금융권 보안체계 혁신방안 정리, 망분리 전면해제와 디지털금융 안전법은 언제 어떻게 바뀌나요
요약
금융위원회는 2026년 11월 5일 외부접점 전수점검, 2차 피해 방지, 망분리 이후 AI 기반 新(신)보안체계 구축의 세 방향으로 금융권 보안체계 혁신방안을 발표했습니다. 약 580개사의 외부접점·내부통제 전수점검은 2026년 12월 말까지 진행합니다.
망분리 전면해제의 시점은 확정되지 않았습니다. 2026년 11월 TF를 발족하고, 2027년 1분기 안에 전면해제와 AI 기반 신보안체계 방안을 마련합니다. 디지털금융 안전법은 2027년 1분기 법안 발의를 추진합니다.
혁신방안은 문서 관리를 별도 과제로 제시하지 않지만, 2차 피해 방지와 생성형 AI 활용 데이터 관리(N2SF 등) 논의는 보유 문서 속 개인정보 점검과 연결됩니다.
로민 리댁트는 문서 속 개인정보를 탐지해 비식별화하고, 탐지 결과마다 신뢰도를 제공해 담당자는 신뢰도가 낮은 항목만 확인합니다. 로민 AI 레디 패키지는 로민 파스의 문서 구조화와 리댁트의 비식별화를 하나의 워크플로우로 제공합니다.
발표 기관: 금융위원회·금융감독원·금융보안원 | 발표일: 2026년 11월 5일 | 분석·정리: 로민 | 최종 업데이트: 2026년 11월 6일
금융위원회는 금융감독원, 금융보안원과 함께 2026년 11월 5일 「AI 시대 침해위협에 대응하기 위한 全(전)금융권 보안체계 혁신방안」(이하 혁신방안)을 발표했습니다. 금융권 보안체계 혁신방안은 외부접점 전수점검, 정보유출에 따른 2차 피해 방지, 망분리 이후 AI 기반 신보안체계 구축의 세 방향으로 구성된 금융당국의 종합 대책입니다.
금융권 망분리 규제는 단계적으로 전면해제하는 방향이며, 시행 시점은 확정되지 않았습니다. 금융위원회는 2026년 11월 망분리 규제 전면해제 TF를 발족하고, 2027년 1분기 안에 전면해제 방안과 AI 기반 신보안체계 방안을 마련합니다. 디지털금융 안전법은 2027년 1분기 법안 발의를 추진합니다.
금융권 침해사고에 따른 정보유출 규모는 약 47.3만 건으로 파악됐고, AI를 활용한 공격 시도도 늘고 있습니다. 발표 배경, 대응방향, 추진 일정 순으로 정리하고, 금융사가 문서와 데이터 관리 측면에서 점검할 과제를 함께 살펴봅니다.
금융위원회는 왜 전 금융권 보안체계 혁신방안을 발표했나요?
침해사고가 은행, 보험, 가상자산 등 대다수 업권에서 이어졌고, 공격이 인력 등의 한계로 관리가 소홀한 외부접점에 집중됐기 때문입니다. 금융권 침해사고가 확인된 9월 30일 이후 11월 3일 기준으로 37개사에서 40건의 침해사고가 신고되었습니다.
업권별로는 은행 4개사, 금융투자 5개사, 보험 3개사, 저축은행 5개사, 상호금융 1개사, 여신 2개사, 온라인투자연계금융 4개사, 전자금융 10개사, 가상자산 3개사입니다. 혁신방안은 이 사고의 특성을 세 가지로 정리합니다.
관리 소홀 외부접점 집중 공격
공격은 보안관리가 철저한 핵심 시스템보다 영업·상담 등 내부 직원이 사용하는 웹·모바일 서비스의 외부접점을 집중적으로 노렸습니다. 최근 금융사 피해의 상당수는 권한관리 부실, 이중인증 우회, 부실한 API 관리 등 그간 소홀히 여긴 약한 고리에서 발생했습니다. 금융보안원은 매일 10만~15만 건의 침해공격 의심 트래픽을 탐지하고 대응하고 있습니다.
