【 청년일보 】 대한민국 금융권의 보안을 상징하던 '망분리' 규제가 대전환점을 맞이하고 있다.

망분리란 내부 업무망과 외부 인터넷망을 물리적으로 분리하여 외부 해킹으로부터 고객 데이터를 보호하는 강력한 보안 정책이다. 2013년 대규모 금융 전산 사고를 계기로 도입되어 2014년부터 물리적 망분리가 의무화된 이 규제는 한국 금융의 보안 수준을 높였다는 평가를 받지만, 클라우드와 생성형 AI가 주도하는 현시점에서는 금융 혁신을 가로막는 '족쇄'라는 지적이 끊이지 않아 왔다.

그리고 올해 4월, 10년 넘게 유지되어 온 이 빗장이 마침내 풀리기 시작했다.

◆ 무엇이 바뀌었나…4월 20일, 역사적인 첫 단추

금융위원회와 금융감독원은 지난 4월 20일 '전자금융감독규정시행세칙'을 개정·시행하며, 금융회사가 내부 업무망에서 클라우드 기반 소프트웨어(SaaS)를 별도의 혁신금융서비스 심사 절차 없이 사용할 수 있도록 허용했다. 그동안 외부 인터넷망과 단절되어 메신저, 화상회의, 문서 관리 등 기본적인 클라우드 협업 도구조차 쓰기 어려웠던 금융권의 업무 환경이 크게 개선될 것으로 기대된다.

이번 조치는 금융당국이 2024년 8월 발표한 「금융분야 망분리 개선 로드맵」의 첫 번째 단계에 해당한다. 로드맵은 3단계로 구성된다. 1단계에서는 SaaS 허용과 생성형 AI 활용 기반 마련, 2단계에서는 개인신용정보 처리 허용 등 규제 특례 고도화, 3단계에서는 금융사가 스스로 리스크를 평가하고 사고 발생 시 결과 책임을 지는 '자율보안' 원칙 기반의 디지털 금융보안법 제정이 추진된다. 단순한 규제 완화가 아닌, 금융 보안의 패러다임 전환을 단계적으로 설계해 나가겠다는 전략이다.

◆ 혁신의 필요성…"AI·클라우드 없는 금융은 글로벌 경쟁에서 고립"

금융당국이 망분리 완화를 추진하는 가장 큰 이유는 생성형 AI의 도입이다. 챗GPT와 같은 최첨단 AI 모델을 업무에 활용하기 위해서는 외부 클라우드와의 연결이 필수적이지만, 기존의 엄격한 물리적 망분리 환경에서는 규제 샌드박스를 통한 예외 지정 없이는 이러한 기술 활용이 사실상 극히 제한적이었다.

공학적 관점에서 볼 때, 현대의 소프트웨어 개발 환경은 오픈소스와 클라우드 기반의 협업 시스템을 전제로 한다. 실제 데이터 모델링과 대용량 데이터 전처리가 필수적인 금융 IT 현장에서는 외부 라이브러리 접근이나 클라우드 컴퓨팅 자원 활용에 제약을 받는 구조가 개발 효율성을 저하시키고, 글로벌 핀테크 경쟁력을 약화시킨다는 지적이 컸다.

업계에서는 이번 규제 완화를 계기로 마이크로소프트365(M365), 구글 워크스페이스 등 글로벌 협업 툴과 국내 AI 솔루션 도입이 본격화되며 금융권의 업무 방식 전반에 실질적인 혁신이 일어날 것으로 전망하고 있다.

◆ 보안의 딜레마…'제로 트러스트'가 뜬다, 논리적 보안으로의 전환

그러나 규제 완화에 따른 우려도 만만치 않다. 망분리의 빗장이 풀릴 경우, 고도화되는 사이버 공격에 금융권이 노출될 수 있다는 것이다. 실제로 최근 랜섬웨어는 특정 금융기관을 겨냥하는 서비스형 랜섬웨어(RaaS) 형태로 진화하고 있으며, AI를 활용한 공격 자동화도 현실화되고 있다.

이에 대한 대안으로 주목받는 것이 '제로 트러스트(Zero Trust)' 보안 모델이다. 제로 트러스트란 '아무도 믿지 않는다'는 전제하에 모든 접속 요청을 철저히 검증하고 권한을 최소화하는 방식이다. 물리적으로 선을 끊는 단순한 방식에서 벗어나, 데이터의 흐름을 실시간으로 추적하고 모든 접근을 지속적으로 검증하는 정교한 논리적 보안 체계로의 전환이 요구된다.

금융당국도 이 점을 직시하고 있다. 이번 개정안은 망분리 예외를 허용하는 대신, 금융보안원의 평가를 통과한 SaaS만 사용하도록 하고, 접근 권한 최소화, 중요정보 모니터링·통제, 반기별 정보보호위원회 보고 등 엄격한 대체 보안통제를 의무화했다. 금융감독원은 나아가 올해부터 생성형 AI 서비스 이용 시 발생할 수 있는 보안 위협을 점검하기 위해 'AI 레드티밍' 기법을 금융권 모의해킹 훈련에 최초로 적용하기로 했다. 해커의 관점에서 AI 시스템을 직접 공격해 취약점을 발굴하는 이 기법은, 이제 금융 보안이 AI와 AI의 대결로 진화하고 있음을 보여준다.

◆ 차세대 금융 IT 전문가의 과제…코드를 짜는 사람에서 리스크를 설계하는 사람으로

이번 정책 대전환은 미래 금융 시장을 준비하는 청년들에게 새로운 과제를 던진다. 핵심은 이것이다. 망분리 완화는 단순한 규제 철폐가 아니라, 보안의 책임 주체가 '규제'에서 '금융사 스스로'로 이전되는 패러다임의 전환이다. 이는 금융 IT 전문가에게 단순히 코딩 실력을 갖추는 것을 넘어, 금융 정책의 흐름을 읽고 기술이 가져올 리스크를 사전에 설계할 줄 아는 '정책적 식견'을 요구한다.

데이터의 가치를 극대화하면서도 고객의 신뢰를 지켜낼 수 있는 기술적 균형 감각, 그리고 시스템 전체를 최적화하는 공학적 사고방식이 미래 금융 IT 시장을 주도할 핵심 역량이 될 것이다. 혁신과 보안, 이 두 가치의 줄타기를 능숙하게 해낼 '금융 보안의 설계자'가 지금 금융권이 가장 필요로 하는 모습이다. 공학적 역량과 인문학적 식견을 동시에 갖춘 청년들이 그릴 '디지털 금융 강국'의 미래가 기대되는 시점이다.
 

【 청년서포터즈 9기 이민아 】