｢금융분야 망분리 개선 로드맵｣ 발표 - 금융권 망분리 10년, “혁신과 보안의 새로운 균형으로의 도약” - 금융권도 생성형 AI를 활용한 혁신적인 금융서비스 출시 가능 - “자율보안-결과책임” 원칙에 입각한 新 금융보안체계 구축 ◈ 금융회사 등의 생성형 AI 활용 을 허용 하고, 클라우드 (SaaS) 이용 범위 를 대폭 확대 하며, 연구·개발 환경 을 적극 개선 ◈ 중·장기적으로는 금융보안 법·체계를 전면 개편 하는 등 자율보안-결과 책임 원칙 으로의 규제 선진화 방향을 제시하고, 금융회사 등 이 자체적인 역량 강화 를 통해 미리 대비 할 수 있도록 지원 `24년 8월 13일(화), 금융위원회는 김병환 금융위원회 위원장 주재로 민간 보안 전문가들과 금융협회, 금융감독원, 금융보안원 등 유관기관이 참여한 가운데 ｢ 금융분야 망분리 개선 로드맵 ｣을 발표 하였다.
【 금융분야 망분리 개선 로드맵 발표 행사 개요 】
- 일시 / 장소 : 2024.8.13.(화) 14:00 / KB 국민은행 통합 IT센터(김포)
- 참석자 :
【금융위원회】
김병환 금융위원장 (주재) , 디지털금융정책관
【유관기관】
금융감독원, 금융보안원
【업계 】
금융협회 (은행, 보험, 여신, 금융투자, 핀테크)
【민간전문가 】
금융연구원 부원장, 신용정보원 AI 센터장, 김홍선 前안 랩 CEO, 박춘식 교수 금융위원회는 그동안 여러 차례 에 걸친 간담회 등을 통해 금융 보안 규제 에 따른 금융회사 등의 애로를 직접 청취 하였으며, ｢금융권 망분리 TF ｣ 를 운영하여 보안전문가, 업계, 유관기관 등으로부터 의견을 수렴하였다. 그간 논의된 내용을 종합적으로 반영하여 망분리 개선 을 위한 세부 추진과제 와 금융보안체계의 선진화 방향을 담은 로드맵을 마련 하였다.
`24.4~6월동안 금융위원회, 디지털플랫폼정부위원회, 금융감독원, 금융보안원, IT 및 보안 전문가, 학계, 법조계, 금융 업권 등과 함께 망분리 개선 방향 논의
추진 배경 망분리로 인해 금융회사 및 전자금융업자 (이하 “금융회사 등”) 의 업무상 비효율 이 클 뿐만 아니라, 신기술 활용 이 저해되고 연구·개발 이 어렵다는 규제 개선요청 이 지속 제기 된 바 있다. 특히, 소프트웨어 시장 이 자체 구축형에서 클라우드 기반의 구독형 (SaaS) 으로 빠르게 전환 되고 생성형 AI 의 활용이 산업의 미래를 좌우 하는 상황에서, 망분리 는 업무상 불편을 넘어 금융경쟁력 저하 요인 으로 지적 받고 있다. 또한, 일부 금융회사 등은 인터넷 등 외부 통신과 분리된 환경만을 구축해 놓고 선진 보안체계 도입 에 소홀 하거나, 규제 그늘 에 숨어 변화하고 있는 IT 환경 에 부합하는 보안 조치 도 적절히 갖추지 않는 등 오히려 금융권 보안 발전 이 저해 되는 부작용 이 존재하는 상황이다. 금융권 망분리 도입 이후 약 10년 이 경과 한 지금, 금융당국은 낡은 규제 를 개선 하고 중·장기적 으로 금융 보안 법·제도 를 전면 개편 하는 등 혁신 과 보안 의 새로운 균형 을 찾기 위한 패러다임 전환 을 추진 할 계획이라고 밝혔다.
