[법령 ③] 전자금융감독규정 — 내부 업무망 SaaS 허용, 13년 만의 망분리 완화

2026년 4월 20일 — 무엇이 열렸나

금융위원회와 금융감독원은 4월 20일부터 금융회사가 내부 업무망에서 SaaS를 활용할 경우 일정한 보안 규율 준수를 전제로 망분리 규제 예외를 허용하는 「전자금융감독규정 시행세칙」 개정을 완료했다.

이에 따라 별도의 혁신금융서비스 심사 없이도 클라우드 기반 사무관리 · 업무지원용 서비스를 이용할 수 있게 됐다. 그동안 금융회사가 협업 도구 하나 도입하려 해도 규제 샌드박스를 거쳐야 했던 상황이 바뀐 것이다.

개정 조문 — 무엇이 신설됐나

• 시행세칙 제2조의3 제1항 — SaaS 이용 목적의 망분리 예외사유 신설
• 동조 제4항 — 망분리 대체 정보보호통제 이행에 대한 반기별 자체평가 및 정보보호위원회 보고 의무 신설
• 별표7 — '내부업무망 SaaS' 항목을 신설해 통제기준 구체화

적용 요건 — 아무 SaaS나 되는 게 아니다

핵심은 마지막 조건이다. 규제가 "사전 심사"에서 "사후 입증"으로 이동했다. 허가를 받는 대신, 통제가 작동하고 있음을 반기마다 스스로 증명해야 한다. 평가 기록을 남기지 않으면 예외 적용 자체가 무너진다.

13년의 배경

망분리 규제는 2013년 3·20 전산망 마비 사태 이후 물리적 망분리 의무화로 시작됐다. 당시로서는 합리적인 대응이었지만, 2020년대 들어 클라우드와 생성형 AI 도입을 가로막는 '갈라파고스 규제'라는 비판을 받아왔다.

이번 개선은 '자율보안 – 결과책임' 원칙에 따른 규제 개선으로 평가된다. 방식을 정해주는 대신 결과에 책임을 지우는 방향이다.

감독규정 본칙 개정도 함께

앞서 금융위는 클라우드 이용절차 합리화 및 망분리 완화를 위한 「전자금융감독규정」 개정안을 의결해 다음을 추진한 바 있다:

• 클라우드 이용업무 중요도 평가 기준 마련 및 절차 차등화
• CSP 평가항목 정비
• 사전보고의 사후보고 전환

금융회사 실무 체크리스트

• ☐ 도입 검토 중인 SaaS가 금융보안원 보안성 평가를 통과했는지 확인
• ☐ 해당 SaaS가 고유식별정보 · 개인신용정보를 처리하지 않는지 데이터 흐름 검증
• ☐ 별표7의 '내부업무망 SaaS' 통제기준과 현행 통제 갭 분석
• ☐ 반기별 자체평가 프로세스 설계 — 평가 항목 · 담당 · 증적 양식
• ☐ 정보보호위원회 보고 일정을 연간 계획에 반영 (CISO 주재)
• ☐ 클라우드 이용업무 중요도 평가 기준 사내 규정화
• ☐ 기존 혁신금융서비스로 운영 중인 SaaS의 전환 여부 검토

규제가 풀린 것이 아니라, 책임의 위치가 옮겨진 것이다. 전에는 감독당국이 "된다"고 해줬지만, 이제는 금융회사가 "됐다"고 증명해야 한다.