행정안전부 정보보호팀은 2026-07-03 입법예고된 직제 개정에서 존속기한만 2년 늘고 증원은 0명이며 같은 개정이 감사 기능에는 5명을 냈다

무슨 일인가?

국가 정보보안 기본지침은 각급기관이 정보화업무 담당인력의 10% 이상을 정보보안 전담인력으로 두도록 정합니다. 2026-03-19 공개된 국회 자료에서 행정안전부는 그 기준이 요구하는 16명 중 5명만 배치돼 있었고, 광역지자체 네 곳이 함께 미달로 확인됐습니다 — 인천 8명에 4.5명 부족, 대전 9명에 4.4명 부족, 경기 9명에 0.3명 부족, 충남 5명에 1.2명 부족입니다. 확인된 다섯 곳의 배치 인원 합은 36명이고, 기준을 채우려면 21.4명이 더 있어야 합니다.

집행 표면이 없는 것은 아닙니다. 국가정보원은 152개 국가·공공기관을 대상으로 사이버보안 실태평가를 하고 2026-01-05 에 2025년도 결과를 냈습니다 — 우수 32곳, 보통 114곳, 미흡 6곳입니다. 평가 항목에는 사이버보안 전담조직 및 인력이 명시적으로 들어 있습니다.

그런데 두 명단이 거의 겹치지 않습니다. 인력 미달 5곳과 실태평가 미흡 6곳이 함께 든 것은 충청남도 한 곳뿐입니다. 미달 폭이 가장 큰 행정안전부는 미흡이 아니고, 정보보안 인력이 21명으로 전국에서 가장 많은 서울특별시는 미흡입니다. 그리고 미달이 보도된 뒤 나온 직제 개정에서 행정안전부 정보보호팀은 자리를 하나도 얻지 못했습니다. 2026-07-03 입법예고된 직제 시행규칙은 그 팀의 존속기한을 2029-03-31 로 2년 늘렸을 뿐이고, 같은 개정이 감사 기능에는 새 자리 5개를 냈습니다.

누구에게 문제인가?

기준을 정하는 곳과 정원을 내주는 곳이 다르고, 미달을 지목하는 평가와 그 평가에 값을 붙이는 제도도 서로 다른 자리에 있습니다.

어디까지가 이 문제인가?

이 경계가 중요한 이유는 기준이 없어서 생긴 자리가 아니라 기준이 있는데도 미달이 유지되는 자리이기 때문입니다.

지금 어떻고 무엇이 되어야 하나?

지금

되어야 할 상태는 지침이 이미 적어 두었습니다 — 정보화업무 담당인력 대비 10% 이상, 정보화 예산 대비 15% 이상입니다. 행정안전부의 경우 그 값이 16명입니다. 2026-05-01 시행된 개편 지침에서도 두 기준은 유지된 것으로 전해지나, 이 라운드는 그 원문을 대조하지 못했습니다.

행정안전부는 미달 사실 자체를 부인하지 않았고 대응을 수요조사로 답했습니다.

새 측정이 필요하다이행 경로: 미달 5곳이 언제까지 몇 명을 채운다는 목표 인원과 시한을 이 라운드에서 연 어떤 출처도 제시하지 않는다. 2026-03-19 행정안전부 설명자료에는 정원·현원 수치도, 완료 시점도, 목표 인원도 없다.

얼마나 큰가?

영향 인구는 20,403,604명에서 51,091,769명 사이입니다. 두 값 모두 2026-06 기준 주민등록인구를 그대로 쓴 것이고 추정치가 아닙니다.

낮은 값은 국가정보원 기준에 미달한 것으로 확인된 광역지자체 네 곳의 주민등록인구 합입니다 — 경기 13,761,783명, 인천 3,061,002명, 충남 2,138,785명, 대전 1,442,034명입니다. 전국의 39.9% 입니다. 높은 값은 전국 주민등록인구이고, 전국 단위 행정정보시스템을 소관하는 행정안전부까지 미달 기관에 넣어 읽은 값입니다.

