법무법인[유] 지평 || [금융규제] 제2차 망분리 규제 긴급 완화 조치 — AI 보안 테스트 대상을 제2금융권

법률정보|Issue Briefing

[금융규제] 제2차 망분리 규제 긴급 완화 조치 — AI 보안 테스트 대상을 제2금융권 · 전자금융업자로 확대

2026.10.08

<div style="text-align: justify;">금융회사와 전자금융업자는 내부 업무용시스템과 전산실 내 정보처리시스템을 인터넷 등 외부통신망과 분리하여야 하므로(전자금융감독규정 제15조 제1항 제3호, 제5호), 외부통신망을 통해 제공되는 프런티어 AI나 보안 SaaS를 내부 시스템의 취약점 점검에 활용하기 어렵습니다.  AI를 악용한 해킹에 대비하여 금융위원회는 2026년 6월 17일 대형 금융회사 10개사를 선정하여 프런티어 AI를 활용한 보안 테스트(제1차 망분리 규제 긴급 완화 조치)를 실시하였습니다.  이어 금융위원회는 2026년 9월 3일 「프런티어 AI 상황대응반」 제5차 회의에서, 제1차 테스트의 운영 경험을 바탕으로 제2금융권과 전자금융업자까지 참여 대상을 넓히는 「제2차 망분리 규제 긴급 완화 조치」 세부방안을 확정하였습니다.  다만 최근 금융권 전반에서 해킹ㆍ정보유출 사고가 발생한 점을 고려하여, 당초 10월 초로 예정되어 있었던 제2차 망분리 규제 완화 대상 금융회사 선정은 연기되었습니다(이하 표 참조).<br />
 </div>

<ol>
	<li style="text-align: justify;"><strong>신청 자격 및 선정 규모 확대</strong>: 신청 대상은 49개사에서 75개사(금융회사 59개사, 전자금융업자 16개사)로, 선정 규모는 10개사에서 15개사 이내로 확대됩니다.  금융회사와 같은 자산ㆍ인력 기준을 적용하면 전자금융업자에게 충분한 신청 기회를 주기 어려우므로, 전자금융업자에게는 별도의 신청 기준이 적용됩니다.  정보보호의 책임성ㆍ독립성을 확보하기 위해 두 경우 모두 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 신청 대상이 한정됩니다.<br />
	 
	<table style="border-collapse:collapse; border:1pt solid #bbbbbb; width:100%;">
		<tbody>
			<tr>
				<td style="width:20%; border-width:2pt 1pt 1pt medium; border-style:solid solid solid none; border-color:rgb(204, 0, 0) rgb(187, 187, 187) rgb(187, 187, 187) currentcolor; background-color:rgb(242, 242, 242); padding:8px 15px; text-align:center;" valign="middle"><span style="font-size:18px;"><strong>구분</strong></span></td>
				<td style="width:80%; border-width:2pt 1pt 1pt medium; border-style:solid solid solid none; border-color:rgb(204, 0, 0) rgb(187, 187, 187) rgb(187, 187, 187) currentcolor; background-color:rgb(242, 242, 242); padding:8px 15px; text-align:center;" valign="middle"><span style="font-size:18px;"><strong>주요 내용</strong></span></td>
			</tr>
			<tr>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; vertical-align:middle; text-align:center;"><span style="font-size:18px; line-height:1.4;">금융회사</span></td>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:middle;">
				<div style="margin-bottom:8px; padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 종전(제1차)에는 총자산 10조 원 이상, 상시 종업원 수 1,000명 이상이었으나, 앞으로는 총자산 2조 원 이상, 상시 종업원 수 300명 이상</span></div>

<div style="margin-bottom:8px; padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- CISO가 다른 정보기술부문 업무를 겸직하지 않을 것</span></div>

<div style="padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 기준 충족 회사 59개사</span></div>
				</td>
			</tr>
			<tr>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; vertical-align:middle; text-align:center;"><span style="font-size:18px; line-height:1.4;">전자금융업자<br />
				(신설)</span></td>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:middle;">
				<div style="margin-bottom:8px; padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 연간 전자금융거래 금액 2조 원 이상</span></div>

<div style="margin-bottom:8px; padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 전자금융업 관련 매출액이 총 매출액의 10% 초과</span></div>

<div style="padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 기준 충족 회사 16개사</span></div>
				</td>
			</tr>
			<tr>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; vertical-align:middle; text-align:center;"><span style="font-size:18px; line-height:1.4;">선정 절차</span></td>
				<td style="border-width:medium 1pt 1pt; border-style:none solid solid; border-color:currentcolor rgb(187, 187, 187) rgb(187, 187, 187); padding:12px 15px; text-align:left; vertical-align:middle;">
				<div style="margin-bottom:8px; padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 2026. 9. 3.~9. 14. 신청, 9월 중 민간기술자문단 등이 보안역량ㆍAI 활용능력 평가</span></div>