샌드박스를 통하여 규제 애로 즉시 해소 + 별도 보안대책 병행 현행 금융보안체계 가 오랜 기간동안 인터넷 등 외부통신 과 분리된 환경 을 전제 로 구성 되어 온 점을 고려 하여, 급격한 규제 완화보다는 단계적 개선 을 추진한다. IT 환경 변화로 인해 신속한 대응 이 필요 한 과제 는 샌드박스 등을 활용 하여 규제 애로 를 즉시 해소 하되, 자율보안체계 확립 까지는 시간 이 소요 되므로 보안 상의 문제 가 없도록 별도의 보안대책 등 충분한 안전장치 를 마련할 예정이다. 첫째, 금융회사 등의 생성형 AI 활용을 허용한다. 대부분의 생성형 AI 가 클라우드 기반 의 인터넷 환경 에서 제공되는 반면, 국내 금융권 은 인터넷 등 외부 통신 활용 제한 등 으로 인해 생성형 AI 도입 에 제약 이 있는 상황이다. 이에, 샌드박스 를 통해 인터넷 활용 제한 등 에 대한 규제 특례 를 허용한다. 이와 함께, 예상되는 리스크에 대한 보안대책 을 조건 으로 부과하고 금융 감독원·금융보안원이 신청 기업별 보안 점검·컨설팅 을 실시하는 등 충분한 안전장치 를 마련할 계획이다. 둘째, 클라우드 기반의 응용 프로그램 (SaaS) 이용 범위를 대폭 확대한다. 기존에는 문서관리, 인사관리 등 비중요 업무 에 대해서만 SaaS 이용이 허용되고, 고객 개인신용정보 를 처리할 수 없는 등 엄격한 샌드박스 부가조건 이 부과되어 활용 이 제한 되었다. 이에, 보안관리, 고객관리 (CRM) 등의 업무까지 이용 범위 를 확대 하고, 가명정보 처리 및 모바일 단말기 에서의 SaaS 이용까지 허용하는 등 SaaS 활용도 를 제고 할 예정이다. 마찬가지로, 규제 특례 확대 에 따른 보안 우려 에 대응하기 위해 보안대책 을 마련하여 샌드박스 지정 조건 으로 부과할 계획이다. 셋째, 금융회사 등의 연구·개발 환경을 개선한다. `22.11월 연구·개발 환경 에서 인터넷 을 자유롭게 활용 할 수 있도록 한차례 규제가 개선되었으나, 연구·개발 환경의 물리적 분리 및 개인신용정보 활용 금지 등에 따라 고객별 특성·수요에 맞는 혁신적인 서비스 연구·개발 에 제약 이 크다는 지적이 지속 제기되었다. 이에, ｢전자금융감독규정｣을 개정하여 금융회사 등이 연구·개발 결과물 을 보다 간편하게 이관 할 수 있도록 물리적 제한 을 완화 하고, 가명정보 활용을 허용 하는 등 혁신적인 금융상품 을 개발 할 수 있는 환경 을 제공 하고자 한다. < 참고 : 망분리 개선 단기 추진 과제 종합 구성도 >
2단계 샌드박스에서는 개인신용정보까지 활용 확대 가명정보 활용을 허용한 1단계 샌드박스의 운영 성과 와 안전성 이 충분히 검증 될 경우, 빠르면 내년에는 2단계 샌드박스 를 추진하여 금융회사가 가명정보가 아닌 개인신용정보까지 직접 처리 할 수 있도록 규제 특례 의 고도화 도 추진 한다. 다만, 데이터 활용 범위 증가 에 따른 추가 보안대책 등도 함께 부과할 예정이다.
샌드박스 운영 경험 등을 토대로 금융보안체계의 선진화 추진 : “목표·원칙 중심”의 보안규제, “자율보안-결과책임” 원칙에 입각한 보안체계 구축 누적된 샌드박스 사례를 통해 혁신성, 소비자 편익, 리스크 관리 등이 충분히 검증 된 과제 는 정규 제도화 하고, 중·장기적으로는 별도의 금융보안법 (가칭 “｢디지털 금융보안법｣”)을 마련하여 “자율보안-결과책임” 원칙 에 입각한 新 금융보안체계 를 구축 해 나갈 계획이다. 열거식 행위 규칙 (Rule) 중심의 금융보안 규제를 목표·원칙 (Principle) 중심 으로 전환 하고, 금융회사 등 은 자체 리스크 평가 를 바탕으로 세부 보안 통제 를 자율적 으로 구성 할 수 있도록 한다. 다만, 금융회사 등에 부여된 자율에 따른 책임 은 강화 할 필요가 있다. 중요 보안사항 의 CEO·이사회 보고의무 등 금융회사 등의 내부 보안 거버 넌스 를 강화 하고, 전산 사고 발생시 배상책임 확대 및 실효성 있는 과징금 도입 등 법적 근거 마련 을 통해 금융회사 등의 보안 노력 제고 를 유도 할 예정이다. 한편 , 금융당국 은 금융회사 등의 자율보안체계 수립·이행 을 검증 하여 미흡 한 경우 시정요구ㆍ이행명령 을 부과하고 불이행시 엄중 제재 하는 등 금융권 보안 수준 강화 를 위해 지속 노력 해 나갈 것이다. 또한, 제3자 리스크 (3rd-party risk
) 에 대한 관리 를 강화 하기 위하여 제도를 정비한다. AI, 클라우드, 데이터센터 등 금융권의 제3자 에 대한 정보처리 위탁 이 지속적으로 증가하는 만큼 이에 대한 리스크 관리방안 이 필요하다. EU·영국 등 해외 선진사례 연구 를 토대로, 국내 환경 에 맞는 도입 방향 을 검토 하여 관련 제도 정비 를 추진하고자 한다.