두 값의 차이는 추정의 오차가 아니라 무엇을 미달 기관이 관리하는 범위로 볼지에 대한 읽기의 차이입니다.

곁들이는 수가 하나 있습니다. 그 노출을 실제로 지키는 자리에 앉아 있는 사람은 2026-03-19 기준 36명입니다. 단위가 다르므로 위 구간과 섞지 않습니다.

이 수는 노출이지 피해가 아닙니다. 인력 미달이 실제 침해나 중단으로 이어졌다는 것을 보인 자료를 찾지 못했고, 그래서 이 수에 어떤 사고율도 곱하지 않았습니다. 인구 수치의 1차 통계는 대조하지 못했습니다.

어떤 조건에서 생기나?

1. 기준의 종결이 노력 의무다 — 제5조 3항은 조직과 인력과 예산을 운영할 수 있도록 노력하여야 한다고 정합니다. 미달에 대한 시정명령이나 공표 의무를 정한 조문을 이 라운드에서 연 어떤 출처도 대지 않습니다. 다만 이 종결 표현을 담은 공개 페이지는 커뮤니티 위키 1건뿐이고, 수치 10%와 15%는 여러 2차 출처가 일치합니다. 수치의 등급과 문언의 등급이 다릅니다. 2. 평가 표면이 있는데 인력 축을 물지 않는다 — 실태평가에는 사이버보안 전담조직 및 인력 항목이 실제로 있고, 전담조직 확대를 이유로 2024년 보통에서 2025년 우수로 오른 공공기관이 둘 있습니다. 그런데 2026-01-05 등급표에서 인력 미달 5곳 중 미흡은 충청남도 하나입니다. 3. 미달에 값이 붙는 층이 하나뿐이다 — 공개된 배점은 공공기관 경영평가 0.6점이고, 2025년 0.25점에서 오른 값입니다. 중앙부처와 광역지자체 쪽은 정부업무평가에 반영이라고만 하고 배점을 어느 출처도 공개하지 않습니다. 4. 미흡 판정의 후속이 제재가 아니라 지원이다 — 2025년도 미흡 6곳에 대한 조치는 종합 보안컨설팅 지원입니다. 미달로 무엇을 잃은 기관의 기록을 이 라운드에서 찾지 못했습니다. 5. 자리를 만들어도 사람이 오지 않는다 — 서울시는 24시간 교대근무 담당자 5명을 네 차례 모집해 2026-03-19 기준 누적 지원자가 5명이었고 최종 충원은 1명이었습니다. 이 조건은 지자체 층에 겹쳐 있고 미달 5곳을 설명하지는 않습니다.

무엇이 시도됐나?

시도는 기준을 세우는 쪽과 사람을 뽑는 쪽 둘 다 있었고, 두 방향 모두 미달 기관의 배치 인원을 바꾸지 못했습니다.

무엇이 확인됐나?

왜 아직 안 풀렸나?

집행 부재 — 기준도 있고 평가도 있는데, 그 평가가 인력 미달을 지목하지 못합니다.

먼저 공급 부족이 주된 기제가 아닌 이유를 짚습니다. 공개된 채용 실패 사례 둘은 둘 다 미달 5곳 밖에서 나왔습니다. 서울특별시는 21명으로 전국 최다이고 10% 기준을 충족하며, 국가정보자원관리원은 미달 명단에 없습니다. 거꾸로 미달 폭이 가장 큰 행정안전부는 노동시장에 들어가지도 않았습니다 — 부족 인력 11명에 대한 별도 채용 계획이 2026-03-19 기준으로 없었고, 그다음 직제 개정은 새 자리 다섯을 감사 기능으로 보냈습니다. 모집했는데 사람이 안 온 것이 아니라 모집 자체를 하지 않았습니다.

기제는 세 단으로 폅니다.

첫째, 기준의 종결이 노력 의무입니다. 제5조 3항은 인력과 예산을 그 수준으로 운영하도록 노력하여야 한다고 적고, 예산 축을 두고는 권고하는 선언적 규정 수준이라는 서술이 따로 있습니다. 미달에 대한 처분이나 시정명령이나 공표 의무를 정한 조문을 어느 출처도 대지 않습니다.

