網分離とネットワーク分離（韓国）

文書基準: 2026年8月

概要

網分離（망분리、業務ネットワークとインターネットを分離する韓国特有のセキュリティ規制）（Network Separation）は、業務網とインターネット網を物理的または論理的に分離し、外部からの侵入と情報漏洩を遮断する韓国特有のセキュリティ規制です。金融業界は電子金融監督規定、公共機関は国家情報院のセキュリティ指針に基づき、数十年にわたり強力な物理的分離を要求してきました。

しかし、クラウド、SaaS、生成AI活用が業務の必須要素となるにつれ、画一的な物理分離が業務効率とイノベーションを阻害するとの指摘が続き、2024年から金融・公共の両軸で規制緩和が本格化しました。本文書では両軸の最新ロードマップとクラウド/AI導入への影響、そして規制要件別のアーキテクチャマッピングを整理します。

金融業界の網分離緩和 — 金融分野網分離改善ロードマップ

背景と発表

金融委員会は2024年8月13日、「金融分野網分離改善ロードマップ」を発表しました。核心方向は次の3つです。

金融会社の生成AI活用を許可
クラウドベースのSaaS利用範囲を大幅拡大
金融会社の研究・開発（R&D）環境の改善（論理的網分離を許可）

段階的施行

ロードマップは規制サンドボックスを通じて段階的に施行されました。

第1段階サンドボックス — 生成AI活用、SaaS利用拡大、R&D環境改善を優先推進
第2段階サンドボックス — 仮名情報活用の検証を経て、個人信用情報の直接処理まで許可を検討
2026年4月20日 — 電子金融監督規定施行細則の改正案が正式施行され、金融保安院のセキュリティ性評価を通過したSaaSに限り、内部業務網での使用を公式に許可

適用条件と例外

規制緩和は無条件の許可ではなく、「セキュリティ水準を高めた機関のみが柔軟性を得る」構造として設計されています。

SaaSは金融保安院など侵害事故対応機関のセキュリティ性評価を通過しなければなりません。
評価通過後も半期に1回の情報保護統制履行評価、CISO主宰の情報保護委員会への報告など、事後管理義務が伴います。
住民登録番号などの固有識別情報、個人信用情報を扱う領域は例外なく網分離緩和の対象から除外されます。

公共機関の網分離改編 — 国家網セキュリティ体系（N²SF）

概念

国家網セキュリティ体系（N²SF、National Network Security Framework）は、国家情報院が推進する新たな公共セキュリティパラダイムであり、画一的な物理的網分離の代わりに情報の重要度に応じて保護水準を差別化して適用するリスクベースの体系です。業務データを機密（C、Confidential）・センシティブ（S、Sensitive）・公開（O、Open）等級に分類し、等級ごとにリモートブラウザ分離（RBI）、AIベースのデータ流出防止（AI-DLP）、ゼロトラスト（Zero Trust）など最新セキュリティ技術を適用して、クラウド・外部AIを安全に使用できる専用区間を作ることが核心です。

既存の物理的網分離政策が約18年間維持されてきた一方、N²SFはクラウド・AIの拡散と在宅勤務の常態化による業務非効率を解消するために導入されました。国家情報院は2025年9月に関連セキュリティガイドライン1.0を正式発表しました。

ガイドライン1.0の構成

等級分類: C等級（機密 — 国家安保・国防・外交）、S等級（センシティブ — 個人情報・内部検討資料）、O等級（公開）
セキュリティ統制: 6つの大領域（権限/認証/分離・隔離/統制/データ/情報資産）、約280項目
適用手続き: 準備 → C/S/O等級分類 → 脅威識別 → セキュリティ対策の策定 → 適切性評価・調整（5段階）
情報サービスモデル: 生成AI活用、クラウド協業、無線業務環境、モバイル連携など11種のシナリオ別セキュリティ設計フレームを提示

これは「分離するかどうか」の二分法から「どの水準の統制が必要か」へと、政策上の問い自体が変わったことを意味します。

実証と普及スケジュール

2025年: 科学技術情報通信部主管で特許庁、国家保安技術研究所など4機関の既存環境と新規システム2件を対象に実証を行い、RBI、AI-DLP、ゼロトラストモデル6種が公共網で正常動作することを確認しました。
2026年: 総55億ウォン規模の事業を推進します。このうち45億ウォンは検証済みの6モデルを他機関へ移植する自由公募（6課題）に、約9億9千万ウォンは無線業務環境実証に投入されます。

既存の網分離との違い

区分	既存の網分離	N²SF
分離方式	画一的な物理分離	情報等級（C/S/O）別のカスタムセキュリティ
信頼モデル	内部網信頼ベース	ゼロトラスト
クラウド・生成AI活用	原則的に制限	等級別専用区間を通じて活性化
転換方式	—	機関別のシステム規模・予算に応じて段階的に転換

規制要件マッピング

規制/基準	要求事項	クラウド対応
電子金融監督規定（金融）	電算室の網分離、内部網/DMZ/外部網の区分	VPC分離 + Private Subnet + 専用線
CSAP上等級（公共）	物理的網分離	公共専用インフラの活用
CSAP中等級（公共）	論理的網分離 + アクセス統制強化	国内CSPまたはグローバルCSP（中等級認証取得時）
ISMS-P（全産業）	ネットワーク分離、アクセス統制、暗号化	Security Group + NACL + VPC Endpoint + TLS
N²SF 1.0（国家網セキュリティ体系）	C/S/O等級別の差別化されたセキュリティ、約280のセキュリティ統制項目	等級別VPC分離 + 等級間通信統制 + 6大領域マッピング

私たちの機関はどう始めるか

規制要件によって出発点が異なります。

私たちの状況	最初のステップ	目標構成
CSAP上等級（物理的分離が必須）	公共専用インフラの活用	グローバルCSPは現在上等級未認証
CSAP中等級（論理的分離）	国内CSPまたはグローバルCSP（中等級認証取得時）	VPC分離 + Private Link + 専用線
CSAP下等級 / ISMS-P	グローバルCSPのパブリッククラウド	標準的なクラウドセキュリティのベストプラクティスを適用
N²SF C等級（機密）	公共専用インフラまたはエアギャップ環境	インターネット完全遮断、国内人員による運用
N²SF S等級（センシティブ）	VPC分離 + 専用線 + アクセス統制強化	CSAP中等級と類似の水準
N²SF O等級（公開）	パブリッククラウドの基本セキュリティ	最小限のセキュリティ要件を充足

クラウド・SaaS・生成AI導入への影響

金融業界: 内部業務網でSaaS・生成AIを使うには、対象サービスが金融保安院の評価を通過しているかをまず確認する必要があります。個人信用情報・固有識別情報を扱うワークロードは引き続き別途の網分離体系を維持しなければならないため、データ分類に応じてアーキテクチャを二元化する設計が必要です。
公共機関: N²SF実証モデルを導入しようとする機関は、2026年の自由公募スケジュールに合わせて予算と対象システムを検討できます。ただし全面導入以前は既存の物理的網分離規定が有効であるため、並行運用期間を前提に計画する必要があります。
共通: 両軸とも「完全な開放」ではなく「評価・認証を通過したサービスに限定された条件付き緩和」という共通の構造を持ちます。CSAP認証状況（CSAP文書参照）と網分離緩和の対象可否を併せて確認することが実務上のチェックポイントです。