非금융부문의 장애 발생, 정보 유출 등의 사고가 금융 부문으로 전이되는 리스크
기대 효과 첫째, 금번 망분리 개선을 통해 금융산업 전반의 경쟁력 이 크게 제고 될 것으로 기대 된다. AI와 클라우드 (SaaS) 기반의 업무 자동화, 전사적 경영관리 (ERP : Enterprise Resource Planning) , 준법 감시 프로그램 등 도입에 따라 금융권 의 업무 생산성 이 향상 되고, 빅데이터 분석 등 금융 데이터의 활용 도 증가 할 것으로 예상된다. 또한, 인터넷 접속이 자유롭게 허용되는 연구·개발망 의 활용도 제고 에 따라 금융회사 등의 IT 개발 이 활성화 될 수 있으며, 연구·개발 환경 개선에 따른 금융권의 우수 IT 인력 유치 효과 까지 기대된다. 둘째, 망분리 개선의 이익이 금융산업 뿐만 아니라 금융소비자의 효용 증진 으로 이어질 수 있도록 유도해 나갈 계획이다. 생성형 AI를 활용한 데이터 분석·예측 모델 고도화를 통해 다양한 특화 보험 상품을 개발하고, 신용평가모델 고도화를 통해 중금리 대출의 저변을 확대하는 등 금융 사각지대 해소 에 기여 할 것으로 기대된다. 뿐만 아니라, 금융권은 생성형 AI를 활용한 이상금융거래탐지시스템 (FDS : Fraud Detection System) 고도화 를 통해 부정거래, 신종사기 시도 등을 보다 효과적으로 차단하는 등 금융소비자 보호 를 강화 할 수 있다.
향후 계획 금융당국 은 8월 22일 (목) 전 업권 업무 설명회
를 시작으로, 9월까지 업권 별로 업무 설명회 를 개최 하고, 규제샌드박스 신청 기업별 보안 역량, 사업 구조 등을 고려하여 부가 조건으로 지켜야 할 보안대책 등 에 대한 컨설팅 을 제공할 예정이다.
구체적인 시간, 장소 및 진행 방식 등은 협회를 통해 안내할 예정이며, 금융보안원 홈페이지(fsec.or.kr)를 통해서도 공지할 예정 그리고, 9월 중 규제샌드박스 신청 을 접수 받아 연내 신규 과제 에 대한 혁신 금융서비스 를 지정 하고자 한다. 이에 따라, 빠르면 올해 말 부터 금융권 에서도 생성형 AI 활용 이 가능해 질 것으로 예상된다. 더불어, 연말까지 연구·개발 환경 개선 등을 위한 ｢ 전자금융감독규정｣ 개정 절차 또한 차질 없이 수행할 계획이며, 新 금융보안체계 구축을 위한 연구용역 등을 거쳐 금융보안 법·체계 개편 을 추진 해 나갈 예정이다. 김병환 금융위원장 은 “ 클라우드 , 생성형 AI 등 급변 하는 IT 환경변화 에 대응 하기 위해 보 다 효과적인 망분리 개선 방안 이 필요한 시점 ”이라고 언급하면서, “특히 모든 정책은 글로벌 스탠다드 관점에서 정비해 나간 다는 기조 하에, 우리나라에만 존재하는 대표적인 갈라파고스 규제 를 과감하게 개선 할 필요가 있다”고 말했다. 또한, “ 이번 망분리 개선 로드맵 이 금융산업 의 경쟁력 제고 와 금융 소비자 의 효용 증진 으로 이어질 것”으로 기대 하며, “어렵게 규제를 개선 하는 만큼 금융업권 도 보안사고 없이 새로운 제도 가 잘 안착 할 수 있도록 힘써주시길 바란다 ”고 당부 했다.
금융분야 망분리 개선 로드맵 관련 자세한 내용은 별첨 자료 를 참고해 주시기 바랍니다. [별첨] 1. 금융위원장 모두 발언 2. 금융분야 망분리 개선 로드맵