금융 망분리 완화 —
전자금융감독규정 293→166 행위규범 개편과 CDR의 필수 역할

2016년 전자금융감독규정이 물리적 망분리를 의무화한 지 약 10년, 한국 금융권 보안의 기둥이 흔들리고 있다. 2024년 8월 금융위원회·금융감독원의 전자금융감독규정 개정으로 클라우드·SaaS 사용 허용 범위가 대폭 확대됐고^[1], 2026년에는 기존 293개 행위규범이 166개로 재편된다^[2]. 평가체계도 바뀌어 금융 IT 운영 및 보안평가 869개 항목(신설 클라우드 관리체계 73개 포함)으로 확장된다^[3]. 그러나 완화는 공짜가 아니다. 2025년 하반기 Qilin 랜섬웨어가 19개 자산운용사를 동시 타격했고^[10], 미래에셋증권에서는 약 110억 원 규모 사고, 한국투자증권에서는 167억 원 규모 사고가 이어졌다^[11]. 이 글은 규제 완화의 조건이 왜 "구조적 방어"일 수밖에 없는지, CDR이 그 조건에서 어떤 필수 역할을 수행하는지 1차 자료로 해부한다.

금융위원회가 2024년 8월 발표한 전자금융감독규정 개정안의 핵심은 물리적 망분리 단일 의무에서 조건부 논리적 망분리 허용으로 전환이다^[1]. 클라우드 컴퓨팅 서비스 이용, SaaS 업무시스템 활용, 원격근무 환경 구축이 조건을 충족하는 경우 허용된다. 당국의 문언은 직접적이다 — "정보처리시스템의 논리적 망분리를 인정하되, 이용기관이 대체통제수단을 통해 동등 이상의 보안수준을 확보할 것"을 전제로 한다^[4].

이 "대체통제수단"이 본 글의 핵심이다. 망을 물리적으로 끊는 방식이 주던 "경로가 없으니 공격도 없다"는 구조적 안심이 사라지면, 경로마다 콘텐츠 수준에서 막아야 한다. 금융보안원(FSEC)이 2025년 말~2026년 초 293→166 행위규범 재편과 함께 869개 평가항목을 확정한 배경이다^[3].

"규제가 원칙 중심으로 재편될수록 금융회사의 자율보안 책임은 커지고, 콘텐츠·데이터·엔드포인트 계층의 기술적 통제는 더 정교해져야 한다." — 금융보안원 2026 금융 IT·정보보호 실태평가 안내^[3]

기존 전자금융감독규정 시행세칙의 행위규범 293개는 각 세부 행위마다 의무 사항을 나열하는 방식이었다. 2026년 금융보안원이 확정한 166개 재편안은 중복·저실효 항목을 통합하고 원칙 중심으로 재구조화한 결과다^[2].

재편의 4대 방향

1. 원칙 중심 — 구체 절차 나열 대신 "달성해야 할 보안 원칙" 제시
2. 자율보안 책임 강화 — 금융회사 자체 위험분석·대책 수립을 전제
3. 클라우드·신기술 수용 — 기존에 공백이던 영역 통제 신설
4. 평가 일원화 — FSEC 주관 869개 평가항목으로 일관 측정^[3]

개편 전후 비교

구분	기존 293 행위규범	재편 166 행위규범
접근 방식	세부 행위 의무화	원칙 중심 + 자율보안
망분리 조항	물리적 단절 의무	조건부 논리적 허용
클라우드	엄격 제한	조건부 허용 + 전용 통제체계
평가 주체	감독당국·자체점검 혼재	FSEC 주관 통합 평가
평가 항목	대응 항목 분산	869개 통합[3]
위반 판단	형식적 불이행	원칙 미달성 + 결과 책임

금융보안원이 2026년부터 시행하는 금융 IT 운영 및 보안평가는 869개 항목으로 구성된다^[3]. 이 중 가장 중요한 변화는 클라우드 관리체계 영역 73개 항목 신설이다. 기존 평가에 부분적으로 산재하던 클라우드 통제 요건을 하나의 독립 카테고리로 통합한 결과다.

869개 평가항목 카테고리 분해

카테고리	항목 수	핵심 내용
정보보호 관리체계	약 180	정책·조직·인력·교육·리스크 관리
접근통제·인증	약 140	계정관리·다중인증·특권접근
데이터 보호	약 120	암호화·분류·DLP·파기
시스템·네트워크 보안	약 160	망분리·방화벽·EDR·SIEM
클라우드 관리체계 (신설)	73	클라우드 거버넌스·CSP 계약·데이터 주권·SaaS 보안[3]
사고대응·BCP	약 90	침해사고·DR·BCP·훈련
외주·공급망	약 70	외주 관리·공급망 보안
감사·증적	약 40	감사 로그·증거 보존·감사대응

* 카테고리별 항목 수는 FSEC 공개 구조를 바탕으로 한 분류 근사치이며, 공식 분류는 FSEC 평가지침을 따른다.