유출 정보의 2차 피해 우려
유출된 정보는 주로 임직원 정보와 고객 성명, 주민등록번호, 계좌번호 등 금융회사가 영업 과정에서 수집한 정보입니다. 계좌 비밀번호 등 부정결제 우려가 있는 정보유출은 아직 확인되지 않았습니다. 유출된 정보가 다크웹과 텔레그램 같은 음성적 경로에서 거래되면 보이스피싱과 신종 피싱 등 금융범죄에 악용될 수 있습니다. AI로 금융범죄가 지능화되면서 이상거래 탐지 기준(임계치) 회피, 정상거래 패턴 모방 같은 수법도 나타나, 기존 이상거래탐지체계만으로는 신속한 탐지와 차단이 어렵다고 진단했습니다.
망분리 중심 보안체계의 한계
망분리와 인력 중심의 현행 보안체계에서는 AI 등 다양한 기술을 활용하기 어렵고, 금융회사가 능동적으로 대응하는 체계를 만드는 데 한계가 있다는 지적이 있었습니다. 금융위원회는 선제적 보안체계와 소비자 보호를 위한 대책이 시급하다고 판단했습니다.
혁신방안의 3대 대응방향과 주요과제는 무엇인가요?
혁신방안은 보안취약점에 대한 빈틈없는 점검, 2차 피해 방지를 위한 방어체계 마련, AI 기반 Post 망분리 신보안체계 구축의 3대 대응방향과 10개 주요과제로 구성됩니다. 목표는 금융권 보안관리 사각지대 해소와 AI 기반 선제적 대응체계로의 전환입니다.
대응방향 | 주요과제 | 주요 내용 |
|---|---|---|
1. 보안취약점 점검 | 전 금융권 외부접점·내부통제 체계 전수점검 | 약 580개사 대상, API 포함 전체 IT자산 점검, 불필요한 외부연결 즉시 차단 |
금융권 공동 해킹 관제시스템 고도화 | 금융사별 탐지 위협정보의 전 금융권 공유, 전자금융거래법 미적용 업권 사고신고체계 마련 | |
금융권 취약점 분석·평가 내실화 | 점검주기 연 1회에서 2회로 단축, 의무 점검대상 명시, 수시점검 근거, 시정명령·이행강제금 | |
중소형 금융회사 AI 해킹대비 지원 강화 | 원스톱 AI 방어서비스, 보안역량별 맞춤형 안내서, 경보체계·단계별 행동요령 | |
2. 2차 피해 방지 | 다크웹 등 개인정보 유통 모니터링 및 차단 | 금융보안원의 다크웹·텔레그램 상시 모니터링, 유출 확인 시 당국 신고·고객 통보·보상 |
보이스피싱 탐지·대응체계 고도화(ASAP 2단계) | AI 기반 의심거래판단지수(피싱지수), 공동탐지룰 시나리오 51개에서 66개로 확대 | |
보이스피싱 무과실책임 법제화 | 통신사기피해환급법 개정 추진, 송금·수취 금융회사 1대1 보상금 분담 | |
3. Post 망분리 신보안체계 | 망분리 규제 전면해제 TF 구성 | 전면해제 추진절차·평가기준, AI 기반 신보안체계 내용 논의 |
보안목적 AI 테스트 상시화 및 혁신금융서비스 활성화 | 보안목적 AI·SaaS 망분리 예외 상시 제도화, 생성형 AI 등 혁신금융서비스 통한 규제 완화 지속 | |
「디지털금융 안전법」 추진 | 가상자산사업자·보험GA·대부업 등 보안규율, 클라우드사업자·플랫폼 규율 검토 |
외부접점·내부통제 전수점검
전수점검은 2026년 11~12월에 진행하며, 관리대장에 등재된 외부접점은 11월 말, 전체 외부접점과 내부통제는 12월 말까지 점검·보완합니다. 점검 범위는 전 금융회사와 전자금융업자에 가상자산사업자 등 「전자금융거래법」 미적용 업권을 더한 약 580개사입니다. 대고객 서비스와 함께 직원관리, 내부업무, 제휴업무 등 외부에서 접근할 수 있는 업무 영역 전반이 대상이고, 시스템은 영업·관리 목적 API, 인증·접근통제 시스템 전반과 개발·테스트 및 임시운영 시스템까지 포함합니다. 내부통제는 외부접점의 생성·운영·폐기 전반을 보며, 내규 유무, 결재·승인·보고 작동 여부, IT자산·서비스 관리대장 운영 여부, 취약점 분석·평가와 보안관제 여부, CEO·CISO·CIO 역할을 확인합니다.
