5 분 소요

Summary

금융회사 전산망을 들여다보면 사실상 두 개의 세계로 나뉘어 있어요. 고객 계좌와 코어뱅킹이 도는 내부망(업무망), 그리고 웹·메일·클라우드가 닿는 외부망(인터넷망). 이 둘을 물리적으로 갈라놓은 게 바로 망분리입니다.

10년 넘게 “무조건 끊어라”가 원칙이었는데, 2024년부터 금융당국이 이걸 단계적으로 풀고 있어요. 생성형 AI도 못 쓰고 SaaS도 못 깔던 환경을 바꾸겠다는 거죠. 이 글에서는 망분리가 뭔지, 왜 그렇게 빡빡하게 갈랐는지, 그리고 지금 왜·어떻게 푸는지를 한 번에 정리해볼게요.

💡 이 글에서 다루는 것

  • 내부망 / 외부망의 정의와, 둘을 가르는 위협 모델
  • 물리적 망분리 vs 논리적 망분리 — 실제 어떤 조치로 분리하나
  • 전자금융감독규정이 요구하는 의무 사항
  • 2024년 「금융분야 망분리 개선 로드맵」의 1~3단계
  • 제로트러스트·다층보안(MLS)으로 가는 방향과, 아직 손봐야 할 부분



1. 내부망과 외부망이란

망분리의 출발점은 “이 단말기와 서버가 인터넷에 닿아도 되는가” 라는 질문이에요. 그 답에 따라 망을 두 개로 가릅니다.

구분 내부망 (업무망) 외부망 (인터넷망)
다루는 것 코어뱅킹, 계정계·정보계, 고객정보, 거래원장 웹 서핑, 외부 메일, 클라우드, SaaS
인터넷 연결 원칙적으로 차단 허용
대표 자산 전산실 정보처리시스템, 운영·개발·보안 단말 일반 사무용 인터넷 단말
사고 시 영향 금융사고·대규모 정보유출로 직결 상대적으로 한정적

핵심은 “중요한 건 인터넷에서 보이지 않게 한다” 입니다. 외부에서 들어오는 해킹·악성코드가 아무리 사무실 PC를 뚫어도, 거기서 계좌가 도는 전산실까지는 한 번에 못 넘어가도록 길을 끊어두는 거예요.

🚨 망분리의 본질은 “방어벽을 높이는 것”이 아니라 “공격이 성공해도 번지지 못하게 길 자체를 없애는 것” 에 가까워요. 침해를 0으로 만드는 게 아니라, 침해의 전파 경로를 끊는 발상입니다.



2. 왜 갈라야 했나 — 2013년의 학습

망분리가 금융권 의무가 된 데에는 분명한 계기가 있어요. 2013년 대규모 금융전산 사고입니다. 외부에서 들어온 악성코드가 내부 업무망까지 번지면서 다수 금융사·방송사의 전산이 한꺼번에 마비됐죠.

이때 금융당국이 내린 결론이 “경계 방어만으로는 부족하다, 아예 망을 끊자” 였어요. 그래서 도입된 게 물리적 망분리 의무입니다. 인터넷에 노출된 통로가 있는 한, 한 번의 침해가 전체로 번질 수 있다는 걸 비싼 수업료를 내고 배운 셈이에요.

위협을 모델로 정리하면 이런 그림입니다.

  • 외부망 단말이 피싱·악성코드로 감염된다 → 흔한 일
  • 그 단말이 내부망에 직접 닿아 있다 → 감염이 코어 시스템으로 횡적 확산(lateral movement)
  • 망을 끊어 두면 → 외부망이 털려도 내부망은 다른 세계



3. 어떻게 분리하나 — 물리적 vs 논리적

망을 가르는 방식은 크게 두 가지예요. 둘 다 목표(내부망 보호)는 같지만 구현 비용과 보안 강도가 다릅니다.

방식 물리적 망분리 논리적 망분리
구성 업무용·인터넷용 PC 2대를 따로 둠 PC 1대를 가상화로 두 망에 나눠 씀
분리 지점 하드웨어·네트워크 회선 자체가 별개 가상화(VDI·VM)로 영역을 논리적으로 분리
보안 강도 강함 (물리적으로 끊겨 있음) 상대적으로 약함 (가상화 취약점 의존)
비용·불편 높음 (장비 2배, 자리 차지) 낮음 (단말 1대)

2013년 사고 직후 금융권이 택한 건 물리적 망분리였어요. 가장 확실했으니까요. 그래서 한동안 금융사 직원 책상에 PC가 두 대씩 놓여 있는 풍경이 흔했습니다. 업무용 한 대, 인터넷용 한 대.

