금융권 클라우드 전환과 CDR —
2026 평가 869항목 · 신설 클라우드 관리체계 73항목 대응

금융보안원(FSEC)은 2026년부터 금융 IT·보안 평가체계를 869항목으로 확대 운영한다. 이 중 신설된 클라우드 관리체계 73항목은 별도 카테고리로 편입됐다^[1]. 2024년 8월 전자금융감독규정 개정으로 중요도 평가 기반 클라우드 사용이 가능해진 이후, 은행·증권·보험·자산운용·핀테크는 M365·Google Workspace 같은 SaaS 이메일, SharePoint·Drive 같은 협업 스토리지, AWS·Azure·GCP 같은 IaaS로 급속히 이동하고 있다. 그러나 같은 시기 Qilin 랜섬웨어가 2025년 한국 자산운용사 19곳을 동시 공격했고^[7], 미래에셋증권 110억 원·한국투자증권 167억 원의 해킹 관련 사고가 보고됐다^[8]. 2025년 6월에는 EchoLeak(CVE-2025-32711)이 Microsoft 365 Copilot에서 최초의 Zero-click AI 익스플로잇으로 공개됐다^[10]. 이 글은 869·73 항목을 출발점으로 국내외 규제, 실제 사고, 그리고 CDR이 SaaS/PaaS/IaaS 각 배치 옵션에서 어떤 역할을 하는지를 해부한다.

금융보안원은 전자금융기반시설 취약점 평가를 매년 갱신해왔다. 2025년까지 운영된 평가체계가 737항목이었던 반면, 2026년부터는 869항목으로 132개 확대된다^[1]. 단순한 수량 증가가 아니다. AI·오픈뱅킹·마이데이터·망분리 개편·클라우드 전환이라는 5개 축을 반영한 구조 개편이다.

항목 재편의 맥락

• 망분리 예외 확대 — N2SF(국가 네트워크 보안 프레임워크) 등급제 도입 흐름과 맞물려 금융권도 물리적 망분리 일변도에서 논리적·클라우드 기반 통제로 이동
• AI·LLM 사용 증가 — Copilot · Gemini · ChatGPT Enterprise 도입, 데이터 주권과 프롬프트 누출 리스크 포함
• 오픈뱅킹·마이데이터 API — 제3자 연동 트래픽의 파일·문서 반입 경로 확대
• 공급망 보안 — SolarWinds 이후 이어진 공급망 중심 위협 대응
• 클라우드 이중화·재해복구 — 단일 CSP 장애 시 업무 연속성 확보

869항목 중 73항목이 클라우드 관리체계로 신설됐다^[1]. 금융보안원이 공개한 구조를 기반으로 카테고리를 분해하면 다음과 같다.

대분류	예상 항목 수	주요 통제 포인트	CDR 관련성
CSP 선정·계약	10~12	CSAP 등급 확인, 데이터 주권, 서비스 수준 협약(SLA), 출구 전략	간접
클라우드 접근 통제	12~14	IAM·MFA·Zero Trust, 관리자 계정 분리, 콘솔 접속 로그	간접
데이터 보호·암호화	10~12	저장·전송 암호화, 키 관리(KMS/HSM), 데이터 분류	간접
SaaS 이메일·협업 보안	8~10	M365·Workspace 첨부파일, 스피어피싱, 외부 공유, 데이터 유출	직접
파일·콘텐츠 반입 통제	6~8	업로드 게이트, 악성 파일 차단, CDR 적용	핵심
로깅·모니터링	8~10	CSP 로그(CloudTrail·Audit Log), SIEM 연동, 이상행위 탐지	직접
침해사고 대응·복구	6~8	멀티리전 DR, 랜섬웨어 대응, 백업 불변성(Immutable)	간접
공급망·제3자 관리	5~7	CSP 하위 위탁자, 오픈소스 의존성, API 파트너	간접

73항목은 단일 카테고리가 아니라 기존 평가체계와 교차하는 매트릭스다. 예를 들어 "파일·콘텐츠 반입 통제"는 기존 엔드포인트 보안, 이메일 보안, 웹 보안 카테고리에서도 평가받아 왔다. 클라우드 신설 항목은 이 같은 통제를 클라우드 컨텍스트에서 재확인하는 구조다. 금융기관 입장에서 한 솔루션이 온프레·클라우드 양쪽에서 동일 원리로 작동하면 평가 부담이 줄어든다.