점검 구분 | 주요 내용 |
|---|---|
노출 최소화 | 불필요한 서비스·포트·관리자 페이지, 내부망 연결 제거 |
인증·권한 | 로그인 우회, 타 이용자 정보 조회 여부, 중요 서비스 인증 강화(MFA 등) |
입력값 검증 | 요청 값 조작을 통한 비정상 접근·명령 실행 차단 |
보안 패치 | 최신 보안패치 적용, 기술지원 종료 장비 식별·통제 |
탐지·차단 | 대량 조회 등 자동화 공격 탐지·차단 |
점검 방식과 조치 기준
금융사가 먼저 자체점검을 하고, 점검 내용이 부실하거나 중요한 취약점이 있으면 금융감독원과 금융보안원이 현장점검을 합니다. 문제가 없는 경우에도 조사 방법과 판단 사유를 상세히 기재하고, 관리대장 목록을 다시 점검해 빠진 서비스를 등재한 뒤 점검합니다. 불필요한 외부 연결은 즉시 차단합니다. 고객과 금융회사의 금전 피해, 개인정보 유출과 직결되는 취약점(타 이용자 정보 조회 등)은 보완 전까지 서비스를 중단하고, 즉시 보완이 어렵고 중요한 서비스에 한해 CEO 승인·책임하에 대체통제를 적용한 뒤 재개합니다. 감독 원칙상 전수점검 과정에서 확인된 관리 부실은 즉시 보완을 전제로 최대한 유연하게 처리하고, 이후 발생하는 사고에는 엄정히 책임을 묻습니다.
취약점 분석·평가 강화
금융회사는 외부기관에서 연 1회 이상 취약점을 점검받아 결과를 금융당국에 제출합니다. 앞으로 점검주기를 대형사(총자산 2조 원 이상, 종업원 300명 이상)부터 연 2회로 늘리고, 2028년부터 중소형사를 포함한 전 금융권으로 확대합니다. 전자금융거래와 직간접적으로 관련된 모든 외부접점이 의무 점검 대상에 포함되고, 긴급한 취약점 점검이 필요하면 금융당국이 수시로 요구할 수 있는 근거를 마련합니다. 중요한 보안취약점을 장기간 방치하면 금융당국이 시정명령을 내리고, 이행하지 않으면 이행강제금을 부과하며, 이는 「전자금융거래법」 개정(연내 통과 추진)으로 이행합니다.
2차 피해 방지: 유출 정보 모니터링과 보이스피싱 대응
금융보안원이 다크웹과 텔레그램에서 금융권 탈취 정보의 유통 여부를 상시 모니터링합니다. 유출 정황을 확인하면 피해 금융회사에 즉시 통보하고, 실제 유출과 거래가 확인되면 당국 신고, 고객 통보, 보상 등을 진행합니다.
망분리 규제 전면해제는 언제, 어떻게 논의되나요?
망분리 규제 전면해제는 아직 시행되지 않았고 TF 논의 단계에 있습니다. 금융위원회는 2026년 11월 망분리 규제 전면해제 TF를 발족하고, 2027년 1분기 안에 전면해제 방안과 AI 기반 신보안체계 방안을 마련합니다. 정책 상태는 TF 논의 중이며, 시행 시점과 적용 기준은 확정되지 않았습니다.
