1. 망분리 규제, 12년 만에 흔들리는 이유

2013년 전산망 마비가 만든 12년의 장벽

금융권 망분리 의무는 2013년 3월 20일 발생한 대규모 전산망 마비사태—당시 방송사와 금융사 전산망이 동시에 다운된 사건—가 직접적 계기였습니다. 내부 업무망과 인터넷망을 물리적으로 완전히 끊어놓는 이 규제는 실제로 외부 침투를 차단하는 데 효과를 발휘했고, 이후 금융권의 보안 사고 건수를 눈에 띄게 줄이는 성과를 냈습니다.

그러나 2020년대에 들어서자 이 규제는 ‘갈라파고스 규제’라는 비판의 핵심 표적이 됐습니다. 글로벌 기업들은 Slack, Google Workspace, Microsoft 365, Zoom 같은 클라우드 SaaS를 업무 기본 인프라로 쓰는데, 한국 금융사들은 화상회의 하나도 별도 승인을 받아야 하는 상황이었습니다. 해외 지사와 실시간 협업조차 법적으로 막혀 있었고, AI 기반 분석 도구도 규제에 걸렸습니다.

금융위는 2024년 8월에 이미 「금융분야 망분리 개선 로드맵」을 통해 단계적 완화 방침을 예고했으며, 2023년 9월부터 32개 금융회사가 총 85건의 혁신금융서비스(샌드박스)를 통해 SaaS를 운영한 경험이 쌓이자 이를 바탕으로 2026년 1월 제도화를 결정한 것입니다.

▲ 목차로 돌아가기

2. 2026년 개정안 핵심: 무엇이 허용되나?

샌드박스 없이 SaaS를 쓸 수 있는 세상

개정의 핵심은 단 하나입니다. 「전자금융감독규정시행세칙」 제2조의3 제1항에 새로운 예외 사유가 신설됩니다. ‘이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 SaaS 이용 목적의 경우’에는 망분리 규제를 적용하지 않는다는 내용입니다. 쉽게 말해, 금융사 내부 직원들이 쓰는 업무 도구라면—고객 정보를 직접 다루지 않는 한—이제 클라우드 기반으로 돌려도 된다는 얘기입니다.

이전까지는 카카오워크, Zoom, Notion, Google Workspace, Slack 등을 업무망에서 쓰려면 개별적으로 혁신금융서비스 지정을 받아야 했고, 이 과정에서 최소 수개월에서 수년이 소요됐습니다. 개정이 시행되면 이 반복적인 행정 절차 없이 별표 7 통제사항만 충족하면 즉시 도입이 가능해집니다.

▲ 목차로 돌아가기

3. 절대 건드리면 안 되는 영역: 적용 제외 범위

개인신용정보·고유식별정보 처리 SaaS는 여전히 금지

이번 망분리 완화가 전면 개방을 의미하지는 않습니다. 법문에 명확히 적시된 예외—고유식별정보(주민번호, 여권번호 등) 또는 개인신용정보(신용등급, 대출내역, 거래기록 등)를 처리하는 SaaS—는 이번 완화 대상에서 철저히 제외됩니다. 코어뱅킹 시스템, 여신심사 플랫폼, 대고객 금융서비스 앱의 백엔드, CRM에 고객 신용정보가 연동된 시스템은 모두 여기에 해당합니다.

실무상 가장 주의해야 할 함정이 바로 여기 있습니다. 표면적으로는 ‘내부 업무용’이라 생각하고 SaaS를 붙였는데, 해당 도구가 내부 시스템과 연동되면서 개인신용정보 데이터를 간접적으로 처리하게 되는 경우가 생각보다 많습니다. 인사 SaaS라도 직원의 급여 계좌 정보 등이 연동된다면 적용 제외 판정을 받을 수 있습니다. SaaS 도입 전 데이터 분류 체계를 먼저 정비해야 하는 이유가 바로 이것입니다.

▲ 목차로 돌아가기

4. 10가지 정보보호통제 의무 완전 정리

허용은 해줬지만 의무도 10배로 늘었다

금융권 망분리 완화의 대가는 바로 ‘별표7 이행 의무’입니다. 개정 시행세칙 별표7에 신설된 내부업무망 SaaS 정보보호통제사항은 총 10개 항목이며, 이를 반기 1회 자체 평가하고 정보보호위원회(CISO 위원장)에 보고해야 합니다. 이 의무를 이행하지 않으면 규제 완화 혜택을 누릴 수 없을 뿐 아니라 감독당국의 검사 대상이 될 수 있습니다.

