금융분야 클라우드컴퓨팅서비스 이용 가이드(2025 개정) 제2조

제2조제6항에

따라 정보처리의 위탁에 해당함

전자금융거래법

제2조제3호*에 따른 클라

우드컴퓨팅서비스를 이용하는 경우 관련 절차를 준수하도록 규정

* 클라우드컴퓨팅법

제2조제3호에서 규정하고 있는 것 이외의 클라우드서비스를 이용하는 경우에는

감독규정

제2조 제3호가 클라우드컴퓨팅서비스를 ‘클라우드컴퓨팅을 활용하여 상용으로 타인에게 정보

통신자원을 제공하는 서비스’로 정의하고 있기 때문입니다

- 상용으로 타인에게 제공하는 클라우드컴퓨팅서비스여야 하므로 타인이 아닌 자기 스스로 이용을

위하여 구축한 전산시설등은 비록 클라우드컴퓨팅기술을 도입한 것이라도 이 법의 클라우드

컴퓨팅서비스에 해당하지 아니합니다.

- 여기서 “상용”이란 무상･유상에 구애받지 않고 상업용으로 제공되는 것을 의미하므로 무상으로

제공되는 클라우드컴퓨팅서비스라도 상용으로 제공되고 있다면 포함될 수 있습니다. 무상으로

클라우드컴퓨팅서비스를 제공하더라도 광고를 통해서 수익을 올리고 있다면 상용에 해당합니다.

- 반면 전산시설등의 사용 수수료를 내더라도 상용(商用)으로 제공되는 클라우드컴퓨팅서비스가

아니라면 이 법에서 말하는 클라우드컴퓨팅서비스에 해당하지 아니합니다. 예컨대 협회, 단체

등이 전용으로 구축한 클라우드컴퓨팅서비스는 포함되지 않습니다.

- 클라우드컴퓨팅서비스는 서비스의 운영 방식(배치 모델)에 따라 일반적으로 1) 프라이빗 클라우드

컴퓨팅서비스, 2) 퍼블릭 클라우드컴퓨팅서비스, 3) 커뮤니티 클라우드컴퓨팅서비스, 4) 하이브

리드 클라우드컴퓨팅서비스 등으로 나뉩니다.

- 이 중에서 상용으로 제공되는 클라우드컴퓨팅서비스는 주로 퍼블릭 클라우드컴퓨팅서비스입니다.

직접 개발･구축･운영･관리하는 경우에는 원칙적으로 이 법에서 규정하고 있는 클라우드컴퓨팅

서비스에 해당하지 않습니다.

- 커뮤니티 클라우드컴퓨팅서비스나 하이브리드 클라우드컴퓨팅서비스도 서비스의 배치 및 운영

방식만 다를 뿐 상용으로 제공이 가능하므로 상용으로 제공 이용되고 있는 한, 이 법에서 규정

하고 있는 클라우드컴퓨팅서비스에 포함될 수 있습니다.

