물리적 망분리를 풀 때 무엇이 그 자리를 대신하는가. 그리고 감독기관은 무엇을 보고 대체 통제가 갖춰졌다고 판단하는가.
조사 착수 단계. 아직 결론이 없다. 무엇을 확인해야 하는지를 먼저 적어 둔다.
금융권 망분리는 업무망과 인터넷망을 물리적으로 끊는 통제다. 검증이 쉽다는 게 장점이다. 연결이 없다는 사실 하나만 보이면 된다. 접근 주체가 누구인지, 그 단말이 안전한지, 그 요청이 정상인지를 따로 판단할 필요가 없다.
단점도 같은 자리에서 나온다. SaaS, 클라우드, 생성형 AI, 오픈소스 저장소가 전부 선 바깥에 있다. 금융회사가 쓰고 싶어 하는 도구가 전부 망 밖으로 옮겨갔다.
그래서 조건부 완화 방향이 논의된다. 완화는 그냥 연결한다는 뜻이 아니라 물리적 분리가 하던 일을 다른 통제가 대신 맡는다는 뜻이다. 여기서 제로트러스트가 나온다.
물리적 분리는 검증이 이진값이다. 연결됐거나 안 됐거나. 제로트러스트로 대체하면 연속값이 된다. 신원 확인이 충분한가, 단말 상태 판단이 정확한가, 정책 엔진이 우회되지 않는가. 어느 하나가 무너져도 겉으로는 정상 동작한다.
그 판단 근거가 무엇으로 정의돼 있는지가 이 조사의 질문이다.
찾아 읽기 전에는 단정하지 않는다. 아래는 목록이지 요약이 아니다.
| 구분 | 확인 대상 | 봐야 할 것 |
|---|---|---|
| 상위 근거 | 전자금융거래법, 전자금융감독규정 | 망분리 의무 조항의 현행 문구와 개정 이력 |
| 정책 방향 | 금융위원회 망분리 규제 개선 발표 자료 | 단계별 계획, 허용 범위, 적용 시점 |
| 실행 지침 | 금융보안원 발간 가이드 | 대체 통제 항목, 이행 점검 방식 |
| 기술 기준 | KISA 제로트러스트 가이드라인 | 성숙도 모델, 핵심 원칙, 구성요소 |
| 인접 사례 | KISA 「운영기술(OT) 환경의 제로트러스트 적용 안내서」 (2025.12) | 폐쇄망 전제가 깨진 환경에 제로트러스트를 얹은 국내 선례 |
| 해외 대조 | NIST SP 800-207 | 국내 지침이 어디를 따르고 어디서 갈라지는지 |
마지막 두 줄이 이 조사를 시작한 이유이기도 하다. OT 보안 프로젝트에서 다루는 환경도 폐쇄망 전제가 무너진 곳이고, 국내에서 그 문제에 붙은 답이 제로트러스트였다. 금융권 망분리 완화는 같은 문제의 다른 판본이다.
정책 문서는 개정이 잦다. 2차 자료로 요약하면 이미 틀린 내용을 옮기게 된다. 조문과 발표 원문을 직접 확인한 것만 여기 적는다.