[PEDIEN] 금융분야 망분리 전면해제 로드맵이 전자금융감독규정 개정을 거쳐 생성형AI와 클라우드의 빗장을 단계적으로 풀어내면서, 2013년 이후 13년간 금융 정보기술 보안의 뼈대였던 '물리적 망 가르기'가 수명을 다하고 있다.
본지가 금융위원회 보도자료와 전자금융감독규정 개정 경과, 규제샌드박스 지정 현황, 그리고 해외 금융보안 규제 흐름을 교차 분석한 결과, 이번 전환의 본질은 단순한 규제 완화가 아니라 보안사고의 책임을 '사전 규제 준수'에서 '사후 자율보안과 결과책임'으로 옮기는 무게중심의 이동이었다.
허용 범위가 SaaS에서 생성형AI로, 다시 전면해제로 넓어지는 동안, 은행과 보험사, 핀테크가 떠안게 될 컴플라이언스 부담의 모양은 서로 전혀 다른 방향으로 갈라지고 있다.
출발점은 2024년 8월 금융위원회가 내놓은 「금융분야 망분리 개선 로드맵」이다.
당시 당국은 금융회사의 생성형AI 활용을 허용하고, 그동안 문서·인사 관리에 한정됐던 클라우드 기반 SaaS 이용 범위를 보안관리와 고객관리(CRM)까지 넓히겠다고 밝혔다.
핵심은 이 모든 변화를 한꺼번에 풀지 않고 세 단계로 나눠 밟겠다는 설계였다.
열거식으로 '해도 되는 것'만 적어두던 방식에서 목표와 원칙 중심으로 규제의 문법 자체를 바꾸겠다는 예고이기도 했다.
금융 망분리 전면해제, 무엇이 어떻게 풀리나
망분리란 업무망과 인터넷망을 물리적으로 떼어놓아 외부 침입과 내부 자료 유출을 원천 차단하는 방식을 말한다. 2011년 대형 금융사 전산망 마비와 2014년 카드사 대규모 정보유출을 겪은 뒤, 금융당국은 2013년부터 전자금융감독규정을 통해 사실상 모든 금융회사에 물리적 망분리를 의무화했다. 10년 넘게 금융 보안의 상징이었지만, 생성형AI가 업무 전면에 등장하면서 사정이 달라졌다.
인터넷 구간에서 돌아가는 최신 AI 모델을 내부 업무망으로 끌어올 길이 막혀 있었기 때문이다.
망을 가른 벽이 보안의 방패인 동시에 인공지능 전환(AX)의 족쇄가 된 셈이다.
본지가 정리한 완화의 흐름은 이렇다. 1단계는 2024년 하반기부터 규제샌드박스 특례를 통해 열렸다.
금융회사가 인터넷 환경에서 제공되는 생성형AI를 제한적으로 도입하되, 금융보안원의 보안점검과 컨설팅으로 안전성을 담보하는 방식이었다.
당국은 그해 9월 샌드박스 신청을 받아 연말부터 생성형AI 활용 과제를 지정했고, 전자금융감독규정 개정도 연내 마무리했다. 2단계는 2025년으로 넘어오며 한시적 특례를 정규 제도로 끌어올리는 단계였다.
보안검증을 전제로 가명처리된 개인신용정보까지 SaaS에서 다룰 수 있도록 문을 더 넓혔다.
실제로 2026년 1월 사전예고를 거친 전자금융감독규정 시행세칙 개정안이 같은 해 4월 20일 시행되면서, 금융보안원 평가를 통과한 SaaS는 내부 업무망에서의 사용이 공식 허용됐다.
분수령은 2026년 6월이었다.
이억원 금융위원장은 그달 10일 은행연합회 간담회에서 "보안역량을 갖춘 금융사부터 망분리를 전면 해제하겠다"고 밝혔다. 13년 만의 전면해제 선언이다.
본지가 확인한 설계안을 보면, 전면해제는 모든 금융사에 일괄 적용되는 것이 아니라 고도의 AI·보안 역량을 입증한 회사부터 단계적으로 열린다.