신설 클라우드 관리체계 73개의 핵심

• 클라우드 거버넌스 — CSP 선정 기준, 이용 범위 승인, 데이터 주권
• 계약·SLA 관리 — CSP와의 계약 조항, 감사권, 책임 분담 명확화
• SaaS 업무시스템 보안 — 도입 심사, 운영 모니터링, 데이터 반출입 통제
• 논리적 망분리 기술통제 — VLAN·SDN·제로트러스트 아키텍처
• 콘텐츠 반출입 통제 — 파일 반입·반출 시 CDR·DLP 의무화
• 암호화·키 관리 — 클라우드 전송·저장 암호화, KMS 통제

"콘텐츠 반출입 통제"가 CDR 배치의 직접 근거가 되는 항목군이다. 클라우드·SaaS를 쓰려면 그 경계에서 실행 가능 콘텐츠가 정제된 후에만 반입되어야 한다는 요건이 명시적으로 들어왔다^[4].

물리적 망분리와 논리적 망분리는 "망을 나눈다"는 목표는 같지만 구현 방식과 방어 원리가 근본적으로 다르다. 이 차이를 이해해야 완화 시대에 요구되는 보완 통제를 설계할 수 있다.

항목	물리적 망분리	논리적 망분리
구현	별도 회선·별도 PC·별도 장비	VLAN·SDN·VPN·제로트러스트
망간 이동	망연계 시스템 + 매체 반입	정책 기반 게이트웨이 + ACL
비용	매우 높음 (중복 인프라)	상대적으로 낮음
업무 효율	낮음 (매체 의존)	높음 (즉시 전달 가능)
외부 연계	매우 제한적	클라우드·SaaS 직접 연결
공격 표면	좁음 (매체·망연계 지점)	넓음 (정책 모든 경로)
통제 핵심	경로 차단 자체	콘텐츠 검증·권한 검증
사고 시 파급	격리된 망만 영향	전파 가능성 ↑

논리적 망분리가 요구하는 보완 통제 4종

1. CDR — 파일 반입 시 실행 가능 콘텐츠 구조적 제거
2. DLP — 파일 반출 시 민감정보 유출 탐지·차단
3. EDR — 엔드포인트 실행 단계 이상행위 탐지
4. SIEM — 이상 징후 통합 모니터링·감사 증적

이 4종은 독립 제품이 아니라 "논리적 망분리가 물리적 망분리 수준의 방어력을 확보하기 위한 최소 집합"이다. 금융보안원 지침도 이를 명시한다 — "대체통제수단은 단일 솔루션이 아닌 계층 방어 체계로 구성되어야 한다."^[4]

망분리 완화의 대체통제수단으로 CDR이 특별한 위상을 갖는 이유는 "실행 가능 콘텐츠를 파일 수준에서 구조적으로 제거"하는 유일한 계층이기 때문이다. AV·EDR·샌드박스 모두 "악성 여부 판단" 문제에서 자유롭지 못하지만, CDR은 판단 없이 제거한다.

CDR이 망분리 완화 환경에서 맡는 3가지 역할

CDR 없이 망분리 완화를 시도할 경우

• 제로데이 문서 공격 차단 실패 — AV 시그니처 미탐지
• DLL 사이드로딩·스크립트 체인 차단 실패 — 샌드박스 회피 기법에 취약
• 비실행형 문서 내 실행 요소(OLE·매크로·JSE) 그대로 유통
• EDR 의존 증가 — 실행 후 대응이 되어 피해 범위 확대

시큐레터 MARS 엔진 기반 CDR은 리버스엔지니어링 기반 정적 분석과 콘텐츠 재조립을 결합해 악성 여부 판단 과정 없이 309종 포맷의 실행 가능 요소를 제거한다^[20]. 파일당 평균 무해화 시간은 34ms로 측정됐다^[20].

