내부업무망 SaaS 예외의 법적 조건과 반기 평가·보고
전자금융감독규정시행세칙 · 제2조의3제1항제3호·제3항·제4항 / 별표 7
FACT · 조문에서 확인한 사실
3. 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제3조제2호에 따른 "응용프로그램 등 소프트웨어를 제공하는 서비스" 이용 목적의 경우 <신설 2026. 4. 20.> ③ 제1항 및 제2항의 규정은 금융회사 또는 전자금융업자가 자체 위험성 평가를 실시한 후 별표 7에서 정한 망분리 대체 정보보호통제를 적용하고 정보보호위원회가 승인한 경우에 한하여 적용한다. ④ 제1항제3호의 경우 금융회사 또는 전자금융업자는 별표 7에서 정한 망분리 대체 정보보호통제의 이행 여부를 반기에 1회 평가하고 정보보호위원회에 보고하여야 한다. <신설 2026. 4. 20.> [종전의 제2조의2에서 이동]
서비스 해석 · 수록 설명
시행세칙은 이용자의 고유식별정보 또는 개인신용정보를 처리하지 않는 소프트웨어 제공 서비스 이용을 내부 업무망 망분리 예외로 규정합니다. 자체 위험성 평가, 별표 7의 대체 정보보호통제 및 정보보호위원회 승인이 전제입니다. 이 경우 통제 이행 여부를 반기에 1회 평가하고 정보보호위원회에 보고해야 합니다.
적용 대상·조건
제15조제1항제3호나목의 내부 업무망 예외입니다. 전산실 전체의 물리적 망분리를 면제하지 않습니다. 연구·개발 예외의 가명정보 조건을 SaaS 일반 예외에 옮겨 적용하지 않습니다. 기존 혁신금융서비스 지정 건은 지정 조건과 금융보안원 정정 FAQ를 별도로 대조합니다.
대상 분류: 금융회사 · 전자금융업자 · PG · 회사별 해당 여부는 별도 판단
기한·주기와 확인 범위
일반 SaaS 예외: 통제 이행 여부 반기 1회 평가 → 정보보호위원회 보고. 기존 혁신금융서비스 지정·개시 건의 보고 경로는 별도입니다. 평가 기준일은 회사에서 확인합니다.
연결 원문과 날짜
- 개정일
- 문서 버전 시행일
금융감독원세칙
근거: 시행세칙 상단 개정·시행 표시 · 문서 버전의 개정·시행일입니다. 개별 조항의 최초 도입일과 회사별 준비 마감일은 구분합니다.
문서 버전의 공개·시행일이며 개별 의무의 최초 도입일이나 회사의 준비 마감일이 아닙니다. 서비스 수록일은 2026.09.14입니다.
공식 원문 최근 확인 지연 · 현재성 재확인 필요
공식 원문 최근 확인 지연 · 현재성 재확인 필요
공식 원문 최근 확인 지연 · 현재성 재확인 필요
보존본 수집일 2026.09.14 · 게시·고시일을 대체하지 않습니다.
공식 원문 열기브리프 버전 OFFICIAL-official-saas-rule-r1
조건을 이해하기 위한 추가 근거
SaaS 제공자 평가와 단말·계정·추가 기능 통제
별표 7은 침해사고대응기관 평가에서 ‘충족’을 획득한 SaaS 이용과 관련 서류의 최신 상태 유지, 단말 보호, 최소권한, 중요계정 다중인증, 중요정보 통제, 로그 수집 등을 요구합니다. 제3자 앱·플러그인 등 허용하지 않은 추가 기능도 통제 대상입니다.
평가는 SaaS에 적용되는 필수 항목을 기준으로 합니다. 중요계정 다중인증 조건을 모든 계정의 동일한 의무로 바꾸지 않습니다. 구체적인 적용 범위는 원문과 이용 구조를 대조합니다.
일반 예외와 기존 혁신금융서비스를 구별하세요
정정된 FAQ 4번은 기존 지정·부가조건 준수·업무개시 보고 건의 특례 지위 유지와 금융감독원 반기 1회 보고를 안내합니다. FAQ 3번은 클라우드 이용 보고의 별도 필요를, 6번은 가명정보 처리 SaaS의 별도 혁신금융서비스 신청 필요를 설명합니다.
FAQ는 법규 본문과 구분하는 공식 참고 설명입니다. 게시일은 2026.04.20, 4번 답변 정정일은 2026.04.29입니다. 개별 지정 공고·기간·부가조건까지 확인해야 하며 회사의 특례 적용을 확정하지 않습니다.
해설서가 안내하는 도입·변경 시 확인 순서
해설서는 활용 범위 판단 → 자체 위험성 평가 → 대체통제·추가 보호대책 → 정보보호위원회 의결 순서를 안내합니다. 대상·범위 및 주요 기능 변경으로 보호대책에 중대한 변경이 생기면 재심의·의결을 안내합니다.
금융보안원의 공식 해설입니다. 법규상 통제와 설명·권고 사례를 구분하며 서비스가 추가한 회사별 판단으로 제시하지 않습니다. 책자 12~14쪽(PDF 16~18쪽)을 대조했고 레이어에는 12쪽의 핵심 절차를 발췌했습니다.
Interpretation · Recommendation
서비스 해석·권고는 전문가 검수 전으로 제공하지 않습니다. 공개된 사실과 적용 조건을 바탕으로 회사의 상황을 별도로 확인하세요.