둘째, 집행 표면은 있는데 그 표면이 이 축을 물지 못합니다. 실태평가에 사이버보안 전담조직 및 인력 항목이 실제로 있고 그것으로 등급이 오른 공공기관도 둘 있습니다. 그런데 2026-01-05 등급표에서 인력 미달 5곳 중 미흡은 충청남도 하나뿐이고, 기준 미달 폭이 가장 큰 행정안전부는 미흡이 아니며, 인력이 전국에서 가장 많은 서울특별시는 미흡입니다. 배점이 있다는 것과 그 배점이 결과를 가른다는 것은 다릅니다. 그리고 미흡을 받아도 후속조치는 종합 보안컨설팅 지원입니다.

셋째, 그래서 정원 경쟁에서 집니다. 공개된 배점은 공공기관 경영평가 0.6점 하나이고, 중앙부처와 광역지자체 쪽은 정부업무평가에 반영이라는 문장만 있습니다. 2025년도 우수 32곳이 전부 공공기관이고 중앙부처와 광역지자체는 0곳이라는 사실이 그 옆에 함께 놓입니다. 어느 것이 어느 것을 낳았는지는 어느 출처도 가르지 않으므로 여기서는 공존하는 사실로만 적습니다. 물증은 2026-07-03 직제 시행규칙 입법예고입니다. 정보보호팀은 총액인건비제 한시조직이라 행정안전부가 자기 재량으로 만들 수 있었고 2025년 6월에 실제로 만들었습니다. 미달이 보도된 뒤 그 개정에서 그 팀은 자리를 하나도 못 얻고 임차 기간만 2년 늘었고, 같은 개정이 감사 기능에는 다섯 자리를 새로 냈습니다. 권한이 없어서 못 늘린 것이 아니라 늘려야 할 이유가 다른 요구보다 약했습니다.

집행이 아예 없다는 뜻은 아닙니다. 평가는 실제로 돌고 등급도 매겨지고 결과는 정부업무평가와 경영평가에 반영됩니다. 정확히는 집행 표면이 있는데 그 표면이 이 축을 물지 않는 상태입니다.

부차 기제 둘을 함께 적습니다. 권한 분산은 실재합니다 — 행정안전부의 답변 자체가 지방정부와 인사혁신처 등 관계기관과 협력하겠다는 것입니다. 그러나 같은 부처가 총액인건비제로 팀 하나를 혼자 만들었으므로, 협력 없이 움직일 수 있는 폭이 있었고 그 폭을 쓰지 않았습니다. 처우 격차도 실재합니다 — 담당자 인용 둘과 임용 거부 1건이 그것을 말합니다. 그러나 연봉 상한을 적용하지 않은 특례 자리에서도 2024-09-17 기준 충원이 되지 않았으므로 가격만으로 설명되지 않습니다. 근무 조건과 조직 규모가 함께 걸려 있습니다.

무엇이 관찰되면 해결인가?

후보 셋 — (a) 미달 5곳의 배치 인원이 각 기관의 기준을 넘는 것 (b) 실태평가에서 인력 미달 기관이 미흡으로 지목되는 것 (c) 중앙부처와 광역지자체에 붙는 배점이 공개되고 그것이 등급 순위를 움직이는 것.

어느 것도 단독으로는 약합니다. (a)는 분모의 정의가 공개되지 않았으므로 정보화업무 담당인력을 다시 세는 것만으로도 달성될 수 있습니다. (b)는 미흡을 받아도 후속조치가 컨설팅 지원이라 기관이 잃는 것이 없고, 그래서 지목이 곧 압력이 되지 않습니다. (c)는 배점이 공개돼도 그 배점이 실제 정원 배분을 움직였는지는 직제 개정을 따로 열어 봐야 알 수 있습니다.

세 후보 모두 미달이 실제로 무엇을 낳는지를 재지 않는다는 점에서 같은 한계를 나눠 갖습니다.

