망분리 규정 안에서
보안 분석 AI를 쓰는 방법
금융회사의 내부 업무망은 전자금융감독규정에 따라 인터넷과 분리돼 있습니다. 2024년 망분리 개선 로드맵으로 생성형 AI와 SaaS를 쓸 길이 열렸지만, 대부분 규제샌드박스 지정과 보안대책이라는 조건이 붙습니다. 보안 로그 분석처럼 내부 데이터를 통째로 봐야 하는 일은 AI를 내부망 안에 두는 편이 절차가 단순합니다.
무엇을 요구하나
망분리의 근거는 전자금융감독규정 제15조(해킹 등 방지대책)입니다.
아래는 2026년 7월 15일 시행된 금융위원회고시 제2026-29호 기준입니다.
논리적 분리. 제15조 제1항 제3호는 내부통신망과 연결된 내부 업무용 시스템을 인터넷 등 외부통신망과 분리·차단하고 접속을 금지하도록 합니다.
물리적 분리. 같은 항 제5호는 전산실 안의 정보처리시스템과, 그 시스템을 운영·개발·보안 목적으로 직접 접속하는 단말기를 외부통신망과 물리적으로 분리하도록 합니다. 보안관제 담당자가 서버에 직접 붙는 단말기도 여기에 들어갑니다.
예외는 두 가지입니다. 이용자의 고유식별정보나 개인신용정보(가명처리 행위규칙을 지킨 가명정보는 제외)를 처리하지 않는 연구·개발 목적이면서, 자체 위험성 평가를 거쳐 금융감독원장이 정한 망분리 대체 정보보호통제를 적용하고 정보보호위원회 승인을 받은 경우. 그리고 업무상 불가피한 경우로 금융감독원장의 확인(제5호는 인정)을 받은 경우입니다.
보안 운영과 관련된 조항
- 제15조 제3항: 정보보호시스템마다 책임자를 지정하고 운영결과를 1년 이상 보존
- 제15조 제4항: 전자적 침해의 예방, 피해 최소화, 신속한 복구를 위한 대책 수립·운용
- 제16조: 악성코드 감염·확산 방지와 복구 대책
- 제18조: 내부 IP와 외부 IP의 인터넷 접속내용을 1년 이상 별도로 기록·보관
- 제14조의2: 클라우드컴퓨팅서비스를 쓰려면 업무 중요도 평가, 제공자 안전성 평가, 업무연속성 계획을 거쳐 정보보호위원회 심의·의결
금융분야 망분리 개선 로드맵 (2024년 8월 13일)
금융위원회가 발표한 3단계 계획입니다.
1단계는 규제샌드박스로 먼저 열고, 검증된 과제를 규정으로 옮기는 순서입니다.
샌드박스로 먼저 허용
인터넷 활용 제한에 규제샌드박스 특례를 적용해 생성형 AI 활용을 허용했습니다. SaaS는 문서관리, 인사관리 같은 비중요 업무에서 보안관리, 고객관리(CRM) 등으로 범위를 넓히고 가명정보 처리와 모바일 단말 이용도 허용했습니다. 연구·개발망은 전자금융감독규정 개정으로 개선합니다.
개인신용정보까지 확대
1단계 운영 성과와 안전성이 검증되면, 가명정보가 아닌 개인신용정보까지 직접 처리할 수 있도록 특례를 넓히는 단계입니다. 데이터 범위가 넓어지는 만큼 보안대책도 더 붙습니다.
자율보안과 결과책임
검증된 과제는 정규 제도로 옮기고, 「디지털 금융보안법」(가칭)을 만들어 규칙 중심에서 목표·원칙 중심 규제로 바꾸는 계획입니다. 사고가 났을 때 회사가 지는 책임은 오히려 무거워지는 방향입니다.
로드맵은 샌드박스를 지정할 때 예상 리스크에 맞는 보안대책을 조건으로 붙이고, 금융감독원과 금융보안원이 신청 회사별로 보안 점검과 컨설팅을 하도록 했습니다. 외부 AI를 쓰려면 이 조건을 하나하나 맞춰야 한다는 뜻입니다.
금융분야 인공지능 가이드라인
금융위원회가 2026년 6월 18일 발표하고 6월 22일부터 시행한 가이드라인입니다.
그전에 따로 있던 금융분야 AI 운영 가이드라인, 개발·활용 안내서, AI 보안 가이드라인을 하나로 합쳤습니다.
AI를 쓰는 모든 금융회사가 지켜야 할 7대 원칙을 둡니다. 거버넌스, 합법성, 보조수단성, 신뢰성, 금융안정성, 신의성실, 보안성입니다. 법률이 아닌 자율규제여서 적용 수준은 각 회사가 정하지만, 고영향 인공지능처럼 인공지능 기본법이 규율하는 경우에는 별도의 법적 의무가 생깁니다.
같은 날 거버넌스 원칙을 구체화한 「금융분야 AI 위험관리프레임워크」(금융감독원)와 보안성 원칙을 구체화한 「금융분야 인공지능 보안 안내서」(금융보안원)도 배포됐습니다. 실무에서는 이 두 문서를 같이 보게 됩니다.
보안 AI를 쓸 때 걸리는 원칙
- 보조수단성: AI 판정은 사람의 결정을 돕는 위치에 둡니다. 격리나 차단 같은 조치를 누가 승인했는지 남겨야 합니다.
- 신뢰성: 판정이 왜 나왔는지 설명하고 다시 확인할 수 있어야 검사 때 답할 수 있습니다.
- 보안성: AI 시스템 자체도 보안 점검과 개선 대상입니다. 분석용 AI가 공격 경로가 되지 않도록 격리합니다.