총자산 10조원 이상의 대형 금융사 49곳을 1차 대상으로 신청을 받아, 심사를 통과한 곳에 1년간 한시적으로 규제를 완화하고, 운영 성과가 검증되면 전면해제로 전환하는 구조다.
당국은 이 절차를 2026년 안에 실행하겠다는 목표를 제시했다.
3단계는 여기서 한 걸음 더 나간다. 「디지털 금융보안법」(가칭) 제정을 통해 자율보안과 결과책임을 법률의 뼈대로 세우겠다는 것이다.
금융회사가 스스로 위험을 평가하고 보안통제를 설계하되, 사고가 나면 그 결과에 대한 책임은 전적으로 회사가 진다.
국가정보원이 공공부문에서 추진하는 다층보안체계(MLS)와 결이 같다.
MLS는 전산시스템을 기밀·민감·공개 세 등급으로 나눠, 가장 민감한 영역엔 물리적 망분리를 유지·강화하고 그 아래 등급엔 제로 트러스트와 원격 브라우저 격리, 가상 데스크톱 같은 소프트웨어 기반 통제를 적용한다.
네트워크를 가르던 보안에서 데이터 중요도에 따라 보안 강도를 차등하는 보안으로, 축이 옮겨가는 중이다.
사전규제에서 자율보안·결과책임으로, 책임은 누가 지나
이번 전환에서 가장 묵직한 대목은 기술 허용이 아니라 책임 구조의 재편이다.
과거 체계에서 금융사는 당국이 열거한 보안 규칙을 지키기만 하면 됐다.
규정을 충족했는데 사고가 나면 1차 책임은 '규칙을 그렇게 설계한' 쪽으로 분산되는 구조였다.
반대로 지금 열리는 체계에서는 무엇을 어떻게 지킬지 회사가 직접 정하는 대신, 사고의 결과에 대한 배상과 제재를 회사가 떠안는다.
자율을 주는 만큼 책임을 분명히 묻겠다는 것이 개정의 일관된 메시지다.
본지의 첫 번째 결론은, 이 변화가 '규제 비용의 총량'을 줄이는 것이 아니라 '비용의 성격'을 바꾼다는 점이다.
물리적 장비와 분리된 망을 유지하던 고정비는 줄지만, 그 자리를 위험평가 체계와 사고 대응 역량, 그리고 배상 리스크를 흡수할 자본이 메운다.
눈에 보이던 하드웨어 비용이 눈에 덜 보이는 거버넌스 비용으로 모습을 바꾸는 것이다.
역량이 있는 회사엔 기회지만, 그렇지 못한 회사엔 오히려 더 무거운 짐이 될 수 있다.
두 번째 결론은, 자율보안 체계가 사실상 '역량의 양극화'를 제도화한다는 것이다.
전면해제가 총자산 10조원 이상 대형사부터 열린다는 설계 자체가 이를 드러낸다.
전담 보안조직과 전문 인력, 자체 AI 인프라를 갖춘 상위권 금융사는 완화의 과실을 먼저 따먹지만, 그런 토대가 얕은 중소형 금융사와 지역 금융기관은 출발선에서부터 뒤처진다.
규제가 모두에게 같은 벽을 세우던 시대가 저물고, 역량에 따라 허용 범위가 달라지는 시대가 온 것이다.
세 번째 결론은, 사후 배상체계로의 이동이 보험과 법률 비용이라는 새로운 지출 항목을 키운다는 점이다.
사이버 배상책임보험 수요가 늘고, 사고 시 책임 소재를 가리기 위한 계약서상 면책·구상 조항이 복잡해진다.
특히 SaaS와 외부 AI 서비스를 쓰는 순간, 제3자인 클라우드 사업자와 금융사 사이의 책임 배분이 분쟁의 핵심 쟁점으로 떠오른다.