2024년 8월 금융위원회는 전자금융감독규정을 개정해 금융회사의 클라우드 이용 범위를 실질적으로 확대했다^[2]. 핵심 변경점은 다음과 같다.

주요 개정 내용

• 중요도 평가 방식 정교화 — 과거 "중요 업무 = 클라우드 제한"의 이분법에서 벗어나 서비스 특성·데이터 민감도·장애 영향도를 평가해 활용 가능 여부 판단
• CSP 안전성 평가 절차 명확화 — 금융보안원 등에 위탁 평가 가능 · 재평가 주기 구체화
• SaaS 활용 요건 완화 — CSAP 인증 SaaS를 통해 일반 업무(HR·협업·이메일) 활용 범위 확대
• 망분리 예외 확대 기반 — 논리적 통제 기반으로 클라우드 콘솔·관리자 접근 예외 인정
• 출구 전략(Exit Plan) 의무화 — CSP 장애·철수 시 데이터 회수·업무 연속성 계획 보유

개정이 만든 현실적 변화

2024년 8월 이후 금융기관의 실제 움직임은 세 방향이다. ① SaaS 이메일 전환 — 자체 Exchange에서 Microsoft 365 또는 Google Workspace로 이동. ② 협업 도구 클라우드화 — Teams·Slack·Notion 도입. ③ IaaS 기반 신규 서비스 — 마이데이터·오픈뱅킹·AI 챗봇을 AWS·Azure·NHN Cloud·KT Cloud에 구축.

한국의 클라우드 보안 인증(CSAP, Cloud Security Assurance Program)은 2023년부터 상·중·하 3등급 체계로 운영된다^[4]. 금융기관 클라우드 선택의 1차 필터 역할을 한다.

등급별 특성

등급	대상 시스템	주요 요건	금융권 활용
상	민감정보·주요정보 처리 · 공공 핵심	물리적 망분리 요구사항 · 국내 CSP 실질 사유	주요 업무 시스템 이전 검토 시
중	개인정보·비공개정보 일부	논리적 분리 허용, 보안 통제 요구	일반 업무·협업·이메일
하	공개 서비스 · 일반 정보	기본 통제	마케팅·공개 웹

SaaS 간편인증 제도

2023년 도입된 SaaS 간편인증은 CSAP IaaS 인증을 받은 사업자 위에서 운영되는 SaaS를 간소 절차로 인증하는 제도다^[4]. Google Workspace·Microsoft 365 한국 리전이 CSAP 간편인증을 받으면서 금융·공공의 SaaS 이메일 도입이 가속화됐다.

시큐레터 DISARM 같은 API 기반 클라우드 이메일 보안 SaaS도 이 구도에서 활용된다. 간편인증 SaaS 이메일 위에 API로 연결해 무해화 계층을 추가하는 방식이다^[3].

해외 금융 규제도 클라우드를 정조준한다. 글로벌 사업을 영위하거나 해외 지점을 둔 국내 금융기관은 이 규제들도 동시에 만족해야 한다.

FFIEC Cloud Computing Booklet (미국)

미국 연방금융기관검사협의회(FFIEC)는 2020년 Cloud Computing Security Booklet을 업데이트해 은행의 클라우드 활용 가이드를 제시했다^[5]. 주요 원칙:

• 고유 리스크 평가(Risk Identification and Assessment) 선행
• 공유 책임 모델(Shared Responsibility)의 명확한 문서화
• CSP 실사(Due Diligence) 표준화
• 데이터 분류 기반 암호화 적용
• 사고 대응·회복력(Resilience) 계획

EBA Guidelines on Outsourcing (EU)

유럽은행감독청(EBA)의 Guidelines on Outsourcing Arrangements(EBA/GL/2019/02)는 클라우드를 아웃소싱의 한 형태로 규정한다^[6]. 금융기관이 CSP에 의존할 때 준수해야 할 사항:

• 중요 기능(critical function) 여부 판별과 이사회 승인
• 데이터·시스템 위치(Location of Data and Systems) 문서화
• 하위 위탁자(sub-outsourcing) 투명성
• 감독기관 접근권 보장
• 출구 전략 마련

MAS TRM Cloud (싱가포르)

싱가포르 통화청(MAS)의 Technology Risk Management Guidelines는 2021년 개정으로 클라우드 섹션을 강화했다. 공유 책임 모델, 암호화, 사고 대응, 제3자 위험 관리가 핵심이다.