"논리적 망분리 환경에서 파일 반입 경로의 콘텐츠 무해화는 선택이 아니라 전제다. 감독당국이 '대체통제수단의 동등 이상 보안 수준'을 요구할 때, CDR은 그 '동등'의 기술적 근거가 된다." — 시큐레터 MARS 플랫폼 기술 자료^[20]

2025년 하반기 금융권에서 가장 큰 충격을 준 사건은 러시아어권 랜섬웨어 그룹 Qilin이 한국 19개 자산운용사를 동시 타격한 사건이다^[10]. 공격의 진입점이 외주 파일 공유 채널이었다는 점이 중요하다.

공격 체인 요약

1. 진입 — 자산운용사 공통 사용 외주 IT 파트너 계정 탈취
2. 전파 — 파트너 포털을 통해 19개사에 악성 문서 동시 배포
3. 실행 — 문서 내 매크로·스크립트 체인으로 로더 배포
4. 측면이동 — 논리적 망분리 경계 우회, 내부 시스템 침투
5. 암호화·협박 — 고객 포트폴리오·거래 데이터 탈취 후 이중 협박

공급망 공격 패턴은 망분리 완화 환경에서 특히 위협적이다. 공격자는 "이미 신뢰된 경로"를 타고 들어오기 때문에 정책 기반 게이트웨이가 차단하기 어렵다. 콘텐츠 수준에서 실행 요소를 제거하지 않으면 이 공격 벡터는 막을 수 없다.

2025년 증권업계에서 공개된 대형 사고 2건은 망분리 완화 전환의 위험을 보여준다. 보도된 규모는 미래에셋증권 약 110억 원, 한국투자증권 약 167억 원이다^[11]. 각 사고의 세부 원인은 조사 진행 단계로 일부 비공개지만, 공개된 범위에서의 구조적 교훈은 다음과 같다.

공통 관찰

• 내부 시스템 간 파일 이동 경로가 개입했다는 점
• 기존 통제 우회 시도가 감사 로그에서 뒤늦게 확인됐다는 점
• 콘텐츠 수준 검증 공백이 전파 경로 확장에 기여했다는 점

* 구체 공격 체인·책임 범위는 금융감독원·금융보안원 조사·공시 결과를 따른다. 본 글은 공개된 보도 범위로 제한한다.

증권사 특유의 리스크 요인

• 고빈도 파일 유통 — 투자보고서·거래내역·고객서류
• 외부 협업 폭 — 운용사·수탁사·외주 IT·금융투자협회 등 다수
• HWP·엑셀·PDF 등 문서 파일 중심 업무 — 공격 표면이 넓음
• 실시간 처리 요구 — 보안 검증이 성능을 저해하면 안 됨

34ms급 무해화 성능이 중요해지는 지점이다^[20]. 증권사의 초당 파일 처리량을 고려할 때 CDR 엔진의 지연이 업무 병목이 되면 도입 자체가 어려워진다. 성능과 구조적 방어가 동시에 충족되어야 한다.

망분리 완화 환경의 증권사는 파일 게이트웨이를 중심으로 콘텐츠 보안을 재설계한다. 기존에 분산되어 있던 이메일 게이트, 웹 게이트, 망연계 게이트가 통합 콘텐츠 보안 계층으로 수렴한다.

권장 아키텍처 구성

1. 수신 게이트 — 이메일·웹·API·SaaS 반입 파일 수집
2. 사전 필터 — 포맷 검증, 크기 제한, 메타데이터 검사
3. MARS 정적 분석 — 리버스엔지니어링 기반 위협 의도 분석^[20]
4. CDR 무해화 — 실행 가능 콘텐츠 구조적 제거·재조립
5. DLP 검사 — 반출 시 민감정보 탐지
6. 감사 로그 — SIEM 통합, 무엇을 제거했는지 전수 기록
7. 전달 — 업무망·사용자 엔드포인트로 안전 전달

통합 지점의 중요성

게이트웨이가 분산되어 있으면 각 경로마다 정책과 로그가 별개로 운영된다. 사고 조사 시 경로 재구성이 어렵고, 정책 불일치가 공격자의 우회 지점이 된다. 단일 파일 게이트웨이로 수렴한 아키텍처는 2026 평가 869항목 중 감사·증적 40개 항목을 충족하기에도 유리하다^[3].

금융회사의 클라우드 전환은 2024.8 감독규정 개정 이후 본격화되고 있다^[1]. CDR 배치 지점은 클라우드 도입 패턴에 따라 달라진다.

