전자금융감독규정 관련 비조치 의견서
금융감독원 · 2026-06-19 · 의견번호 260010
회신
출처 · 원문 발췌
「보안 목적 AI‧SaaS 활용 테스트」 참여기관으로 선정된 금융회사가 아래 망분리 대체 통제를 적정하게 이행한 경우에는 테스트 신청범위에 한정하여 전산실 내 정보처리시스템과 해당 정보처리시스템의 보안 목적으로 직접 접속하는 단말기를 보안 강화 목적 AI‧SaaS형 보안 서비스와 직접 연결하더라도 테스트 참여기관 선정일로부터 1년까지 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 제15조 제1항제5호(망분리 의무) 위반으로 조치하지 않습니다. 망분리 대체 통제 (보안 목적 AI·SaaS) 국내외 클라우드 보안인증 중 1개 이상 보유 서비스만 이용가능 (① SOC2, ② FedRAMP, ③ ISO27017, ④ CSAP, ⑤ MTCS, ⑥ ISMS-P, ⑦ CSA STAR level2 이상) 금융회사의 정보처리 업무 위탁 규정 준수 생성형 AI 서비스의 경우 유료 비즈니스 등 관리형 버전 이용(미학습 약정 필수) AI·SaaS 서비스 관련 보안사고 및 장애 대응 절차 수립 허용된 AI·SaaS 외 인터넷접속, 외부 API, 제3자 앱 등 외부 연계 통제 API Key, 관리자 계정 등 주요 인증정보에 대한 보호·점검 및 관리절차 수립 접속 단말기 및 사용자·관리자 등록·관리, AI·SaaS 관리자 계정 등 다중 인증 방식 적용, 최소 권한 부여 등 접근 제어 및 권한 관리, 단말기 보호대책 수립·적용 개인신용정보, 고유식별정보 등 중요정보 입력·처리·외부전송·유출 여부 모니터링 및 통제 AI·SaaS 내 데이터의 불필요한 공유·처리 방지 AI·SaaS 이용을 위한 네트워크 구간에 대한 보호대책(암호화 등) 수립·적용 AI·SaaS 정보보호 통제를 위한 상시 관리·체계 확보 접속·이용 내역, 관리자 활동, 이상행위 등에 대한 모니터링 및 로그 수집 (1년 이상 보존)
본문
요청 내용
최근 고성능 AI 모델 등장으로 고도화된 금융권 사이버 위협에 대응하기 위해 「보안 목적 AI‧SaaS* 활용 테스트(「AI 보안위협 대응 방안('26.5.)」, 금융위원회)」에 참여기관으로 선정된 금융회사에 한하여 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 **제15조 제1항제5호(망분리 의무)**를 예외할 필요
* ① SaaS형 생성형 AI 서비스(GPT, Claude, Gemini 등) ※ 보안 분석·위협 탐지 목적 限
** ② SaaS형 보안 서비스(Falcon, SentinelOne, Splunk 등 EDR/XDR/SIEM)
판단 이유
금융회사는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 이용절차 등을 준수해야 하고(「전자금융감독규정」 제14조의2), 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 합니다(「전자금융감독규정」 제15조제1항제5호).
다만, 상기 규정의 취지가 사이버 위협으로부터 금융전산을 보호하는 것에 있고, 최근 고성능 AI 모델로 인한 고도화·지능화된 사이버 위협에 대해 정부 및 유관기관 협조 하에 신속하고 효과적인 대응 방안을 마련하고자 「보안 목적 AI‧SaaS 활용 테스트」에 참여하는 금융회사에 대해서는 상기 의무를 예외적으로 적용할 필요성이 인정됩니다.
연결
문서 기준 관련 조문·시행본
문서의 판단 기준일에 맞춘 시행본입니다. 현행 조문은 별도 링크에서 대조하세요.
더 찾아보기
첨부
제1차 보안 목적 AI,SaaS 활용 테스트 참여기관 대상 비조치의견서 발급_vF.hwp다운로드 · 새 창기관 원문
금융감독원에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.