전면해제 TF의 구성과 논의 사항
망분리 규제 전면해제 TF는 정부, 유관기관, 민간 AI·보안 전문가, 전 금융권 담당 임원으로 구성합니다. 논의 사항은 전면해제의 추진 절차와 평가 기준, 그리고 데이터 관리(N2SF 등), 제로트러스트 원칙, 보안 내부통제, 침해사고 대응체계를 포함한 AI 기반 신보안체계의 구체적인 내용입니다. 혁신방안은 단계적 전면해제를 제시했고, 고도의 AI·보안 역량을 갖춘 금융사를 선정해 엄격한 대체통제 아래 규제를 해제하는 방안을 TF 논의 대상으로 두었습니다. 구체적인 적용 방식은 2027년 1분기 방안에서 정해집니다.
보안목적 AI·SaaS 망분리 예외 상시화
보안목적 AI 테스트와 SaaS 서비스는 전자금융감독규정 개정을 거쳐 망분리 예외를 상시 허용하는 방향으로 추진됩니다. 업무용 SaaS는 2026년 4월 상시 제도화됐고, 전자금융감독규정 개정안은 2026년 11월 규정변경예고가 예정돼 있습니다. 대체통제로는 외부접점 관리, 인증·접근통제, 보안사고·장애대응 등이 제시됐습니다. 정책 상태는 규정 개정 추진입니다.
생성형 AI 혁신금융서비스를 통한 규제 완화
생성형 AI와 블록체인 등 다양한 IT 기술은 엄격한 대체통제를 전제로 혁신금융서비스 지정을 통한 망분리 규제 완화를 계속 추진합니다. 정책 상태는 지속 추진입니다.
디지털금융 안전법은 무엇을 추진하나요?
「디지털금융 안전법」은 2027년 1분기 법안 마련·발의를 추진하는 단계이며, 적용 대상과 세부 의무는 확정되지 않았습니다. 혁신방안은 연내 방안을 마련하고 2027년 1분기에 법안 마련·발의를 추진한다고 밝혔습니다.
추진 내용과 검토 내용
혁신방안은 추진과 검토를 구분해 제시합니다. 가상자산사업자, 보험GA, 대부업처럼 직접 전자금융거래를 하지는 않지만 많은 금융·고객 정보를 보유한 업종에는 현행 전자금융거래법에 준하는 보안 규율 적용을 추진합니다. 클라우드사업자와 플랫폼처럼 다수 금융회사와 연계된 사업자는 침해사고 예방과 피해 복구 규율 적용을 검토하고, 금융회사의 CEO 책임성, 이사회 구성, 현업부서 역할 같은 보안 거버넌스 규율도 검토합니다.
혁신방안은 어떤 일정으로 추진되나요?
2026년 11월부터 2027년 1분기까지 외부접점 점검, 규정 개정, 망분리 TF 운영, 법안 마련이 차례로 진행되고, 일부 과제는 2027년 이후로 이어집니다. 과제별 세부 일정은 추진 과정에서 조정될 수 있습니다.
시기 | 추진 과제 | 주요 내용 |
|---|---|---|
2026년 11월 | 망분리 규제 전면해제 TF | 발족·운영 |
2026년 11월 | 전자금융감독규정 개정 | 규정변경예고(점검주기 단축, 의무 점검대상 명시, 수시점검 근거, 보안목적 AI 활용 상시 제도화) |
2026년 11월 | 외부접점 전수조사·보완 | 관리대장 등재 외부접점, 11월 말까지 |
2026년 11월 | 전자금융거래법 미적용 업권 사고신고 | 가이드라인 마련 |
2026년 11월 | AI 의심거래판단지수(피싱지수) | 시범운영 |
2026년 12월 | 전체 외부접점 점검·보완, 내부통제체계 전수조사 | 12월 말까지 |
2026년 12월 | 금융사별 위협정보 공유 | 시범운영, 2027년부터 전면운영 |
2026년 12월 | 대포계좌·신종피싱 공동탐지룰 | 개편 |
2026년 12월~2027년 1분기 | 중소형 금융회사 지원 | 원스톱 AI 방어서비스, 현장교육 |
2026년 연내 | 법안·제도 | 이행강제금 전자금융거래법 개정, 통신사기피해환급법 개정, 디지털금융 안전법 방안 마련 추진 |
2027년 1분기 | 보안 내부통제 가이드라인 | 점검 결과 분석 후 마련 |
2027년 1분기 | 망분리 규제 전면해제와 AI 기반 신보안체계 | 방안 마련 |
2027년 1분기 | 디지털금융 안전법 | 법안 마련·발의 추진 |
2027년 1분기 | AI 기반 공동 보안관제 | 업권 협회와 구축 지원 |
2027년 2월 | 공격 위험도별 경보체계 | 단계별 행동요령 마련 |
2028년 이후 | 취약점 점검 2단계 | 중소형사 포함 전 금융권으로 연 2회 확대 |
금융사는 문서와 데이터 관리에서 무엇을 점검해야 하나요?