유럽연합이 디지털운영복원력법(DORA)에서 핵심 제3자 리스크 관리를 의무화한 것도 같은 고민의 산물이다.
해외는 어떻게 하고 있나, 세 나라의 선택
한국의 전환을 가늠하려면 앞서간 나라들을 봐야 한다.
유럽연합은 2025년 본격 시행에 들어간 DORA를 통해 가장 촘촘한 길을 택했다.
ICT 위험관리, 사고 보고, 복원력 테스트, 제3자 리스크 관리, 정보 공유라는 다섯 기둥을 법률로 못 박고, 계약 조항과 정보 등록부(Register of Information)까지 규정했다.
규칙 기반의 통일된 청사진을 제시한 셈이다.
자율을 넓히면서도 사고 보고와 제3자 통제는 오히려 법으로 더 조인 것이 특징이다.
영국은 반대편에 선다.
금융행위감독청(FCA)과 건전성감독청(PRA)은 '중요 업무서비스'와 '감내 가능한 중단 한도(impact tolerance)'를 중심으로, 결과를 보고 판단하는 원칙 중심 접근을 택했다.
무엇을 어떻게 지킬지 세세히 적지 않는 대신, 서비스가 실제로 견뎌낼 수 있는지를 기준으로 삼는다.
싱가포르는 또 다른 길이다.
통화청(MAS)의 기술위험관리(TRM) 가이드라인은 법률이 아니라 지침의 형태로, 금융사가 자체 위험관리 프로그램을 설계할 넓은 재량을 준다.
복원 목표와 사고 보고를 강조한다는 점에서 DORA와 닿아 있지만, 강제의 강도는 훨씬 유연하다.
본지가 세 나라를 교차 분석한 결과, 한국의 선택은 유럽의 '법제화'와 영국·싱가포르의 '원칙·자율' 사이 어딘가에 놓인다.
디지털 금융보안법으로 자율보안을 법률에 담으려 한다는 점은 유럽에 가깝지만, 역량을 입증한 회사부터 차등 허용한다는 점은 원칙 중심 쪽에 가깝다.
다만 어느 나라도 '전면해제'라는 표현을 앞세우진 않았다.
복원력과 제3자 통제라는 안전장치를 함께 깔고 나서야 자율을 넓혔다는 점을, 본지는 한국이 놓치지 말아야 할 대목으로 본다.
은행·보험·핀테크, 전략은 어떻게 갈리나
같은 규제 완화를 두고도 업권별 셈법은 확연히 다르다.
먼저 대형 은행이다.
총자산 10조원 이상 49개사의 다수가 여기 속한다.
이들은 수년간 자체 AI 조직과 클라우드 전환에 공을 들여온 터라, 전면해제의 과실을 가장 먼저, 가장 크게 가져갈 집단이다.
다만 책임도 그만큼 무겁다.
수천만 고객의 계좌정보를 다루는 만큼, 자율보안 체계에서 사고가 나면 배상 규모와 평판 손상이 치명적이다.
본지 분석으로는, 대형 은행의 전략은 '빠른 도입'보다 '검증 가능한 도입'에 방점이 찍힐 수밖에 없다.
규제가 사라진 자리를 내부 통제와 이사회 보고의무, 사고 대응 체계로 스스로 채우는 것이 생존의 조건이 된다.
보험사는 결이 다르다.
상당수 보험사는 은행만큼 실시간 거래 리스크가 크지 않지만, 질병·사고 이력 같은 민감정보를 대량으로 보유한다.
생성형AI로 언더라이팅과 보험금 심사를 자동화하려는 유인은 크되, 민감정보가 외부 AI 구간으로 흘러갈 때의 위험은 은행 못지않다.
보험업권의 선택은 가명정보 활용과 데이터 등급 분류에서 승부가 갈릴 전망이다.
어떤 데이터를 어느 등급으로 묶어 어디까지 AI에 노출할지를 정교하게 설계한 회사와, 경계가 모호한 회사 사이의 격차가 벌어진다.