무엇과 이어져 있나?

조사하면 채워진다공무원 보수 체계, 공공부문 정보화 예산 구조, 개인정보 보호 전담인력, 정부 전산망 장애 대응 역량과 이어질 것으로 보이나 관계 유형과 증거 등급을 이 라운드에서 확인하지 않았습니다.

이 출처가 말하지 않은 것

• 기준의 원문 — 152개 기관이 평가받는 문언을 담은 공개 페이지가 조사 시점에 커뮤니티 위키 1건뿐이었습니다. 국가법령정보센터에 등재된 행정안전부 정보보안지침은 조회해도 본문이 제공되지 않았고, 국가사이버안보센터가 올린 지침 파일은 텍스트를 뽑지 못했습니다.
• 분모의 정의 — 정보화업무 담당인력이 정원인지 현원인지, 용역·위탁 인력을 포함하는지, 산하기관을 포함하는지 지침도 국정원도 행정안전부도 보도도 말하지 않습니다. 보도된 부족 인원에서 되짚은 역산 분모가 기관 사이에서 앞뒤가 맞지 않습니다 — 2026-06 기준 인구 1,376만의 경기도가 약 93명, 인구 144만의 대전이 약 134명으로 잡힙니다. 둘 다 역산값이고 공표된 값이 아닙니다.
• 행정안전부 정보보호팀의 직제상 정원 — 11명 부족의 분모는 국정원 기준 16명이지 정원이 아닙니다. 그래서 열한 자리가 있는데 비어 있는 것인지 애초에 없는 것인지 어느 자료로도 가릴 수 없는데, 매체는 그것을 공석이라고 부릅니다.
• 미달에 붙는 대가 — 공개된 배점은 공공기관 경영평가 0.6점 하나입니다. 중앙부처와 광역지자체 쪽은 정부업무평가에 반영이라는 문장만 있고 몇 점인지, 어느 지표에 들어가는지, 순위를 얼마나 움직이는지 아무 출처도 말하지 않습니다.
• 지나간 시한 셋 — 범부처 정보보호 종합 대책은 공공의 정보보호 예산 확보 시점을 2026년 1분기로 적었고, 개인정보보호 기본계획은 2026년 6월 확정 예정이었으며, 행정안전부의 수요조사 답변은 2026-03-19 것입니다. 조사일 2026-08-09 기준 셋 다 지났고 이행 결과를 공표한 자료를 찾지 못했습니다.
• 예산 15% 축의 이행률 — 같은 조항의 두 축인데 보도된 것은 인력 10%뿐입니다. 예산 쪽은 권고하는 선언적 규정 수준이라는 서술 한 줄이 전부이고 실제 이행률을 공표한 자료를 찾지 못했습니다.
• 17개 광역 전부의 표 — 보도된 것은 9곳이고 나머지 8곳의 현원과 기준은 의원실 자료 원본에만 있습니다. 광역 4곳 미달이라는 말은 분모가 17일 때와 9일 때 뜻이 다른데, 분모를 보여 주는 표가 공개되지 않았습니다.
• 미달과 사고를 잇는 분석 — 침해 시도 건수와 인력 미달은 같은 매체에 실리지만, 미달 기관에서 사고가 더 났다거나 대응이 늦었다는 것을 보인 자료를 찾지 못했습니다. 2023-11-17 국가정보통신망 마비에 대한 감사원 감사도 마찬가지입니다 — 34명이 35일 동안 진행해 2025-09-29 공표한 결과는 관제 운용과 노후장비 내용연수와 소프트웨어 대가 단가를 지적했고, 정보보안 전담인력 10% 기준은 나오지 않습니다.

근거 보기

직접 연 것은 URL 열이 채워진 13건이고, 마지막 행의 지침 원문은 열지 못했습니다. 152개 기관이 평가받는 기준의 원문을 공개 경로로 읽을 수 없다는 것 자체가 이 문서의 결손 하나입니다.