외부접점 점검과 함께 보유 문서 속 개인정보와 생성형 AI 활용 데이터를 점검 과제로 검토할 수 있습니다. 혁신방안은 문서 관리를 별도 과제로 제시하지 않습니다. 다만 아래 두 과제는 문서 관리와 연결됩니다.
보유 문서 속 개인정보 관리
혁신방안은 유출된 개인정보가 2차 피해로 이어지는 것을 막는 데 비중을 둡니다. 계약서, 신청서, 상담 기록, 증빙 서류 같은 문서에는 주민등록번호, 연락처, 계좌 정보 등이 포함됩니다. 스캔본과 사진, 손글씨 문서는 텍스트 검색으로 찾기 어려워 개인정보 포함 여부를 파악하기 쉽지 않습니다. 보유 문서에 포함된 개인정보가 많을수록 침해사고 때 유출될 수 있는 대상도 늘어납니다.
금융 문서에서 탐지 대상이 되는 개인정보 유형
금융 문서에서 비식별화 대상이 되는 개인정보는 고유식별정보, 연락처, 금융거래정보, 인적사항, 사업자·기관 정보, 도장·서명으로 나눌 수 있습니다.
정보 유형 | 예시 | 나타나는 문서 예시 |
|---|---|---|
고유식별정보 | 주민등록번호, 운전면허번호, 여권번호 | 신분증 사본, 신청서, 동의서 |
연락처 | 휴대전화번호, 이메일 | 신청서, 상담 기록 |
금융거래정보 | 계좌번호 | 증빙서류, 계약서 |
인적사항 | 이름, 생년월일, 주소 | 신청서, 계약서, 동의서 |
사업자·기관 정보 | 사업자등록번호, 기관명, 상호 | 사업자등록증, 계약서 |
도장·서명 | 인장, 서명, 체크 표시 | 동의서, 계약서 |
정규식 기반과 문맥 기반 탐지의 차이
주민등록번호, 전화번호, 이메일 주소는 형식이 일정해 정규식으로 찾을 수 있습니다. 이름, 상호, 주소, 담당자명은 형식이 일정하지 않아 규칙 기반 탐지가 어렵고 누락이 생기기 쉽습니다. 스캔본과 사진 같은 이미지 문서는 글자 인식 단계부터 정확도를 확보해야 개인정보를 찾을 수 있습니다.
구분 | 정규식·키워드 기반 | 문맥 기반 |
|---|---|---|
적합한 정보 | 주민등록번호, 전화번호, 이메일, 사업자등록번호처럼 형식이 일정한 정보 | 이름, 상호, 주소, 담당자명처럼 표현이 다양한 정보 |
탐지 방법 | 정규식과 검증 규칙, 등록한 키워드 | 문서 전후 맥락과 항목명·위치 관계 해석 |
한계 | 서식이 바뀌면 규칙 재설정, 형식이 없는 정보 누락 | 탐지 결과 신뢰도 확인 필요 |
두 방식을 함께 적용하면 형식이 일정한 정보와 표현이 다양한 정보를 모두 다룰 수 있습니다.
