비조치의견서 (비조치 □조치 □기타)

담당부서

IT검사국

담당자

(직위, 성명)

안기복

선임검사역

연락처

02-3145-7429

요청대상

행위

□ 최근 고성능 AI 모델 등장으로 고도화된 금융권 사이버 위협에 대응하기 위해 ｢보안 목적 AI‧SaaS* 활용 테스트(｢AI 보안위협 대응 방안(’26.5.)｣, 금융위원회)｣에 참여기관으로 선정된 금융회사에 한하여 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 제15조 제1항제5호(망분리 의무)를 예외할 필요

* ①SaaS형 생성형AI 서비스(GPT, Claude, Gemini 등) ※ 보안 분석·위협 탐지 목적 限

②SaaS형 보안 서비스(Falcon, SentinelOne, Splunk 등 EDR/XDR/SIEM)

판단

□ ｢보안 목적 AI‧SaaS 활용 테스트｣ 참여기관으로 선정된 금융회사가 아래 망분리 대체 통제를 적정하게 이행한 경우에는 테스트 신청범위에 한정하여 전산실 내 정보처리시스템과 해당 정보처리시스템의 보안 목적으로 직접 접속하는 단말기를 보안 강화 목적 AI‧SaaS형 보안 서비스와 직접 연결하더라도 테스트 참여기관 선정일로부터 1년까지 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 제15조 제1항제5호(망분리 의무) 위반으로 조치하지 않습니다.

구분	망분리 대체 통제
보안 목적 AI·SaaS	□ 국내외 클라우드 보안인증 중 1개 이상 보유 서비스만 이용가능 (①SOC2, ②FedRAMP, ③ISO27017, ④CSAP, ⑤MTCS, ⑥ISMS-P, ⑦CSA STAR level2 이상) □ 금융회사의 정보처리 업무 위탁 규정 준수 □ 생성형 AI 서비스의 경우 유료 비즈니스 등 관리형 버전 이용(미학습 약정 필수) □ AI·SaaS 서비스 관련 보안사고 및 장애 대응 절차 수립 □ 허용된 AI·SaaS 외 인터넷접속, 외부 API, 제3자 앱 등 외부 연계 통제 □ API Key, 관리자 계정 등 주요 인증정보에 대한 보호·점검 및 관리절차 수립 □ 접속 단말기 및 사용자·관리자 등록·관리, AI·SaaS 관리자 계정 등 다중 인증 방식 적용, 최소 권한 부여 등 접근 제어 및 권한 관리, 단말기 보호대책 수립·적용 □ 개인신용정보, 고유식별정보 등 중요정보 입력·처리·외부전송·유출 여부 모니터링 및 통제 □ AI·SaaS 내 데이터의 불필요한 공유·처리 방지 □ AI·SaaS 이용을 위한 네트워크 구간에 대한 보호대책(암호화 등) 수립·적용 □ AI·SaaS 정보보호 통제를 위한 상시 관리·체계 확보 □ 접속·이용 내역, 관리자 활동, 이상행위 등에 대한 모니터링 및 로그 수집 (1년 이상 보존)

※ 동 의견서는 금융위원회 보고를 통해 ｢보안 목적 AI‧SaaS 활용 테스트｣ 참여기관으로 최종 선정된 금융회사에 한정하여 개별적으로 효력이 발생합니다.

판단이유

□ 금융회사는 ｢클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률｣ 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하고자 하는 경우 이용절차 등을 준수해야 하고(｢전자금융감독규정｣ 제14조의2), 전산실 내에 위치한 정보처리시스템과 해당 정보처리시스템의 보안 목적으로 직접 접속하는 단말기에 대해서는 인터넷 등 외부통신망으로부터 물리적으로 분리하여야 합니다(｢전자금융감독규정｣ 제15조제1항제5호).

◦ 다만, 상기 규정의 취지가 사이버 위협으로부터 금융전산을 보호하는 것에 있고, 최근 고성능 AI 모델로 인한 고도화‧지능화된 사이버 위협에 대해 정부 및 유관기관 협조 하에 신속하고 효과적인 대응 방안을 마련하고자 ｢보안 목적 AI‧SaaS 활용 테스트｣에 참여하는 금융회사에 대해서는 상기 의무를 예외적으로 적용할 필요성이 인정됩니다.

※ 비조치의견서의 효력(「법령해석 및 비조치의견서 업무처리에 관한 운영규칙」 제6조의2, 제11조제1항·제2항 참조)

1. 금융감독원장은 해당 행위가 법령등에 위반되지 않는다는 비조치의견서를 회신하는 경우 해당 행위에 대해서는 사후에 회신내용의 취지에 부합하지 않는 법적 조치를 취하지 않습니다.

2. 그러나 다음의 어느 하나에 해당하는 경우에는 금융감독원장이 이미 회신한 비조치의견서의 내용과  다른 법적 조치를 취할 수 있습니다.

가. 신청인이 요청서에 기재한 내용 또는 제출한 자료의 내용이 사실과 다른 경우

나. 신청인이 중요한 자료를 제출하지 아니한 사실이 발견된 경우

다. 신청인이 요청서에 기재한 내용과 상이한 행위를 한 경우

라. 관련 법령등이 변경된 경우

마. 판단의 기초가 되는 사실관계의 변동, 그 밖의 사정변경으로 인하여 기존의 의견을 유지할 수 없는 특별한 사유가 있는 경우

3. 금융감독원장이 일정 요건 충족을 조건으로 제재 등 조치를 취하지 않겠다는 조건부 비조치의견서를 회신하였으나 신청인이 해당 조건을 충족하지 못한 경우에는 금융감독원장은 이미 회신한 비조치의견서의 내용과 다른 법적 조치를 취할 수 있습니다.