BCBS 239 (바젤 리스크 데이터)

바젤은행감독위원회(BCBS) 239는 Principles for Effective Risk Data Aggregation and Risk Reporting로, 금융기관의 리스크 데이터 품질을 규제한다. 클라우드 환경에서 리스크 데이터가 CSP에 분산될 때 무결성·정합성·추적성이 유지되어야 한다.

규제	지역	핵심	CDR 관련
전자금융감독규정	한국	중요도 평가 · CSAP · 출구전략	파일 반입 통제 증적
FFIEC Cloud Booklet	미국	리스크 평가 · 공유 책임 · 암호화	콘텐츠 기반 위협 방어
EBA Outsourcing Guidelines	EU	중요 기능 · 하위 위탁자 · 감독 접근	데이터 처리 투명성
MAS TRM Cloud	싱가포르	공유 책임 · 암호화 · 제3자	사고 대응 증적
BCBS 239	글로벌	리스크 데이터 무결성	간접 — 감사 로그
CSAP	한국 인증	상·중·하 · 간편인증	CDR SaaS의 기반
FedRAMP	미국 인증	Low·Moderate·High · 연방정부	상·중·하와 유사
IRAP	호주 인증	Protected·Official	동일 구조

2025년 금융권 클라우드·SaaS 시대의 실제 위협을 가장 선명히 보여준 사건은 Qilin 랜섬웨어 그룹의 한국 자산운용사 19곳 동시 공격이었다^[7]. 당시 금융감독원·금융보안원의 긴급 점검이 이어졌고 자산운용업계 전반의 보안 통제 재점검이 실시됐다.

공격 특성

• 초기 침투 — 다수 사례에서 이메일 첨부파일과 외부 협업 공유가 초기 침투 경로로 지목
• 횡적 이동 — 공유 폴더·SharePoint를 활용한 횡적 확산 관찰
• 동시 타격 — 19곳이 비슷한 시기에 공격 받은 점은 공통 공급망 또는 공통 SaaS 채널 가능성 시사
• 이중 협박 — 데이터 암호화 + 유출 협박 병행

미래에셋증권 · 한국투자증권 사고

같은 시기 미래에셋증권은 해킹 관련 피해로 약 110억 원 규모의 손실, 한국투자증권은 약 167억 원 규모의 손실을 공식 공시한 것으로 보고됐다^[8]. 업계에서는 이 사고들이 "단발성 이벤트가 아닌 금융권 전반의 공격 표면 확장 결과"로 분석됐다.

SaaS 이메일 전환은 보안 모델의 재설계를 요구한다. 기존 온프레 메일 게이트웨이 중심 구조에서 API 기반 클라우드 네이티브 보안으로 전환해야 한다.

Microsoft 365 보안 계층

• Exchange Online Protection (EOP) — 기본 포함 스팸·멀웨어
• Microsoft Defender for Office 365 — Safe Attachments · Safe Links · 피싱 시뮬레이션
• Purview DLP — 데이터 유출 방지
• Conditional Access — 조건부 접근, 디바이스 컴플라이언스
• Zero Trust Data Security — ID · 디바이스 · 앱 · 데이터 기반 신뢰 검증^[11]

Google Workspace 보안 계층

• Gmail 기본 필터 — AI 기반 스팸·피싱 탐지
• Google Security Center — 관리자 대시보드
• Context-Aware Access — BeyondCorp 기반 제로트러스트
• Data Loss Prevention
• Work Insights · Alert Center

기본 보안으로 커버되지 않는 영역

Microsoft · Google의 기본 보안은 "알려진 위협"에 강하고 "구조적 실행 요소 제거"에는 약하다. 특히:

• 알려지지 않은 제로데이 (Hancom HWP CVE-2025-29867 같은 구조 취약점)
• OLE·매크로·스크립트가 포함된 정상 포맷 파일
• 다단계 난독화 파일 (JSE · LNK 이중 Base64)
• 국산 포맷(HWP·HWPX) 특화 취약점

이 영역이 CDR의 고유 기여 구간이다. EOP·Defender가 판정 기반이라면 CDR은 판정 없이 실행 요소를 구조적으로 제거한다. 두 계층이 중첩되어야 완전해진다.

