망분리와 네트워크 격리 (한국)

문서 기준: 2026년 8월

개요

망분리(Network Separation)는 업무망과 인터넷망을 물리적 또는 논리적으로 분리해 외부 침입과 정보 유출을 차단하는 한국 특유의 보안 규제입니다. 금융권은 전자금융감독규정, 공공기관은 국가정보원의 보안 지침에 근거해 수십 년간 강한 물리적 분리를 요구해 왔습니다.

그러나 클라우드, SaaS, 생성형 AI 활용이 업무 필수 요소가 되면서 획일적 물리 분리가 업무 효율과 혁신을 저해한다는 지적이 이어졌고, 2024년부터 금융·공공 양쪽에서 규제 완화가 본격화되었습니다. 이 문서는 두 축의 최신 로드맵과 클라우드/AI 도입에 미치는 영향, 그리고 규제 요건별 아키텍처 매핑을 정리합니다.

금융권 망분리 완화 — 금융분야 망분리 개선 로드맵

배경과 발표

금융위원회는 2024년 8월 13일 ’금융분야 망분리 개선 로드맵’을 발표했습니다. 핵심 방향은 다음 3가지입니다.

금융회사의 생성형 AI 활용 허용
클라우드 기반 SaaS 이용 범위 대폭 확대
금융회사 연구·개발(R&D) 환경 개선(논리적 망분리 허용)

단계적 시행

로드맵은 규제 샌드박스를 통해 단계적으로 시행되었습니다.

1단계 샌드박스 — 생성형 AI 활용, SaaS 이용 확대, R&D 환경 개선을 우선 추진
2단계 샌드박스 — 가명정보 활용 검증을 거쳐 개인신용정보 직접 처리까지 허용 검토
2026년 4월 20일 — 전자금융감독규정 시행세칙 개정안이 정식 시행되어, 금융보안원의 보안성 평가를 통과한 SaaS에 한해 내부 업무망에서의 사용을 공식 허용

적용 조건과 예외

규제 완화는 무조건적 허용이 아니라 “보안 수준을 높인 기관만 유연성을 얻는” 구조로 설계되었습니다.

SaaS는 금융보안원 등 침해사고 대응 기관의 보안성 평가를 통과해야 합니다.
평가 통과 후에도 반기 1회 정보보호통제 이행 평가, CISO 주재 정보보호위원회 보고 등 사후 관리 의무가 따릅니다.
주민등록번호 등 고유식별정보, 개인신용정보를 처리하는 영역은 예외 없이 망분리 완화 대상에서 제외됩니다.

공공기관 망분리 개편 — 국가망보안체계(N²SF)

개념

국가망보안체계(N²SF, National Network Security Framework)는 국가정보원이 추진하는 새로운 공공 보안 패러다임으로, 획일적인 물리적 망분리 대신 정보의 중요도에 따라 보호 수준을 차등 적용하는 위험 기반 체계입니다. 업무 데이터를 기밀(C, Confidential)·민감(S, Sensitive)·공개(O, Open) 등급으로 분류하고, 등급별로 원격 브라우저 격리(RBI), AI 기반 데이터유출방지(AI-DLP), 제로트러스트(Zero Trust) 등 최신 보안 기술을 적용해 클라우드·외부 AI를 안전하게 사용할 수 있는 전용 구간을 만드는 것이 핵심입니다.

기존 물리적 망분리 정책이 약 18년간 유지되어 온 반면, N²SF는 클라우드·AI 확산과 원격근무 상시화로 인한 업무 비효율을 해소하기 위해 도입되었습니다. 국가정보원은 2025년 9월 관련 보안 가이드라인 1.0을 공식 발표했습니다.

가이드라인 1.0 구성

등급 분류: C등급(기밀 — 국안·국방·외교), S등급(민감 — 개인정보·내부 검토 자료), O등급(공개)
보안통제: 6개 대영역(권한 / 인증 / 분리·격리 / 통제 / 데이터 / 정보자산), 280여 개 항목
적용 절차: 준비 → C/S/O 등급분류 → 위협식별 → 보안대책 수립 → 적절성 평가·조정 (5단계)
정보서비스 모델: 생성형 AI 활용, 클라우드 협업, 무선 업무환경, 모바일 연계 등 11종 시나리오별 보안 설계 틀 제시

이는 “분리 여부”의 이분법에서 “어떤 수준의 통제가 필요한가”로 정책 질문 자체가 바뀌었음을 의미합니다.