보안 분석을 내부망 안에서 하는 이유
분석 대상이 내부망 데이터입니다
관제에 쓰는 로그에는 직원 계정, 내부 IP, 고객 정보 조회 기록이 섞여 있습니다. 이걸 외부 AI로 보내려면 망분리 예외나 샌드박스 지정, 개인(신용)정보 처리 검토를 모두 거쳐야 합니다.
새 예외를 만들지 않아도 됩니다
Genox를 내부망에 설치하면 분석이 망 안에서 끝나므로, 외부 연결을 위한 별도 예외를 받을 필요가 없습니다. 탐지 규칙과 모델 업데이트는 오프라인으로 반입합니다.
검사 때 꺼낼 기록이 남습니다
판정마다 증거, 근거, 신뢰도와 모델·정책 버전이 함께 저장됩니다. 금융 AI 가이드라인의 신뢰성 원칙과 제15조의 운영결과 보존 요건에 대응할 자료로 쓸 수 있습니다.
내부망 설치가 만능은 아닙니다. 업데이트를 반입하는 절차가 필요하고, 정보처리시스템 도입에 따른 내부 보안성 검토와 정보보호위원회 보고는 그대로 하셔야 합니다. 국내 전용 클라우드 구성을 원하시면 제14조의2 클라우드 이용 절차를 먼저 밟아야 합니다.
요구 사항과 Genox 기능의 관계
Genox를 쓴다고 규정을 충족했다고 인정되지는 않습니다.
아래는 각 요구 사항을 준비할 때 쓸 수 있는 기능과, 그래도 고객이 직접 해야 하는 일입니다.
| 요구 사항 | 관련 Genox 기능 / 서비스 | 고객이 직접 해야 하는 일 |
|---|---|---|
| 제15조 제1항 제3호·제5호 망분리 | 내부망 단독 설치, 외부 송신을 막아 둔 분석 노드 | 망 구성 설계와 분리 상태 유지, 예외가 필요하면 위험성 평가와 정보보호위원회 승인 |
| 제15조 제3항 정보보호시스템 운영결과 1년 이상 보존 | 관제 판정 기록과 서명된 감사 로그, 보존 기간은 고객이 설정 | 책임자 지정, 보존 기간을 1년 이상으로 정하고 실제로 지켜졌는지 확인 |
| 제15조 제4항 · 제16조 침해 예방과 복구, 악성코드 대책 | AI 보안관제 · MDR, Behavioral Analyzer 샌드박스, 침해사고 대응 | 대응 절차 승인, 금융당국 보고 등 법정 보고 의무 이행 |
| 제18조 IP별 인터넷 접속내용 1년 이상 보관 | 프록시·방화벽 로그를 받아 이상 접속 분석 | 접속내용 기록 자체는 프록시·방화벽 등에서 남기고 보관 |
| 망분리 개선 로드맵 생성형 AI · SaaS 샌드박스 | AI/LLM 레드팀 진단으로 도입하려는 AI 서비스의 인젝션·유출 위험 점검 | 샌드박스 신청, 지정 조건 이행, 금감원·금보원 점검 대응 |
| 금융분야 인공지능 가이드라인 7대 원칙 | 판정별 근거 체인과 재현 기록, 사람 승인 절차, AI 거버넌스 컨설팅 | AI 거버넌스 체계와 위험관리 기준 수립, 적용 수준 결정 |
자주 묻는 질문
망분리 개선 로드맵 이후에도 내부망 설치가 필요한가요?
로드맵은 생성형 AI와 SaaS를 쓸 길을 열었지만, 대부분 샌드박스 지정과 보안대책 이행이 조건입니다. 내부 로그를 전부 봐야 하는 보안 분석은 외부로 보내는 데이터 양이 많아 조건을 맞추기가 더 어렵습니다. 그래서 Genox는 내부망 설치를 기본으로 둡니다.
Genox를 쓰면 금융보안원 점검이나 금감원 검사에서 문제가 없나요?
그렇게 말씀드릴 수는 없습니다. Genox가 남기는 기록은 검사 때 설명 자료로 쓸 수 있지만, 규정 준수 여부는 회사의 전체 통제 운영을 보고 판단됩니다.
금융 AI 가이드라인은 보안관제 AI에도 적용되나요?
가이드라인은 업종과 업무에 관계없이 AI를 활용하는 금융회사 전반을 대상으로 합니다. 보안관제에 AI를 쓰면 그 AI도 거버넌스와 보안성 점검 대상에 넣어 두는 편이 안전합니다. 적용 수준은 회사가 정합니다.
국내 전용 클라우드로 쓸 수는 없나요?
가능은 하지만 클라우드 이용 절차(업무 중요도 평가, 제공자 안전성 평가, 업무연속성 계획, 정보보호위원회 심의·의결)를 밟아야 합니다. Genox가 이 평가에 필요한 자료를 드리지만, 평가와 의결은 회사가 직접 합니다.
참고 자료
- 전자금융감독규정, 국가법령정보센터
- 「금융분야 망분리 개선 로드맵」 발표, 금융위원회 보도자료, 2024.8.13
- 금융분야 AI 가이드라인 개정 방향과 가이드라인(안), 금융위원회 보도자료, 2025.12.22
- 금융분야 인공지능 가이드라인 발표, 금융위원회 보도자료, 2026.6.18
내부망 구성을 먼저 보여 주세요
망 구성도와 지금 쓰는 관제 장비를 알려 주시면 Genox를 어디에 둘지, 어떤 승인 절차가 필요할지 정리해 드립니다.