2025년 6월 Aim Security가 공개한 EchoLeak(CVE-2025-32711)은 최초의 Zero-click AI 익스플로잇으로 기록됐다^[10]. Microsoft 365 Copilot이 업무 이메일·문서·채팅을 학습하고 요약하는 과정에서 악성 프롬프트가 내재된 파일이 Copilot에 로드되면 사용자 클릭 없이 데이터 유출이 발생할 수 있었다.

EchoLeak의 의미

• 파일이 AI의 입력 채널이 됐다는 점 — 문서에 지시문 임베드만으로 AI가 통제를 잃는다
• 사용자 인터랙션 없음 — 클릭·열람·다운로드 어느 것도 필요 없다
• 기존 탐지 미적용 — 정상 포맷 문서이므로 AV·EOP의 악성 판정에 걸리지 않는다

CDR의 선제적 기여

EchoLeak 유형의 프롬프트 인젝션 파일도 결국 파일이다. CDR이 파일 반입 시점에 매크로·OLE·스크립트·하이퍼링크·숨겨진 메타데이터를 구조적으로 제거하면 프롬프트 인젝션 벡터 일부가 사전 차단된다. AI 시대의 파일 보안은 "악성 판정"이 아닌 "실행·지시 요소의 구조적 최소화"로 이동한다.

금융 클라우드에서 CDR은 세 가지 배치 옵션으로 나뉜다. 각 옵션은 고유한 역할과 평가 증적 구조를 가진다.

옵션 A — SaaS 이메일 API 연동 (DISARM)

• 대상: Microsoft 365 Exchange Online · Google Workspace Gmail
• 연동 방식: Graph API · Gmail API
• 동작: 수신 메일 API 후킹 → CDR 엔진 무해화 → 사용자 수신함 전달
• 장점: MX 변경 불필요, 온프레 장비 없음, 다중 지사 단일 구성
• 과제: API 쿼터, 관리자 권한 범위 설정, 로그 주권

옵션 B — 협업 스토리지 이벤트 훅 (SLCDR API)

• 대상: SharePoint · OneDrive · Google Drive · Teams · Slack
• 연동 방식: Webhook · Microsoft Graph Change Notification · Drive Changes API
• 동작: 업로드 이벤트 수신 → CDR API 호출 → 무해화본 교체
• 장점: 내부 확산 차단, 외부 공유 시점까지 커버
• 과제: 처리 지연 허용치, 대용량 파일 처리

옵션 C — IaaS 웹 업로드·API 게이트웨이 (SLF + SLCDR)

• 대상: 오픈뱅킹·마이데이터 API, 고객 민원 포털, 파트너 파일 연계
• 연동 방식: WAF 후단 배치 · API 게이트웨이 내 CDR 호출
• 동작: HTTP 업로드 수신 → WAF → CDR → 저장소
• 장점: 고객 접점·파트너 접점 완전 커버
• 과제: 실시간 처리 성능, 대량 트래픽 대응

배치 옵션	커버 구간	연동 기술	시큐레터 제품	73항목 관련
옵션 A · SaaS 이메일	M365 · Workspace 수신함	Graph · Gmail API	SLE (DISARM 통합)	SaaS 이메일·협업 보안
옵션 B · 협업 스토리지	SharePoint · Drive · Teams	Webhook · Change Notification	SLCDR	파일·콘텐츠 반입 통제
옵션 C · IaaS 업로드	고객 포털 · 오픈뱅킹	WAF 후단 · API GW	SLF + SLCDR	파일·콘텐츠 반입 통제
공통 · 위협 인텔리전스	전 구간 IoC	SIEM 연동	ConTI	로깅·모니터링

금융 클라우드의 특수 요건 중 하나가 데이터 주권(Data Sovereignty)이다. 개인정보보호법·전자금융감독규정은 민감 금융 데이터의 국외 이전 제한을 규정한다.