<div style="padding-left:20px; text-indent:-10px; text-align:justify;"><span style="font-size:18px;">- 금융위원회 보고를 거쳐 15개사 이내 선정(2026. 10. 7. 선정 예정이었으나 최근 금융권 해킹 사고 대응을 위해 잠정 보류), 망분리 규제에 관한 비조치의견서(1년 한시) 발급</span></div>
				</td>
			</tr>
		</tbody>
	</table>
	<br />
	 </li>
	<li style="text-align: justify;"><strong>참여 회사의 의무</strong>: 선정된 회사는 보안 취약점 탐지ㆍ개선 목적으로 프런티어 AI, 보안 SaaS 등을 활용할 수 있습니다.  다만 망분리 규제가 완화되는 만큼, 데이터 유출과 외부 침해 등 보안사고 위험을 줄이기 위한 망분리 대체 통제수단을 마련하여야 합니다.  또한 테스트에서 확인된 AI 보안 위험성의 특성, 공격용도로 활용될 경우 예상되는 위험성, 효과적인 방어를 위한 대응요령 등 주요 결과를 정부에 보고하여야 하고, 정부는 이를 AI 가이드라인 개정과 보안대책 마련에 활용할 예정입니다.<br />
	 </li>
	<li style="text-align: justify;"><strong>제1차 테스트 중간점검 결과</strong>: 프런티어 AI는 수백만에서 수천만 라인에 달하는 소스코드를 수 시간 내에 분석하고, 기존 취약점을 넓은 범위에서 일관되게 누락 없이 탐색하는 것으로 나타났습니다.  금융권은 침입차단ㆍ방지시스템 등 다양한 보안조치를 적용하고 있기 때문에 이와 같이 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않다는 평가입니다.  다만 AI를 활용한 침해위협이 본격화될 경우에 대비하여 (i) 외부에 노출되는 전산자산 등 공격표면의 식별ㆍ관리 강화, (ii) 신속한 보안패치 등 대응속도 강화, (iii) ‘AI는 AI로 방어하는’ 대응체계 구축이 필요하다는 의견이 제시되었습니다.  정부는 제1차 테스트가 끝나면 발견된 취약점 유형, AI 점검의 특징과 활용 노하우, 보안 대응요령 등을 전 금융권에 전파할 계획입니다.<br />
	 </li>
	<li style="text-align: justify;"><strong>PG업권 보안리스크 점검</strong>: 2026년 9월 16일 열린 제6차 회의에서는 최근 PG사 침해사고를 계기로 PG업권의 보안리스크를 점검하였습니다.  PG사는 카드사 등 금융회사와 가맹점 사이의 전자금융거래를 중계하면서 이름ㆍ생년월일ㆍ결제정보 등 개인신용정보를 처리하므로, 침해사고가 대규모 정보유출과 카드 부정결제 등 직접적인 소비자 피해로 이어질 수 있습니다.  최근에는 PG사 자체의 취약점뿐 아니라 보안이 취약한 가맹점을 거친 우회 공격도 빈발하고 있습니다.  회의 참석자들은 (i) 가맹점 등 외부 접점의 위협까지 고려한 침해사고 탐지ㆍ대응체계를 구축하고, (ii) 정보유출 시 카드사와 신속히 정보를 공유하여 이상거래탐지시스템(FDS) 등록과 부정결제 모니터링을 강화하는 한편, 신속한 고객 안내ㆍ카드 재발급ㆍ피해 전액보상 등 소비자 보호조치를 함께 시행할 필요성에 공감하였습니다.  아울러 PG업권에서 처리하는 정보를 최소화하여야 한다는 의견도 제기되었습니다. 금융위원회는 PG업권의 보안체계와 소비자 보호체계에 관한 제도개선 과제를 발굴ㆍ검토하겠다고 밝혔습니다.</li>
</ol>

<div style="text-align: justify;"><br />
정부는 제1ㆍ2차 테스트 경과를 바탕으로 제3차 테스트의 시기와 선정 규모를 확정하고, 추가 차수 운영과 상시 제도화 방안도 검토할 계획입니다.  금융위원회는 고도의 AIㆍ보안역량을 갖춘 회사부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의 중이라고 밝혔습니다.<br />
 <br />
참고로 공격자도 같은 수준의 AI를 활용할 수 있으므로, 그동안 발견되기 어려웠던 취약점이 빠르게 노출될 수 있습니다.  이를 감안하여, 테스트에 참여하지 않는 금융회사도 외부에 노출된 전산자산 현황과 보안패치 적용 속도를 점검하고, 정부가 전파할 취약점 유형과 대응요령을 자체 점검에 반영할 필요가 있습니다.  또한 향후 망분리 완화 조치에 참여하려는 금융회사와 전자금융업자는 이번 신청 요건과 참여 의무에 비추어 CISO의 겸직 여부를 점검하고, 망분리 대체 통제수단을 미리 정비해 둘 필요가 있습니다.  PG사는 금융위원회가 제도개선 과제 발굴을 예고한 만큼, 가맹점 접점의 보안관리와 정보유출 시 카드사 공유ㆍ피해보상 절차를 사전에 점검할 필요가 있습니다.<br />
<br />
※ 참고 보도자료: <a href="https://www.fsc.go.kr/no010101/87646" target="_blank"><span style="color:#2980b9;">금융위원회, 「보다 다양한 금융회사들이 AI 보안위협에 철저히 대비할 수 있도록 제2차 망분리 규제 긴급 완화 조치를 추진합니다」(2026. 9. 3.)</span></a><span style="color:#2980b9;">; </span><a href="https://www.korea.kr/briefing/pressReleaseView.do?newsId=156781954" target="_blank"><span style="color:#2980b9;">금융위원회, 「PG업권 보안 리스크를 빈틈없이 점검하고 AI 보안위협에도 철저히 대비하겠습니다」(2026. 9. 16.)</span></a></div>

Issue Briefing [금융규제] 토큰증권 관련 하위법규 개정안 입법예고 — 분산원장 요건과 채무증권 장외거래소 도입 2026.10.08

Issue Briefing [금융규제] 「금융소비자 보호에 관한 감독규정」 개정안 규정변경예고 — 예금성 상품 판매대리 · 중개업 등록제 도입 2026.10.08

목록으로

JIPYONG 법무법인[유] 지평

관련 업무분야

관련 구성원

관련 업무분야

관련 구성원

SHARE

면책공고

유한책임