패턴 A — SaaS 이메일 도입 (M365·Google Workspace)

• 배치 지점: SaaS 이메일 → 업무망 경계 + SMTP/IMAP 게이트
• 핵심 기능: 첨부 무해화, URL 샌드박스, 감사 증적
• 시큐레터 매핑: SLE + DISARM^[20]

패턴 B — 클라우드 업무 시스템 (IaaS·PaaS)

• 배치 지점: 클라우드 리소스로 들어오는 API·파일 업로드 경로
• 핵심 기능: 웹 업로드 CDR, 콘텐츠 정책
• 시큐레터 매핑: SLCDR

패턴 C — 하이브리드 (온프레미스 + 클라우드)

• 배치 지점: 온프레미스-클라우드 연결 구간 + 각 반입 경로
• 핵심 기능: 망연계·망간 파일 전송, 통합 감사
• 시큐레터 매핑: SLF

패턴 D — 고객 제출 채널 (웹·앱)

• 배치 지점: 고객이 업로드하는 증빙·계약·본인인증 서류 경로
• 핵심 기능: 고객 파일 정제, 실시간 처리
• 시큐레터 매핑: SLCDR, 위협 정보는 ConTI

네 패턴 모두에 공통으로 필요한 것은 감사 증적의 통합이다. CDR이 무엇을 제거했는지, 왜 제거했는지, 원본이 어디에 있는지를 모든 경로에 대해 일관 기록해야 2026 평가 869항목을 충족한다^[3].

은행

은행은 규제 강도가 가장 높고 거래량이 방대하다. 논리적 망분리 전환을 가장 보수적으로 추진한다.

• 1차: 내부 이메일 CDR 전면 적용
• 2차: 고객 제출 채널(대출·개인금융 증빙) CDR
• 3차: 기업고객·공공 연계 파일 게이트웨이 통합
• 4차: 선별된 클라우드 SaaS 도입 시 경계 CDR

증권사

파일 유통 빈도가 가장 높고 외부 협업 폭이 가장 넓다. 성능과 구조적 방어의 균형이 핵심.

• 1차: 외주·수탁사 파일 채널 CDR (Qilin 교훈 반영)
• 2차: 이메일·웹 업로드 CDR 통합
• 3차: 고빈도 처리를 위한 성능 최적화
• 4차: 리서치·컴플라이언스 SaaS 경계 CDR

보험사

고객 제출 서류(진단서·사고 증빙·보험금 청구)가 핵심 처리 대상. HWP·PDF·이미지 혼합 포맷.

• 1차: 고객 업로드 채널 CDR (다양한 포맷 처리)
• 2차: 설계사·대리점 연계 파일 CDR
• 3차: 의료기관·재보험사 API 연계 보안
• 4차: 텔레마케팅·디지털 채널 클라우드 경계

영역	293 체계 (BEFORE)	166 체계 (AFTER)	CDR 관련성
망분리	물리적 단절 의무	조건부 논리적 허용	필수
이메일 보안	SPAM·AV 기반 통제	콘텐츠 무해화 명시 요건	필수
웹 업로드	URL 필터 중심	업로드 파일 콘텐츠 정제	필수
클라우드	엄격 제한	73개 항목 통제체계 신설	필수
외주·공급망	계약·SLA 중심	파일 경로 통제 명시	필수
암호화	저장·전송 구분	키 관리 포함 일원화	간접
접근통제	계정·권한 중심	제로트러스트 수용	간접
EDR	명시 없음	엔드포인트 탐지 요건	연계
SIEM·감사	보존 기간 중심	실시간 상관분석	연계
사고대응	절차 중심	원칙·결과 중심	연계
평가 방식	체크리스트	869항목 통합 평가	전범위

표에서 "CDR 관련성 필수"가 5개 영역에 걸쳐 있다는 점이 핵심이다. 단일 솔루션으로서의 CDR이 아니라 망분리 완화 전체를 떠받치는 콘텐츠 계층이라는 위상이 감독 체계에 명문화됐다.

영국 FCA (Financial Conduct Authority)

영국은 물리적 망분리 의무를 두지 않는다. FCA는 Principles-based Regulation을 수십 년 운영해왔고, 기술적 통제는 "Operational Resilience" 프레임워크에 통합되어 있다^[14]. 한국 293→166 개편이 결과적으로 FCA 스타일에 근접해가는 방향이다.

• PRA Supervisory Statement SS2/21 (Outsourcing & Third Party Risk Management)
• Operational Resilience Policy Statement PS6/21
• Cloud 사용 가이드 FG16/5 (2016) → 수정 2022

싱가포르 MAS TRM Guidelines

싱가포르 통화청(Monetary Authority of Singapore)의 Technology Risk Management Guidelines는 아시아 금융 보안 규제의 참고 기준으로 자리잡았다^[15]. 2021년 개정본에서 클라우드·API 보안·DevSecOps·제로트러스트를 정식 편입.

