SaaS 망분리 예외 시행과 보안통제 조건

FACT · 발표 자료에서 확인한 사실

[2] 정보보호 통제를 위한 제도적 장치 마련 망분리 규제 예외가 허용되는 만큼, 이를 보완하기 위한 엄격한 정보보호통제장치 마련을 의무화한다. 금융회사는 ▲침해사고 대응기관(금융보안원 등) 평가를 거친 SaaS를 이용, ▲접속 단말기(컴퓨터, 모바일단말 등)에 대해 보호대책 수립 등을 준수하여야 하며 동 정보보호통제 이행 여부를 반기에 1회 평가하고 금융사 내 정보보호위원회(위원장:CISO)에 보고하여야 한다. 아울러, 금융회사가 관련 보안통제를 보다 쉽게 이해하고 현장에 적용할 수 있도록 보안해설서*도 함께 마련해 배포하였다. 보안해설서에는 SaaS 활용 과정에서 발생할 수 있는 주요 보안위협과 그에 대한 대응방안이 담겨 있어, 금융회사가 정보보호 통제 의무를 보다 쉽게 이행하는 데 활용할 수 있다. * 금융보안원 홈페이지 > 자료마당 > 가이드에 게시 (https://www.fsec.or.kr/bbs/222) [1] SaaS 서비스를 망분리 규제 예외사유로 명시 ｢클라우드컴퓨팅 발전 및 이용자보호에 관한 법률 시행령｣ 제3조제2호에 따른 “응용프로그램 등 소프트웨어를 사용하는 서비스(SaaS)”는 전자금융거래법 제21조 및 전자금융감독규정 제15조제1항제3호에 따른 망분리 규제를 적용받지 않도록 명시된다. 전자금융거래법 제21조 및 전자금융감독규정 제15조 내용 전자금융거래법 제21조(안전성의 확보의무) ②금융회사등은 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문, 전자금융업무 및 「전자서명법」에 의한 인증서의 사용 등 인증방법에 관하여 금융위원회가 정하는 기준을 준수하여야 한다. 전자금융감독규정 제15조(해킹 등 방지대책) ① 금융회사 또는 전자금융업자는 정보처리시스템 및 정보통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 다음 각 호의 대책을 수립ㆍ운용하여야 한다. 3. 내부통신망과 연결된 내부 업무용시스템은 인터넷(무선통신망 포함) 등 외부통신망과 분리ㆍ차단 및 접속 금지. 다만, 다음 각 목의 경우에는 그러하지 아니하다. 나. 업무상 불가피한 경우로서 금융감독원장의 확인을 받은 경우 다만, 개인정보 유출사고 우려 등을 감안하여, 금융회사가 이용자의 고유식별정보 또는 개인신용정보를 처리하는 경우에는 망분리 예외를 허용하지 않으며, 가명정보를 활용하는 경우에는 기존과 동일하게 별도의 혁신금융서비스 지정 절차를 거친 후 SaaS 활용이 가능하다. 금융회사와 전자금융업자는 4.20일부터 별도의 혁신금융서비스 심사를 거치지 않더라도 클라우드 기반의 다양한 사무관리･업무지원용 등의 서비스를 활용할 수 있게 된다. 금융위원회･금융감독원은 4.20일부터 “금융회사가 내부 업무망에서도 클라우드 기반 응용소프트웨어(SaaS*)를 활용할 경우, 일정한 보안규율을 준수하는 것을 전제로 망분리 규제 예외를 허용”하는 내용의 「전자금융감독규정시행세칙」개정이 완료되었다고 밝혔다. * SaaS : Software as a Service(클라우드 기반 응용소프트웨어) ※ 사전예고(’26.1.20일~’26.2.9일, 20일간), 규제개혁위원회 심사(4.7일), 시행(4.20일)

서비스 해석 · 수록 설명

2026.04.20 발표는 SaaS 망분리 예외 시행을 안내합니다. 침해사고 대응기관의 평가를 거친 SaaS 이용, 접속 단말기 보호대책, 보안통제 이행 여부의 반기 1회 평가와 정보보호위원회 보고를 제시합니다.