- 커뮤니티, 하이브리드 등의 방식으로 구축된 클라우드시스템이라도 서비스의 전부 또는 일부를

클라우드컴퓨팅서비스 제공자가 유상으로 제공하고 있다면 그 범위 내에서

제2조제3호에 따른 ‘클라우드컴퓨팅서비스’란 클라우드컴퓨팅을

활용하여 상용(商用)으로 타인에게 정보통신자원을 제공하는 서비스로서

저장장치, 네트워크 등을 제공하는 서비스,

하는 서비스,

환경을 제공하는 서비스,

의미

5

FINANCIAL SECURITY INSTITUTE

본 예시는 기존 법령해석 및 비조치 의견서를 기반으로 분류한 참고 사례로서, 각 금융회사 등에서

정확한 적용 범위를 판단 하고자 할 때, 각 사의 이용 목적 및 이용 환경 등에 맞게 법령 해석 또는

비조치 의견을 관련 절차에 따라 접수하여 확인 필요

무상으로 제공하더라도 광고를 통해 수익을 올리는 등 상업용으로 제공 중인

클라우드서비스

자체적으로 구축하거나 협회, 단체, 계열사 등이 구축한 클라우드시스템이라도

서비스의 전부 또는 일부를 소속 구성원 이외를 대상으로 상용으로 제공하고

있다면 그 범위 내에서 대상에 포함

금융지주, 금융IT 회사, 협회 등이 소속 구성원 전용(구성원 이외 사용자와

물리적으로 분리되어 공유되지 않음)으로 구축한 클라우드서비스(소속 구성원만을

대상으로 서비스 제공하면서 감독규정을 모두 준수하고, 서비스 제공에 따른 최소한의

대가를 받는 경우도 非상용 클라우드로 인정 가능)

※ 단, 금융지주, 금융IT 회사 등에서 감독규정

제2조 제6항)

경우 정보처리 업무 위탁의 한 유형인 전자금융감독규정상의 클라우드서비스 이용 관련 규정도 적용

된다고 보기 어렵습니다.

< 이유 >

/정보 교환도 없음),

처리 업무 위탁의 해당 여부 등입니다.

하도록 하는 행위를 의미합니다.(｢금융회사의 정보처리 업무 위탁에 관한 규정｣

제2조 제6항)

업무 위탁의 한 유형인 전자금융감독규정상의 클라우드 서비스 이용 관련 규정도 적용된다고 보기

어렵습니다.

처리하고, 금융회사 – OCR서비스 제공자간 고객정보의 전송행위도 이루어지지 않으므로(이미지의

텍스트 변환 결과는 고객 스마트폰에 저장) 정보처리 업무위탁, 금융회사의 클라우드 서비스 이용

행위(클라우드 서비스는 OCR서비스 제공자가 이용)라고 보기는 어렵습니다.

▶ 법령해석 회신문(210026, ’21.12.22.)

: 전자금융업무를 수행하지 않는 금융회사의 클라우드 서비스 이용 관련 질의

< 질의요지 >

하고자 하는 경우, 전자금융감독규정

제2조제6항

제3자에게 이전되고, 제3자가 해당 정보를 귀사가 아닌 제3자의 업무 목적을 위하여 처리하는 점 등에

비추면,

제2조제3호에 따른 클라우드컴퓨팅 서비스를 이용하고자 하는 경우에 적용되는 조항으로

제2조제3호에 정의하는 클라우드컴퓨팅서비스란 클라우드컴퓨팅을 활용하여 상용*으로

타인에게 정보통신자원을 제공하는 서비스를 의미합니다.

* 클라우드컴퓨팅 주요법령 해설서(2017.11, 과학기술정보통신부)

우드컴퓨팅서비스라도 상용으로 제공되고 있다면 포함될 수 있고, 무상으로 클라우드컴퓨팅 서비스를

제공하더라도 광고를 통해서 수익을 올리고 있다면 상용에 해당합니다.

반면 전산시설 등의 사용 수수료를 내더라도 상용(商用)으로 제공되는 클라우드컴퓨팅서비스가 아니

라면 이 법에서 말하는 클라우드컴퓨팅서비스에 해당하지 아니합니다. 예컨대 협회, 단체 등이 전용

으로 구축한 클라우드컴퓨팅서비스는 포함되지 않습니다.

하고 상용으로 제공되지 않아 ｢클라우드법｣ 에서 말하는 클라우드컴퓨팅서비스에 해당되지 아니하므로,

제2조제6항)

우드를 이용하는 경우에는 동 규정이 적용되지 않음

9

FINANCIAL SECURITY INSTITUTE

6 용어

이 가이드에서 사용되는 용어는 감독규정

제2조 및 ｢클라우드컴퓨팅 발전 및

이용자 보호에 관한 법률｣

제2조의 정의를 따름

▶ 감독규정

제2조(정의) 이 규정에서 사용하는 용어의 정의는 다음과 같다.

말한다.

출력되어 있는 자기테이프, 디스크, 디스켓, 콤팩트디스크(CD) 등 보조기억매체를 포함한다.

(hardware)와 소프트웨어(software)를 말하며 관련 장비를 포함한다.