분리는 PC를 나누는 것만으로 끝나지 않아요. 실제로는 다음 같은 대비책이 함께 걸립니다.

  • 전산실 시스템의 인터넷 차단 — 코어 정보처리시스템과 거기에 직접 접속하는 운영·개발·보안 단말을 외부통신망에서 물리적으로 분리.
  • 매체제어(USB·외장매체) 통제 — 망을 끊어도 USB로 악성코드가 건너오면 의미가 없으니, 보조기억매체 사용을 통제.
  • 망연계 솔루션 — 그래도 내부·외부 사이에 데이터가 오가야 할 때가 있으니, 직접 연결 대신 통제된 단방향/검증 통로로만 파일을 넘김.
  • 출입·계정 통제 — 전산실 물리 출입, 단말 인증, 권한 최소화까지 한 묶음.

✅ 즉 “망분리 = PC 두 대”가 아니라, 전산실 격리 + 단말 차단 + 매체 통제 + 망연계가 한 세트로 도는 체계예요.



4. 무엇이 의무였나 — 전자금융감독규정

이 모든 게 권고가 아니라 규제였다는 게 포인트예요. 근거는 「전자금융감독규정」 제15조(해킹 등 방지대책) 입니다. 골자만 옮기면 이렇습니다.

  • 금융회사·전자금융업자는 내부 통신망과 인터넷 등 외부 통신망을 분리·차단해야 한다.
  • 특히 전산실 내 정보처리시스템과, 거기에 운영·개발·보안 목적으로 직접 접속하는 단말은 외부통신망에서 물리적으로 분리해야 한다.

여기서 자주 헷갈리는 부분이 하나 있어요. “전자금융거래와 직접 상관없는 내부 업무용 시스템까지 무조건 끊어야 하나?” 라는 거예요. 이건 실제로 다툼이 됐던 쟁점이고, 업무상 외부기관과 필수적으로 연결해야 하는 경우엔 예외가 인정될 여지가 있습니다. 다만 그 예외를 좁게 보느냐 넓게 보느냐에서 현장과 감독기관의 해석이 갈려 왔어요.

⚠️ 규정 조문은 개정으로 바뀔 수 있어요. 실제 적용 전에는 최신 「전자금융감독규정」과 시행세칙 원문을 확인하는 걸 추천드려요. 이 글은 큰 틀의 흐름을 잡는 용도예요.



5. 지금 왜 푸는가 — 2024 개선 로드맵

망분리는 10년 넘게 금융보안의 상징이었지만, 동시에 혁신의 발목이라는 비판도 함께 커졌어요. 인터넷이 끊긴 업무망에서는

  • 클라우드 구독형 소프트웨어(SaaS)를 못 깔고,
  • 생성형 AI 서비스에 접속할 수 없고,
  • 오픈소스를 받아 쓰는 연구·개발조차 번거롭습니다.

“기술은 하루가 다르게 바뀌는데 규제는 10년 전에 멈춰 있다”는 지적이 쌓이면서, 2024년 8월 13일 금융위원회가 「금융분야 망분리 개선 로드맵」 을 발표했어요. 핵심은 급격한 완화 대신 단계적 개선 입니다.

단계 방향 주요 내용
1단계 샌드박스로
즉시 완화		 생성형 AI 활용 허용
SaaS 범위 확대(문서·인사
→ 보안·CRM 등)
연구·개발 이관 완화
가명정보 처리 허용
2단계 특례의
제도화		 안전성 검증 후 정규 제도화
개인신용정보 처리 등
특례 고도화
제3자(공급망) 리스크 관리
3단계 체계
전면 개편		 자율보안–결과책임 원칙의
새 금융보안체계
「디지털 금융보안법」(가칭)
제정 추진

가장 큰 사고방식의 전환은 3단계에 있어요. 지금까지는 “하라는 것만 하는” 열거식 규칙(Rule) 중심이었다면, 앞으로는 “목표·원칙(Principle)을 주고 알아서 지키되 결과에 책임지는” 방식으로 가겠다는 거예요. 대신 CEO·이사회 보고 의무, 배상책임 확대, 실효성 있는 과징금이 따라붙습니다. 자율을 주는 만큼 책임도 무겁게.