이 10가지 항목은 단순한 체크리스트가 아닙니다. 감독당국은 향후 검사 시 물리적 망분리 유지 여부가 아니라, 이 별표7 통제의 실질적 이행 여부를 중점 점검할 것이라는 점을 이미 공식적으로 예고했습니다. 결국 통제를 갖추지 않고 SaaS를 도입했다가 보안사고가 나면, 금융사가 오롯이 책임을 져야 하는 구조입니다.

▲ 목차로 돌아가기

5. 금융사가 지금 당장 해야 할 3가지 준비

SaaS 도입 전 반드시 선행되어야 할 내부 정비

개정안이 시행되면 문서 하나 더 쓰지 않아도 됩니다. 하지만 막상 SaaS를 도입하려면 내부적으로 준비해야 할 것들이 생각보다 많습니다. 법무법인 세종과 다주 법률사무소 등 전문가 그룹이 공통적으로 지적하는 3가지 핵심 준비 사항을 정리했습니다.

▲ 목차로 돌아가기

6. 생성형 AI 허용은 언제? 다음 로드맵 전망

이번은 1단계—진짜 혁신은 아직 잠겨 있다

솔직히 말하자면, 이번 망분리 완화는 금융 산업 전체 입장에서 ‘기대했던 것의 절반’입니다. 2024년 망분리 개선 로드맵에는 생성형 AI 활용 확대, 연구·개발 환경 개선, 개인신용정보 처리 허용 등 더 근본적인 과제들이 포함되어 있었습니다. 그러나 2025년 하반기부터 잇따른 해킹·보안 사고가 이슈화되면서 관련 논의 속도가 눈에 띄게 조절됐습니다.

금융위는 “생성형 AI 등 추가적인 망분리 개선과제도 최대한 신속하게 성과가 나타날 수 있도록 금융권과 긴밀히 협의할 계획”이라고 밝혔지만, 구체적인 시기는 언급하지 않았습니다. 로드맵 단계별 과제 중 ‘제3자 리스크 관리 강화’와 ‘디지털금융보안법 제정’은 아직 입법 단계에도 이르지 못했습니다. 개인정보 처리가 포함된 생성형 AI 도입이 법제화되려면 최소 2027년 이후가 될 것이라는 관측이 업계에서 나오고 있습니다.

그럼에도 이번 1단계 조치 자체는 분명한 전환점입니다. ‘물리적 망분리’라는 규범적 틀에서 ‘보안통제 이행 기반의 자율책임’이라는 패러다임으로 넘어간 것은 사실이기 때문입니다. 앞으로 감독당국은 “망을 분리했는가?”가 아니라 “통제 체계를 제대로 운영하고 있는가?”를 묻게 됩니다. 이 관점의 전환이 이번 개정이 남긴 가장 중요한 변화입니다.

▲ 목차로 돌아가기

7. Q&A: 실무에서 가장 많이 묻는 5가지

▲ 목차로 돌아가기

8. 마치며: 규제 완화가 아니라 책임 전환이다

2026년 금융권 망분리 완화를 두고 시장에서는 “드디어 빗장이 열렸다”는 환호가 나옵니다. 맞는 말이지만, 절반만 맞는 말입니다. 문이 열린 것은 맞는데, 문 뒤에는 ’10가지 통제 의무’라는 새로운 책임이 기다리고 있습니다. 이번 제도 개편의 본질은 ‘규제 완화’가 아니라 ‘규제 방식의 전환’—당국이 통제하던 방어선을 금융사 내부로 이전한 것입니다.

개인적인 관점을 더하자면, 이번 개정에서 가장 아쉬운 것은 ‘타이밍’입니다. 생성형 AI 도구를 업무에 본격 활용하고 싶은 금융사 실무자 입장에서는 여전히 갈 길이 멉니다. 고객 데이터와 분리된 내부 업무 SaaS만 허용됐을 뿐, 진짜 업무 혁신의 핵심인 AI 기반 데이터 분석·의사결정 지원 도구들은 아직 벽 앞에 서 있습니다. 2027년 이후를 기약하며 준비해야 할 부분입니다.

그러나 지금 할 수 있는 것부터 철저히 하는 것이 맞습니다. 데이터 분류 체계 정비, 별표7 내규 편입, 클라우드 사업자 계약 재검토—이 3가지를 선제적으로 마무리한 금융사가 다음 단계 규제 완화에서도 가장 먼저 혜택을 누릴 것입니다. 준비된 자에게만 완화는 기회가 됩니다.

▲ 목차로 돌아가기