CSP 한국 리전 현황

• AWS — Seoul Region(ap-northeast-2), CSAP 하 인증 보유
• Microsoft Azure — Korea Central(서울) · Korea South(부산), CSAP
• Google Cloud — Seoul Region, CSAP 진행
• NHN Cloud · KT Cloud · Naver Cloud — 국내 CSP, CSAP 상 인증 가능

CDR SaaS의 한국 리전 배포

글로벌 CDR SaaS를 도입할 때 첨부파일이 해외 데이터센터로 전송되어 처리되는지는 감사 포인트다. 시큐레터는 한국 리전 배포 옵션을 제공해 고객 파일이 국외로 이전되지 않도록 설계할 수 있다^[3].

금융기관의 클라우드 CDR 도입은 단계적 접근이 현실적이다. 일괄 전환은 평가 리스크·업무 연속성 리스크를 동반한다.

시큐레터 4개 제품 — SLF · SLE · SLCDR · ConTI — 이 2026 평가 869항목 중 클라우드 73 관련 영역에 어떻게 매핑되는지를 요약한다.

평가 카테고리	SLF	SLE (DISARM)	SLCDR	ConTI
SaaS 이메일 보안	—	주	보조	로그 공급
파일·콘텐츠 반입	주	주	주	로그 공급
망연계 게이트	주	—	보조	로그 공급
웹 업로드 · API	보조	—	주	로그 공급
협업 스토리지	—	보조	주	로그 공급
위협 인텔리전스	소비	소비	소비	생산
로깅·감사 증적	자동	자동	자동	통합
MARS 엔진 분석	공통 사용	공통 사용	공통 사용	공통 사용

모든 제품이 공통으로 MARS 엔진(리버스엔지니어링 기반 파일 분석)을 공유한다^[3]. 한 엔진이 네 제품 전반에 동일한 분석 품질을 제공하므로 평가 증적도 일관성을 갖는다.

2026 평가 869항목과 신설 클라우드 관리체계 73항목은 단순한 규제 강화가 아니다. "금융권이 클라우드로 이동한다는 현실을 인정하고, 그 안에서 온프레미스와 동일 수준의 증적을 요구한다"는 규제 당국의 선언이다^[1]. 전자금융감독규정 2024.8 개정이 문을 열었고, CSAP 상·중·하와 SaaS 간편인증이 기반을 깔았다. FFIEC·EBA·MAS·BCBS 239 같은 글로벌 규제도 같은 방향을 가리킨다.

그러나 2025 Qilin 19곳 · 미래에셋 110억 · 한투 167억 · EchoLeak의 연쇄는 규제가 완벽한 방패가 아님을 보여준다. 공격은 항상 규제 속도보다 빠르다. 클라우드 전환 속에서 파일·문서·첨부는 여전히 초기 침투의 주 경로이며, SaaS의 설계상 횡적 확산은 온프레보다 오히려 빠르다.

CDR의 기여는 명확하다. SaaS 이메일 · 협업 스토리지 · IaaS 웹 업로드 · 오픈뱅킹 API의 네 배치 옵션에서 공통 MARS 엔진으로 실행 가능 콘텐츠를 구조적으로 제거한다. Defender·EOP 같은 판정 기반 계층과 중첩되어 판정 누락 구간을 메운다. 증적은 자동 생성되어 869항목 감사 제출에 바로 사용된다. 시큐레터 SLF·SLE·SLCDR·ConTI 4개 제품은 이 구도를 제품 단위로 분할해 제공한다. 금융기관은 PoC·BMT 단계에서 자사 환경에 맞는 배치 옵션 조합을 검증할 수 있다.

11년간 HWP 제로데이가 구조적으로 반복됐듯, 금융 클라우드의 공격 표면도 새로운 기법으로 계속 확장될 것이다. 규제와 판정은 뒤따른다. 구조적 제거 원리만이 변화와 무관하게 일관된다 — "파일이 들어오는 시점에 실행 가능 콘텐츠를 제거한다". 온프레든 클라우드든, 2026년이든 2030년이든 같은 원리로 작동한다.