실제로 시장 반응은 즉각적이었어요. 2025년 1분기에만 SaaS·생성형 AI 이용을 위한 망분리 규제 특례 신청이 125건 접수됐습니다. 그만큼 현장의 수요가 눌려 있었다는 뜻이죠.



6. 무엇으로 대체하나 — 제로트러스트와 다층보안

“망을 끊어서 지킨다”를 풀면, 그 자리를 메울 새 원리가 필요해요. 방향은 두 단어로 모입니다. 제로트러스트와 다층보안(MLS).

망분리가 “경계 안쪽은 믿는다” 는 경계(perimeter) 중심 발상이었다면, 제로트러스트는 정반대예요.

💡 제로트러스트(Zero Trust) — “절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify).” 망 안에 있다는 이유만으로 신뢰하지 않고, 접속할 때마다 사용자·단말·맥락을 매번 검증합니다.

그리고 보안의 무게중심을 네트워크 경계에서 데이터 그 자체로 옮기는 게 다층보안체계(MLS) 예요. 데이터를 중요도에 따라 등급으로 나누고(예: 기밀 C / 민감 S / 공개 O), 등급마다 다른 통제를 거는 방식입니다. “망이 어디냐”가 아니라 “데이터가 얼마나 중요하냐”로 보안을 설계하는 거죠.

관점 기존 망분리 제로트러스트 · MLS
신뢰 기준 망 위치(내부망이면 신뢰) 매 요청마다 검증, 위치로 신뢰 안 함
보안 중심 네트워크 경계 데이터 등급 + 신원·단말 맥락
통제 방식 끊어서 차단 식별·인증·암호화·탐지·대응 다층
신기술 수용 어려움 통제 하에 허용

쉽게 말하면, “담 하나를 높이 쌓는” 방식에서 “여러 겹의 검문소를 두는” 방식으로 옮겨가는 거예요. 담을 허무는 대신 검문을 촘촘하게.



7. 아직 손봐야 할 부분

로드맵은 분명 방향이 맞아요. 하지만 현장에서 “발표는 했는데 정작 못 쓴다”는 목소리도 작지 않습니다. 풀어야 할 매듭을 정리하면 이래요.

  • 샌드박스 심사가 너무 길다 — 보안성 검토에 보통 3~6개월, 길면 1년 가까이 걸린다는 사례가 나와요. 기술 도입 시점이 한참 밀립니다. 결국 사전 승인제 → 사후 검증 으로 무게를 옮겨야 한다는 지적이 많아요.
  • 승인 결과가 불확실하다 — 반려 사례가 있다 보니, 금융사 입장에선 사업 계획을 미리 세우기가 어렵습니다.
  • 책임 부담 구조 — “완화됐다는데 사고 나면 누가 책임지나?”라는 우려에 임원진부터 도입을 꺼리는 경우가 있어요. 자율보안–결과책임이 자리 잡으려면 책임의 경계가 명확해야 합니다.
  • 여전히 빡빡한 조건 — 유선 PC만 허용, 가명정보까지만 처리 등 단서가 많아 실질 활용도가 떨어진다는 평가도 있어요.

🚨 결국 핵심은 속도와 책임의 균형이에요. 규제를 풀되 사고가 나면 번지지 않게 다층보안을 깔고, 책임 소재는 미리 분명히 해두는 것. 망분리가 그랬듯, 이번에도 한 번의 사고가 방향을 되돌릴 수 있으니까요.



마치며

망분리는 “인터넷을 끊어서라도 코어를 지킨다”는, 2013년의 비싼 학습이 만든 안전장치였어요. 10년 넘게 금융보안의 기본기를 떠받쳤고, 그만큼 신기술 앞에서 답답한 벽이기도 했죠.

지금의 흐름은 그 벽을 허무는 게 아니라 검문소로 바꾸는 쪽이에요. 경계 대신 데이터, 차단 대신 검증, 규칙 대신 원칙과 책임. 방향은 맞지만 속도와 안전장치를 함께 맞추는 게 숙제로 남아 있습니다.

일단 오늘은 여기까지…..
다음 글에서는 제로트러스트를 실제로 어떻게 설계하는지, 구성요소 단위로 더 파볼게요.


참고: 금융위원회 「금융분야 망분리 개선 로드맵」 보도자료 · 전자금융감독규정시행세칙(국가법령정보센터)

참고