트워크 프로토콜 버전 관리와 로컬 보안 정책 관리 등 핵심 사항은 하반기로 조치를 미뤘으며, 최신 통신 암호화 표준인 'TLS 1.3' 구축은 가용 자원을 고려해 착수하겠다고 답변했다. 또한 정보보안 전담 조직 신설 지적에 대해서는 기한 없이 검토하겠다는 안일한 태도를 보였다.
이러한 체계적인 보안 관리 실패는 외부 해커가 아닌 정부 공식 협력사인 AI 솔루션 업체가 플랫폼의 API 취약점을 이용해 1차 합격자 5,000명의 이메일, 아이디어 요약, 심사평을 무단 수집하는 결과로 이어졌다. 창업진흥원은 논란이 일자 일부 항목을 최근 완료했다고 해명했으나, 이미 대규모 유출이 발생한 후의 사후약방문이라는 비판을 받고 있다.
창업진흥원이 정부 보안 감사의 지적 사항을 인지하고도 개선 계획을 제대로 이행하지 않은 관리 소홀이 확인되었으며, 이는 공공기관의 보안 거버넌스 부재를 드러낸 사례입니다.
중소벤처기업부가 산하기관을 대상으로 실시한 정보보안 실태 점검에서 창업진흥원이 총 15개 항목에 걸쳐 보안 미비점으로 감점을 받았습니다. 주요 지적 사항에는 관리자 접근 통제 미흡, 중요 파일 암호 설정 누락, 보안 계정 및 계정 사용 이력 관리 부실, OLE 객체 취약점 등이 포함되었습니다. 창업진흥원은 개선 계획을 통해 8개 항목의 조치를 완료했으나, 나머지 7개 항목은 사고 임박 시점까지 방치했습니다. 특히 통신 암호화 표준인 TLS 1.3 구축과 정보보안 전담 조직 신설 등 핵심 보안 사항은 예산이나 여건을 이유로 조치를 미루거나 검토 단계에 머물렀습니다.
창업진흥원이 2025년 상반기 중소벤처기업부의 정보보안 실태 점검에서 15개 항목의 감점을 받았으나, 이 중 7개 항목을 방치했다. 특히 보안 네트워크 프로토콜(SSH) 버전 관리와 로컬 보안 정책 관리를 하반기로 미뤘으며, 최신 통신 암호화 표준인 TLS 1.3 구축은 가용 자원 검토를 이유로 연기했다. 정보보안 전담 조직 신설 지적에 대해서도 기한 없이 검토하겠다는 입장을 보였다. 이러한 보안 관리 부실은 이후 '모두의 창업' 프로젝트에서 공식 협력사에 의한 대규모 개인정보 및 아이디어 유출 사고로 이어졌다.