실증과 확산 일정

2025년: 과기정통부 주관으로 특허청, 국가보안기술연구소 등 4개 기관의 기존 환경과 신규 시스템 2건을 대상으로 실증을 진행해 RBI, AI-DLP, 제로트러스트 모델 6종이 공공망에서 정상 동작함을 확인했습니다.
2026년: 총 55억 원 규모 사업을 추진합니다. 이 중 45억 원은 검증된 6개 모델을 다른 기관으로 이식하는 자유 공모(6개 과제)에, 약 9억 9천만 원은 무선 업무 환경 실증에 투입됩니다.

기존 망분리와의 차이

구분	기존 망분리	N²SF
분리 방식	획일적 물리 분리	정보 등급(C/S/O)별 맞춤 보안
신뢰 모델	내부망 신뢰 기반	제로트러스트
클라우드·생성형 AI 활용	원칙적 제한	등급별 전용 구간을 통해 활성화
전환 방식	—	기관별 시스템 규모·예산에 따라 점진적 전환

규제 요건 매핑

규제/기준	요구사항	클라우드 대응
전자금융감독규정 (금융)	전산실 망분리, 내부망/DMZ/외부망 구분	VPC 분리 + Private Subnet + 전용선
CSAP 상 등급 (공공)	물리적 망분리	공공 전용 인프라 활용
CSAP 중 등급 (공공)	논리적 망분리 + 접근 통제 강화	국내 CSP 또는 글로벌 CSP (중 등급 인증 취득 시)
ISMS-P (전 산업)	네트워크 분리, 접근 통제, 암호화	Security Group + NACL + VPC Endpoint + TLS
N²SF 1.0 (국가망보안체계)	C/S/O 등급별 차등 보안, 280여 개 보안통제 항목	등급별 VPC 분리 + 등급 간 통신 통제 + 6대영역 매핑

우리 기관은 어떻게 시작하는가

규제 요건에 따라 출발점이 다릅니다.

우리 상황	첫 단계	목표 구성
CSAP 상 등급 (물리적 분리 필수)	공공 전용 인프라 활용	글로벌 CSP는 현재 상 등급 미인증
CSAP 중 등급 (논리적 분리)	국내 CSP 또는 글로벌 CSP (중 등급 인증 취득 시)	VPC 격리 + Private Link + 전용선
CSAP 하 등급 / ISMS-P	글로벌 CSP 퍼블릭 클라우드	표준 클라우드 보안 모범사례 적용
N²SF C등급 (기밀)	공공 전용 인프라 또는 에어갭 환경	인터넷 완전 차단, 국내 인력 운영
N²SF S등급 (민감)	VPC 격리 + 전용선 + 접근 통제 강화	CSAP 중 등급과 유사한 수준
N²SF O등급 (공개)	퍼블릭 클라우드 기본 보안	최소 보안 요건 충족

클라우드·SaaS·생성형 AI 도입에 미치는 영향

금융권: 내부 업무망에서 SaaS·생성형 AI를 쓰려면 대상 서비스가 금융보안원 평가를 통과했는지 먼저 확인해야 합니다. 개인신용정보·고유식별정보를 다루는 워크로드는 여전히 별도 망분리 체계를 유지해야 하므로, 데이터 분류에 따라 아키텍처를 이원화하는 설계가 필요합니다.
공공기관: N²SF 실증 모델을 도입하려는 기관은 2026년 자유 공모 일정에 맞춰 예산과 대상 시스템을 검토할 수 있습니다. 다만 전면 도입 이전에는 기존 물리적 망분리 규정이 유효하므로, 병행 운영 기간을 전제로 계획해야 합니다.
공통: 두 축 모두 “완전한 개방”이 아니라 “평가·인증을 통과한 서비스에 한정된 조건부 완화”라는 공통 구조를 가집니다. CSAP 인증 현황(CSAP 문서 참고)과 망분리 완화 대상 여부를 함께 확인하는 것이 실무 체크포인트입니다.