금융분야 클라우드 및 망분리 규제 개선방안 마련

얼마 전에 금융위에서 금융회사의 담당자들을 모아 클라우드 이용에 대해 회의한 적이 있었는데 드디어 금융위가 클라우드 이용과 망분리 완화를 시작한다. 아직 상세한 내용은 추후에 나와봐야 알겠지만 보도자료까지 낸 마당에 무를 순 없을 것으로 보인다. (링크)

각설하고 이번 보도자료의 핵심 내용은 아래와 같다.

1. 클라우드 이용 규제완화

  - 중요도 평가 기준 명확

   - CSP평가항목 축소 (141개 -> 54개)

  - 비중요업무의 경우 클라우드 이용절차 완화 (CSP 평가 일부 제외 등)

   - CSP안전성 평가 결과 활용 (대표 평가)

   - SaaS 평가기준 마련

   - 클라우드이용보고시 제출서류 간소화

   - 클라우드 이용 사후보고

2. 망분리 규제완화

   - 개발, 테스트 서버는 물리적 망분리 예외

   - 비금융 업무 서버, SaaS는 망분리 예외

   - 단계적 망분리 대상 업무 축소

다른 글에도 언급했듯 현재 클라우드 이용 가이드는 IaaS 기준으로 작성되었기에 SaaS에 대한 명확한 기준이 없는 상황이다. 이번 개선안을 통해 여태 조여왔던 업무효율들이 크게 상승할 확률이 높다.

하지만 이번 개선안에서 망분리 완화를 아쉽게 보는 시선도 있다. (기사링크)

“망분리 이후 보안 입장에선 편해진 것이 사실”

“망분리 덕에 보안 전략을 혁신적으로 짤 수 있었다”

“은행에서는 망분리 완화에 대해 유보적이다. 이미 몇 년간 투자해서 시스템을 만들어놓고 현재 운영 면에선 나무랄 데가 없다.... 무엇보다 망분리가 불편하지만 효과가 좋은 것은 사실”

사실 금융보안의 입장에선 망분리만큼 확실하게 선을 그어주는 정책이 좋긴 하나, 업무효율이 현저히 떨어지기 때문에 좋지도 나쁘지도 않은 정책이라고 생각한다. 

이번 개선안을 통해 망분리를 완전히 없애는 게 아닌 적용 범위를 조절한다는 점이 가장 마음에 들었다. 또한 클라우드 관련 법령이 나온 지 얼마 되지 않았는데, 첫 시작부터 힘들게(?) 관리한다는 점이 추후 완화여지를 줄 수 있어 좋은 전략 같다는 생각이 든다.

이번 완화는 상반기 중으로 개정안을 입법 예고하고 23년부터 시행되도록 조속히 처리한다고 하니 조만간 개정안이 나올듯하다.