저장･검색･송신 또는 수신을 행하는 금융회사 또는 전자금융업자의 업무, 인력, 시설 및 조직을

말한다.

가공･저장･검색･송신 또는 수신되는 정보의 유출･위변조･훼손 등을 방지하기 위하여 기술적･

물리적･관리적 수단을 강구하는 일체의 행위를 말하며 사이버안전을 포함한다.

정상적인 서비스를 방해하는 행위로부터 정보 등을 보호하기 위한 장비 및 프로그램을 말한다.

받지 아니한 권한을 불법적으로 갖는 행위 또는 전자금융기반시설을 공격하거나 해를 끼치는

행위를 말한다.

복사하거나 변형한 뒤 정보유출, 시스템 파괴 등의 작업을 수행하여 이용자에게 피해를 주는

프로그램을 말한다.

웹을 이용한 서비스를 말한다)를 이용할 수 있게 해주는 프로그램이 실행되는 장치를 말한다.

부호･문자･음향･영상 등을 처리･저장 및 송･수신할 수 있는 정보통신 조직형태를 말한다.

▶ 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

웨어 등 정보통신자원(이하 “정보통신자원”이라 한다)을 이용자의 요구나 수요 변화에 따라

정보통신망을 통하여 신축적으로 이용할 수 있도록 하는 정보처리체계를 말한다.

기술, 분산처리 기술 등 대통령령으로 정하는 것을 말한다.

제공하는 서비스로서 대통령령으로 정하는 것을 말한다.

10 금융보안원

제1장 가이드 개요 •

이용하여 클라우드컴퓨팅서비스를 제공하는 자(이하 “클라우드컴퓨팅서비스 제공자”라 한다)의

정보통신자원에 저장하는 정보(「지능정보화 기본법」

제2조제1호에 따른 정보를 말한다)로서

이용자가 소유 또는 관리하는 정보를 말한다.

▶ 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령

제2조(클라우드컴퓨팅기술) 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(이하 “법”이라 한다)

제2조제2호에서 “대통령령으로 정하는 것”이란 다음 각 호의 어느 하나에 해당하는 기술을 말한다.

이라 한다)을 가상으로 결합하거나 분할하여 사용하게 하는 기술

관한 정보통신자원을 활용하는 기술

제2조제3호에서 “대통령령으로 정하는 것”이란 다음 각 호의 어느 하나에

11

금융분야 클라우드컴퓨팅서비스 이용 가이드

2

제 장

클라우드서비스 이용 절차

제2장 클라우드서비스 이용 절차 •

제2장

클라우드서비스 이용 절차

금융회사는 클라우드서비스 이용 시 다음 절차에 따라 필요한 조치를 수행함으로써

감독규정

제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

비중요업무로 분류된 업무에 대해서는 <별표2의2>의 평가항목 중 필수항목만 평가할 수 있다.

이때, 클라우드컴퓨팅서비스 제공자의 안전성 평가는 ｢전자금융감독

규정｣

제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

비중요업무로 분류된 업무에 대해서는 <별표2의2>의 평가항목 중 필수항목만 평가할 수 있다.

제2조제3호에

따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 다음 각 호의 절차를 수행하여야 한다.

제1호의 평가를 통해 비중요업무로 분류된 업무에 대해서는 <별표 2의2> 및 <별표 2의4>의

필수사항만 수립･시행할수 있다.)

▶ 감독규정시행세칙

제2조의4(클라우드컴퓨팅서비스의 보고) 中

제2조의3제1항)

(다만, 이 경우 필요한 서비스번호(port)에 한하여 특정 외부기관과 연결할 수 있다.)