• Section 9 — 클라우드 서비스 이용
• Section 12 — 접근통제
• Section 13 — 암호화 및 키관리
• Annex 3 — 사이버보안 모니터링

미국 FFIEC IT Examination Handbook

미국의 연방금융기관검사협의회(Federal Financial Institutions Examination Council)는 FFIEC IT Handbook을 운영한다^[16]. Information Security Booklet · Architecture, Infrastructure, and Operations · Outsourcing 등이 핵심. 미국 은행은 OCC·FDIC·FRB의 공동 감독 하에 이 프레임워크를 준수한다.

국제 기준 — BCBS 239 · ISO 27001 · NIST

• BCBS 239 — 바젤은행감독위원회 Principles for effective risk data aggregation^[17]
• ISO/IEC 27001:2022 — 정보보호 관리체계 국제표준
• NIST SP 800-53 Rev.5 / 800-207 — 미국 연방 보안 통제 및 제로트러스트 아키텍처^[18]

규제 체계	망분리 접근	클라우드	CDR 위상
한국 전자금융감독규정	조건부 논리 허용	73항목 통제	필수 대체통제
영국 FCA	원칙 중심	FG16/5 가이드	Operational Resilience
싱가포르 MAS TRM	위험기반	Section 9	File Security 권고
미국 FFIEC	Layered Defense	Outsourcing Booklet	IS Booklet 권고
BCBS 239	리스크 데이터 원칙	—	간접

국제 비교의 결론은 분명하다. 어느 규제 체계도 물리적 망분리를 유일 해법으로 두지 않는다. 한국의 293→166 개편은 국제 표준 수렴 과정이며, CDR은 어느 체계에서도 파일 반입 계층의 필수 구성으로 자리잡고 있다.

시큐레터의 4종 제품이 293→166 체계와 869 평가항목에 어떻게 매핑되는지 정리한다. MARS 엔진을 공통 기반으로 각 제품이 경로별 역할을 담당한다^[20].

제품	역할	주요 커버 경로	관련 평가항목
SLF SecuLetter File	망간·망연계 파일 보안	온프레미스-클라우드, 업무망 간 전송	시스템·네트워크 · 클라우드 · 감사
SLE SecuLetter Email (+DISARM)	이메일 보안·무해화	SaaS 이메일, 외부 수신 이메일	접근통제 · 데이터 보호 · 사고대응
SLCDR SecuLetter CDR	웹 콘텐츠 CDR	고객 업로드, 웹 업로드, API 반입	데이터 보호 · 클라우드 · 공급망
ConTI Content Threat Intelligence	위협 인텔리전스	신규 변종 지표, SIEM 연계	사고대응 · 감사 · 관리체계

통합 가치

• 공통 MARS 엔진 — 리버스엔지니어링 기반 정적 분석 일관성
• 309종 파일 포맷 지원 — 금융권 실무 포맷 전방위 커버^[20]
• 34ms 평균 처리 성능 — 고빈도 처리 요구에 대응^[20]
• KISA 인증 · TTA 인증 · Gartner 인지 — 공인된 검증 기반^[20]
• 통합 감사 로그 — 869 평가항목의 감사·증적 카테고리 충족 기반

2024년 8월 전자금융감독규정 개정부터 2026년 293→166 행위규범 개편, 869개 평가항목 시행까지의 흐름은 한국 금융 보안 패러다임의 10년에 한 번 있는 전환이다^[1][2][3]. 전환의 방향은 명확하다 — 물리적 벽 하나에 의존하던 체계에서 콘텐츠·데이터·엔드포인트·감사의 다층 방어로.

Qilin 자산운용사 19개사 동시 공격, 미래에셋 110억·한국투자증권 167억 규모 사고는 이 전환이 말로만 이루어지는 것이 아니라 실제 공격 표면의 변화를 동반함을 보여준다^[10][11]. 망이 물리적으로 끊겨 있을 때 숨어있던 벡터들이, 논리적 망분리 환경에서 가시화되는 것이다.

완화는 공짜가 아니다. 대체통제수단이 물리적 망분리가 주던 구조적 안심을 동등 이상으로 재현해야 한다. 그 재현의 기술적 근거가 CDR이다. 판단 없이 제거하는 구조적 접근이 제로데이·공급망·파일리스에 일관되게 작동하기 때문이다. 금융위의 감독규정, 금융보안원의 166 행위규범, 869 평가항목 모두에서 CDR은 선택 옵션이 아니라 완화의 전제 조건으로 자리잡고 있다.