ISMS-P 데일리 카드뉴스

2026.08.28 금요일 · 금융 오늘의 키워드: 내부업무망 SaaS 허용 · 금융보안원 평가 · 망분리 예외의 대체통제

핵심 판단

금융위원회의 「금융분야 망분리 개선 로드맵」(2024.8)이 단계적으로 집행되면서, 2026년 4월 20일부터 금융보안원 평가를 통과한 SaaS에 한해 내부업무망에서의 사용이 공식 허용됐다. 개별 샌드박스 신청 없이도 내부업무용 SaaS를 쓸 수 있게 된 것이다.

다만 완화된 것은 절차이지 통제가 아니다. 고객 정보가 직접 연계되는 코어뱅킹·대고객 서비스 영역은 여전히 망분리가 적용되며, 그 영역의 SaaS 활용은 별도 샌드박스 절차를 거쳐야 한다.

심사에서 이 구분을 흐리는 순간 결함이 된다. "망분리 완화됐다"는 말은 심사 답변이 아니다.

오늘의 픽 — 예외를 받았다면, 대체통제를 증명해야 한다

망분리예외 SaaS 2.6.1

망분리 예외는 통제 면제가 아니라 통제 대체다. 확인해야 할 것은 세 겹이다.

층	확인 사항
적용 범위	어떤 SaaS가, 어느 망에서, 어떤 업무에 쓰이는가
자격	금융보안원 평가를 통과한 서비스인가. 평가 시점·유효성은
대체통제	계정·인증, 데이터 반출 통제, 로그, 단말 통제가 예외 조건대로 적용되는가

특히 경계가 흐려지는 지점을 봐야 한다. 내부업무용으로 도입한 SaaS에 고객 정보가 흘러 들어가는 순간, 그 SaaS는 더 이상 내부업무용이 아니다.

심사원 관점 — 무엇을 확인할 것인가

2.6.1 네트워크 접근: 망 구성도가 실제 SaaS 연결 경로를 반영하는가.
2.10.2 클라우드 보안: 책임공유 모델에 따른 이용자 측 설정 통제가 정의·점검되는가.
2.8.1 보안 요구사항 정의: SaaS 도입 시 보안 요구사항과 평가 결과 확인 절차가 있는가.

원본: 법률신문 — 망분리 규제 개선에 관한 전자금융감독규정시행세칙 개정

브리핑 — 오늘 함께 볼 이슈

(1) 도입 절차가 쉬워지면 자산 목록이 깨진다

샌드박스 신청이라는 관문이 사라지면 현업이 직접 SaaS를 늘린다. 자산 목록과 실제 사용 SaaS의 괴리가 이 완화의 첫 번째 부작용이다.

심사 포인트: SaaS 도입 승인 절차, 자산 목록 반영 트리거 (1.2.4, 2.8.1).

(2) 데이터가 어디까지 나가는가

내부업무용 SaaS도 문서·일정·대화 속에 고객 정보가 섞일 수 있다. 업로드 통제와 DLP, 그리고 저장 위치(리전) 확인이 필요하다.

심사 포인트: 반출 통제, 국외 저장 여부와 위탁·국외이전 근거 (2.10.2).

(3) 금융보안원 평가는 시점이 있는 자격이다

평가 통과는 영구 자격이 아니다. 평가 시점과 갱신 여부를 확인하지 않으면 "통과한 서비스"라는 답변이 현재형인지 과거형인지 알 수 없다.

심사 포인트: 평가 결과 문서의 발행일과 유효 범위 (2.8.1).

심사원 실무 공지 (금융보안원)

Drive 자료실 03. 가이드·해설 / 금융보안에 관련 자료가 있다.

「금융분야 클라우드컴퓨팅서비스 이용 가이드」(2025 개정)
「내부업무망 SaaS 망분리 예외 적용에 따른 보안 해설서」
「연구·개발 목적의 망분리 예외 적용에 따른 보안 해설서(변경)」

원본: 금융보안원 자료마당 — 가이드

오늘의 심사 체크포인트

적용 범위 — 내부업무망 SaaS 목록과 사용 업무 (2.6.1)
평가 자격 — 금융보안원 평가 결과·발행일·유효 범위 (2.8.1)
경계 구분 — 코어뱅킹·대고객 영역과의 분리 유지 (2.6.2)
대체통제 — 계정·인증·로그·단말 통제 적용 증적 (2.6.1)
데이터 반출 — 업로드 통제, 저장 리전, 국외이전 근거 (2.10.2)
도입 절차 — SaaS 승인·자산등록 트리거 작동 (1.2.4)

인증기준	연계 근거	비고
2.6.1 네트워크 접근	망분리 예외	대체통제
2.6.2 정보시스템 접근	영역 구분	코어뱅킹 분리
2.10.2 클라우드 보안	SaaS 이용	책임공유·반출
2.8.1 보안 요구사항 정의	도입 심사	평가 결과 확인
1.2.4 보호대책 선정	예외 승인	위험 대비 대책

원본 링크 (추가 확인용)

망분리 규제 개선 시행세칙 개정 — 법률신문 → https://www.lawtimes.co.kr/news/articleView.html?idxno=215334
금융 분야 망분리 개선 로드맵 설명회 — 보안뉴스 → https://m.boannews.com/html/detail.html?tab_type=1&idx=132227
금융보안원 자료마당 가이드 → https://www.fsec.or.kr/bbs/detail?menuNo=222
금융보안원 보도자료 → https://www.fsec.or.kr/bbs/detail?menuNo=69
국가법령정보센터 → https://www.law.go.kr

<sub>본 카드뉴스는 공개된 정부·법령·법률사무소 공개자료를 심사원 실무 관점에서 요약한 것으로, 법적 해석·자문을 대체하지 않습니다. 허용 범위와 적용 시점은 전자금융감독규정 원문과 금융보안원 공지로 재확인하세요.</sub>

ISMS-P 데일리 뉴스(2026년08월28일)

문서 본문