제2조의2)

로그 등 접근기록

금융회사 또는 전자금융업자는 정보제공자 주소(이하 “IP주소”라 한다)의 안전한 사용을

위하여 주소 체계ㆍ할당ㆍ관리 등에 대한 내용을 포함한 적절한 대책을 수립ㆍ운용

하고, 내부 IP주소 및 외부 IP주소의 인터넷 접속내용을 1년 이상 별도로 기록ㆍ보관

하여야 한다.(

제2조의6)

그램을 제거할 것

안정책의 적정성을 주기적으로 점검할 것

회선(전용회선과 동등한 보안수준을 갖춘 가상의 전용회선을 포함한다) 사용,

접근통제 등을 포함한 원격 접속 보안 대책을 수립ㆍ운용할 것

가능하도록 모니터링시스템을 갖추고 시스템 장애, 가동중지 등 긴급사태에

대비하여 백업 및 복구 절차 등을 수립ㆍ운용할 것

74 금융보안원

제5장 업무 연속성 계획 및 안전성 확보조치 방안 수립 •

제1항 각 호의 정보보호시스템에 대하여 책임자를 지정･운영하여야 하며, 정보보호

시스템의 운영결과는 1년 이상 보존하여야 한다.(

제2조)

- 전자금융거래의 안전성 및 신뢰성에 중대한 영향을 미치지 않는 외국금융회사의 국내지점,

감독규정

제2조 제5호에 따른 전자금융보조업자의 범위에

포함되므로 법

제2조의4(클라우드컴퓨팅서비스의 보고) 제2항

제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우에 적용되는 조항으로

제2조제3호에 정의하는 클라우드컴퓨팅서비스란 클라우드컴퓨팅을 활용하여 상용*

으로 타인에게 정보통신자원을 제공하는 서비스를 의미합니다.

106 금융보안원

제8장 이용 및 보고 •

비조치의견서(220036, ’22.7.21.)

* 클라우드컴퓨팅 주요법령 해설서(2017.11, 과학기술정보통신부)

클라우드컴퓨팅서비스라도 상용으로 제공되고 있다면 포함될 수 있고, 무상으로 클라우드컴퓨팅

서비스를 제공하더라도 광고를 통해서 수익을 올리고 있다면 상용에 해당합니다.

반면 전산시설 등의 사용 수수료를 내더라도 상용(商用)으로 제공되는 클라우드컴퓨팅서비스가

아니라면 이 법에서 말하는 클라우드컴퓨팅서비스에 해당하지 아니합니다. 예컨대 협회, 단체 등이

전용으로 구축한 클라우드컴퓨팅서비스는 포함되지 않습니다.

말하는 클라우드컴퓨팅서비스에 해당되지 아니하므로,

제2조의4제2항제1호에 따라 이용보고 서류 중 자체 업무

위수탁 운영기준*을 마련하여 첨부하여야 하며, 본 가이드에서는 금융회사가 클라우드

환경을 이용한 업무 위수탁 운영기준 마련 시 고려할 사항을 명시

* 「금융기관의 업무위탁 등에 관한 규정」

제2조제6항)

금융회사의 - 금융회사의 업무 관련 정보가 처리되지 않는 것이 분명한 경우는 제외 가능

정보처리위탁 - 금융회사에서 수행하는 정보처리 업무에 해당되지 않는 경우는 제외 가능

(금융회사의 업무 목적이 아닌 사적 목적의 단순 웹사이트 방문, 검색 등)

- 제3자를 통한 계속적 정보처리가 아닌 경우는 제외 가능(일회성 처리 등)

이용자 요구 등에 따라 IT자원을 신축적으로 이용(클라우드컴퓨팅법 §2･1)

가상화 기술, 분산처리 기술 등의 적용(클라우드컴퓨팅법 §2･2)

- 클라우드컴퓨팅기술(멀티테넌시 등)이 적용되지 않는 경우는 미해당

클라우드

서비스 소프트웨어 개발･배포･운영･관리 등을 위한 환경을 상용으로 제공하는 서비스

(클라우드컴퓨팅법 §2･3)

- 불특정 다수가 웹을 통해 무료로 활용 가능하며, 소프트웨어 기반의 서비스가 아닌

일반적인 웹 기능만을 제공하는 웹사이트 등은 에외

133

FINANCIAL SECURITY INSTITUTE

3 금융분야 망분리 및 클라우드 규제개선 관련 FAQ

(FAQ) 1. ｢전자금융감독규정｣ 개정안에서 제시한 업무중요도 평가의 기준별 세부항목 예시