생성형 AI 활용 데이터 관리(N2SF)
N2SF(National Network Security Framework)는 국가정보원이 마련한 국가·공공기관 망 보안체계로, 업무에서 다루는 데이터의 중요도를 기준으로 보안통제를 적용하는 방식입니다. 혁신방안은 망분리 전면해제 TF의 논의 사항에 데이터 관리(N2SF 등)를 포함했고, 금융권 적용 방식은 TF에서 구체화합니다. 생성형 AI는 엄격한 대체통제를 전제로 혁신금융서비스 지정으로 망분리 규제 완화를 계속 추진합니다. 금융사가 문서를 생성형 AI에 활용하려면 입력 문서의 개인정보 비식별화와 데이터 중요도 구분이 선행 과제가 될 수 있습니다.
아래 표는 혁신방안 과제와 연결해 정리한 점검 항목 예시입니다. 혁신방안이 직접 요구하는 항목은 아닙니다.
점검 항목 | 확인 내용 | 관련 혁신방안 과제 |
|---|---|---|
보유 문서 속 개인정보 현황 | 문서 유형별 개인정보 포함 여부, 보관 위치 | 2차 피해 방지 |
이미지·스캔 문서 | 스캔본·사진·손글씨 문서의 개인정보 포함 범위 | 2차 피해 방지 |
비식별화 기준·절차 | 마스킹 대상 항목, 처리 담당자, 확인 절차 | 보안 내부통제 |
생성형 AI 입력 문서 | AI 입력·검색 대상 문서의 비식별화 여부 | 생성형 AI 혁신금융서비스 |
데이터 중요도 구분 | 업무 문서의 중요도별 분류와 보호 수준 | AI 기반 신보안체계(데이터 관리, N2SF 등) |
외부 전송 범위 | SaaS·외부 AI 서비스로 전달되는 문서의 범위 | 보안목적 AI·SaaS 망분리 예외와 대체통제 |
로민은 문서 속 개인정보와 생성형 AI 데이터를 어떻게 관리하나요?
로민은 리댁트로 문서 속 개인정보를 탐지해 비식별화하고, AI 레디 패키지로 문서 구조화와 비식별화를 하나의 워크플로우로 처리합니다. 특히 로민은 탐지 항목마다 신뢰도를 제공해, 담당자가 문서 전체를 다시 확인하지 않고 신뢰도가 낮은 항목만 확인하도록 합니다.
로민 리댁트(Lomin Redact): 개인정보 탐지·비식별화
로민 리댁트는 문서 속 민감정보를 탐지해 비식별화하는 솔루션입니다. 문서 이미지와 텍스트를 함께 분석해 주민등록번호, 전화번호, 이메일처럼 형식이 일정한 정보는 정규식과 검증 규칙으로, 이름, 상호, 주소처럼 형식이 일정하지 않은 정보는 문서의 문맥으로 탐지합니다. 본문, 표, 삽입 이미지에 포함된 정보가 탐지 대상이며, 기관별 항목은 규칙을 직접 추가해 적용할 수 있습니다.
PDF, JPG, PNG, TIFF, HWP·HWPX, DOC·DOCX, PPT·PPTX, XLS·XLSX, CSV, HTML, TXT 파일을 지원합니다. 이미지와 PDF는 민감정보 영역을 마스킹하고, 편집 가능한 파일은 텍스트를 치환해 원본 파일 형식을 유지합니다.
탐지 결과는 항목마다 신뢰도와 함께 표시됩니다. 담당자는 문서 뷰어에서 원문과 탐지 위치를 함께 보며 신뢰도가 낮은 항목을 확인하고, 마스킹 영역을 직접 추가·수정·삭제할 수 있습니다.
이미지와 PDF는 마스킹 처리해 복사나 텍스트 추출로도 원문이 드러나지 않습니다. 비식별화 해제, 해제 문서 다운로드, 검수 권한은 역할별로 분리하고, 로그인·업로드·검수·다운로드 이력은 감사 로그로 확인할 수 있습니다.