어긋난 채로 남는 것 셋을 해소하지 않고 그대로 둡니다. 첫째, 인력 미달 5곳과 실태평가 미흡 6곳이 겹치는 것은 충청남도 한 곳뿐입니다. 행정안전부는 자기 기준을 11명 미달했는데 미흡이 아니고, 서울특별시는 인력이 전국 최다인데 미흡입니다. 두 값이 서로 다른 것을 재고 있거나 인력 항목의 배점이 등급을 가르지 못하는 것인데, 어느 출처도 이 어긋남을 설명하지 않습니다. 둘째, 매체는 3분의 2가 공석이라고 썼고 자료는 기준 대비 11명 부족이라고 말합니다 — 공석은 자리가 있다는 말이고 기준 대비 부족은 자리가 없어도 성립하므로, 같은 수를 가리키는 두 표현의 뜻이 다릅니다. 셋째, 전담부서 보유율을 두고 표제는 11% 감소라고 썼는데 본문의 72.73%에서 61.96%는 10.77 퍼센트포인트 하락입니다.

이 문서는 관측 레코드에 연결되지 않은 Path A 산출입니다 — observation_refs 가 비어 있고 provenance_mode 는 press-derived 입니다.

영향 인구

추정 구간 20,403,604–51,091,769 기준 시점 2026-06

민감도 구간 폭 30,688,165명은 신뢰구간도 추정 오차도 아니다. 두 값 모두 2026-06 기준 주민등록인구를 그대로 쓴 공표값이고, 갈리는 것은 미달 기관이 관리하는 것의 경계를 어디에 긋느냐다 — 낮은 값은 내가 사는 광역시·도가 미달인가로 세고, 높은 값은 내 행정 처리가 지나가는 중앙 시스템의 소관 부처가 미달인가로 센다. 이 수는 노출이지 피해가 아니다. 인력 미달이 실제 침해·유출·중단으로 이어졌다는 것을 보인 자료를 찾지 못했으므로 어떤 사고율도 곱하지 않았고, 곱할 수를 아무도 공표하지 않았다. 반대 방향으로는 이 수가 미달 기관 전체를 세지 못한다 — 확인된 것은 중앙부처 1곳과 광역지자체 4곳뿐이고 평가 대상 152곳 중 나머지 147곳의 기준 충족 여부는 공개된 표가 없다. 2024 국가정보보호백서가 중앙행정기관의 69.57%에 정보보호 전담부서가 아예 없다고 한 2023년 기준 값을 감안하면 실제 미달 범위는 이 구간보다 넓을 가능성이 크지만 그 범위를 잴 자료가 없다. 기준과 평가 대상이 광역 17곳까지여서 기초지자체는 통째로 빠져 있고, 주민등록인구는 거주자만 세므로 해당 지역에서 일하거나 행정 서비스를 받는 비거주자와 이미 전출한 데이터 주체는 잡히지 않는다. 인구 수치의 1차 통계는 대조하지 못했고, 같은 값을 싣는 2차 집계 두 곳의 시도별 수치가 서로 일치하는 것만 확인했다. 단위가 다른 곁들이는 수가 하나 있다 — 미달 5곳에 실제 배치된 정보보안 인력은 2026-03-19 기준 36명이고 기준을 채우려면 21.4명이 더 있어야 한다. 그 수는 노출된 사람이 아니라 그 노출을 지키는 자리에 앉아 있는 사람이므로 위 구간과 섞지 않는다

지역 분해 구간 하한을 이루는 광역 4곳의 인구는 지역별로 알려져 있으나 그것은 노출 인구의 지역 분해가 아니라 하한 자체의 구성항이고, 구간 상한인 전국값은 행정안전부 소관 전국 시스템의 이용이 지역별로 어떻게 분포하는지 아무 출처도 공표하지 않아 분해할 수 없다. 전국값을 인구에 비례해 쪼개는 것은 비례 배분이며, 미달 여부는 기관 단위로 정해지고 인구 분포를 따르지 않으므로 특히 근거가 없다. 미달이 확인되지 않은 13개 광역과 147개 기관의 상태도 공개된 표가 없어 지역값을 세울 수 없다