핀테크와 전자금융업자는 가장 역동적이면서도 가장 취약한 지대다.
이들에게 망분리 완화와 SaaS 허용은 숨통을 틔우는 소식이다.
무거운 전용 인프라 없이 클라우드 위에서 서비스를 빠르게 올릴 수 있기 때문이다.
그러나 자율보안·결과책임 체계는 자본과 인력이 얇은 핀테크에 더 가혹하게 작동할 수 있다.
사고가 났을 때 배상 여력이 부족하면 한 번의 사고가 회사의 존립을 흔든다.
본지의 결론은, 핀테크의 생존 전략이 '보안역량의 외주화'와 '책임의 명확한 계약화'로 수렴하리라는 것이다.
금융보안원 평가를 통과한 SaaS와 검증된 클라우드를 골라 쓰고, 사업자와의 계약에서 책임 배분을 못 박는 역량이 곧 경쟁력이 된다.
지역은행·저축은행·소규모 금융회사는 가장 조용하지만 가장 어려운 처지다.
전면해제의 1차 대상에서 비켜나 있는 데다, 자율보안 체계를 혼자 꾸릴 여력도 빠듯하다.
규제가 느슨해질수록, 규제를 스스로 대체할 역량이 없는 쪽의 상대적 부담은 커진다.
본지는 이 지점을 이번 전환의 가장 취약한 고리로 본다.
당국이 공동 보안 인프라나 업권 공용 평가체계 같은 보완장치를 함께 깔지 않으면, 완화의 혜택은 상위권에 쏠리고 위험은 하위권에 남는 비대칭이 굳어질 수 있다.
함의와 과제
정리하면, 금융 망분리 전면해제는 '벽을 허무는 사건'이 아니라 '벽을 책임으로 대체하는 사건'이다.
물리적 분리가 사라진 자리에 들어서는 것은 자유가 아니라, 스스로 설계하고 스스로 책임지는 더 복잡한 질서다.
금융사에 지금 필요한 것은 생성형AI 도입 속도 경쟁이 아니라, 데이터 등급 분류 체계와 위험평가 프로세스, 그리고 사고가 터졌을 때 손실을 흡수할 자본과 보험이라는 하부구조다.
이 토대가 얕은 채로 규제의 문만 열면, 완화는 곧 사고의 통로가 된다.
당국에도 숙제가 남는다.
전면해제의 속도와 자율보안의 성숙도가 발맞추지 않으면, 역량 격차가 곧 보안 격차로 번진다.
상위 금융사엔 자율을, 중소 금융사엔 공동의 안전망을 제공하는 '두 갈래 설계'가 필요하다.
아울러 사고 책임을 사후에 묻는 체계가 제대로 작동하려면, 배상 기준과 제3자 책임 배분의 원칙이 디지털 금융보안법 안에 분명히 담겨야 한다.
규제를 풀되 책임의 지도를 더 또렷하게 그리는 일, 그것이 이번 전환의 성패를 가를 것이다.
검증 노트
본 기사는 2026-10-14 기준으로 작성됐다.
금융위원회 「금융분야 망분리 개선 로드맵」 보도자료(2024년 8월)와 전자금융감독규정 시행세칙 개정안(2026년 1월 사전예고·4월 20일 시행), 2026년 6월 10일 은행연합회 간담회에서의 금융위원장 전면해제 발표, 국가정보원 다층보안체계(MLS) 로드맵, 그리고 유럽연합 DORA·영국 FCA·싱가포르 MAS TRM 등 해외 금융보안 규제 자료를 교차 확인했다.
전면해제 1차 대상(총자산 10조원 이상 49개사)과 1년 한시 완화 후 전환이라는 절차는 당국 발표와 복수 언론 보도를 대조해 확인한 사실이며, 디지털 금융보안법은 제정 추진 단계의 가칭임을 밝힌다.
세부 일정과 대상 범위는 심사 결과에 따라 달라질 수 있다.
본 기사의 verdict는 VERIFIED(1차 자료 교차 확인).
편집국