로민 AI 레디 패키지(Lomin AI Ready Package): 문서 구조화와 비식별화
로민 AI 레디 패키지는 문서 구조화 솔루션인 로민 파스(Lomin Parse)와 민감정보 비식별화 솔루션인 로민 리댁트를 통합해 2026년 8월 3일 출시했습니다. 비정형 문서를 생성형 AI와 검색증강생성(RAG)에 활용할 수 있는 데이터로 구조화하고, 개인정보와 민감정보를 비식별화하는 전 과정을 하나의 워크플로우로 제공합니다.
단계 | 처리 내용 | 담당 |
|---|---|---|
1단계. 문서 업로드 | 비정형 문서 입력 | 로민 AI 레디 패키지 |
2단계. 문서 구조화 | 문서를 AI가 읽을 수 있는 데이터로 변환 | 로민 파스 |
3단계. 민감정보 탐지 | 구조화 결과에서 개인정보·민감정보 탐지, 항목별 신뢰도 제공 | 로민 리댁트 |
4단계. 비식별화·검수 | 신뢰도 기준 자동 비식별화, 예외 항목 담당자 확인·보정 | 로민 리댁트 |
5단계. 결과 데이터 전달 | 생성형 AI·RAG 활용 데이터 전달 | 로민 AI 레디 패키지 |
비전언어모델(VLM) 기반 고도화를 거쳐 문서 업로드부터 결과 데이터 전달까지 시스템 간 데이터 이동 없이 처리합니다. 로민 파스와 리댁트는 국내 대형은행의 생성형 AI 데이터 구축 프로젝트에 적용되고 있습니다.
혁신방안 과제와 로민 대응
혁신방안 근거 | 문서 업무 연결 | 로민 대응 |
|---|---|---|
2차 피해 방지 | 보유 문서 속 개인정보 | 리댁트의 개인정보 탐지·비식별화 |
AI 기반 신보안체계 데이터 관리(N2SF 등) | 생성형 AI 활용 문서의 데이터 관리 | AI 레디 패키지의 구조화·비식별화 |
생성형 AI 혁신금융서비스 망분리 완화 | 생성형 AI 입력 문서의 개인정보 보호 | AI 레디 패키지의 비식별화, 온프레미스·프라이빗 클라우드·SaaS(API) 구축 |
표는 로민이 혁신방안 과제와 문서 업무를 연결해 정리한 것이며, 혁신방안이 특정 솔루션을 지정한 것은 아닙니다.
금융권 리댁트 구축 사례
고객 | 시기 | 적용 문서 | 적용 내용 |
|---|---|---|---|
2024년 10월 | 전자문서 처리 자동화 시스템의 이미지 문서 | 개인정보 탐지·비식별화, 그래픽 서체·손글씨·저화질 이미지 대응, GPU 서버 병렬 처리, 문서 뷰어 결과 확인·영역 추가 | |
2025년 1월 | 과실비율 심의 시스템 내 PDF, 스캔본, 팩스 문서, 판결문, 증빙서류, 이미지 첨부파일 | 주민등록번호·전화번호·이메일 탐지·비식별화, 자동·수동 마스킹, 비식별화 속도 최대 80% 개선, 문서 1장당 0.9~1초 처리 |
보안 인증과 구축 방식
로민은 CSAP 인증과 KPaaS·KACI 인증을 취득했습니다. 구축 방식은 고객의 IT 환경과 보안 정책에 따라 온프레미스, 프라이빗 클라우드, SaaS(API) 중에서 선택할 수 있습니다. 금융·공공 폐쇄망에는 레노버 서버와 엔비디아 GPU에 로민 리댁트를 결합한 로민 리댁트 AI 어플라이언스(Lomin Redact AI Appliance)로 도입할 수 있으며, 원문 데이터를 외부로 반출하지 않고 처리합니다.
우리 문서로 확인하기
사용하는 문서로 개인정보 탐지 범위를 확인해 보세요. 로민과 만나 우리 회사 문서의 개인정보 탐지와 비식별화 결과를 직접 확인해 보세요.
자주 묻는 질문
Q1. 전 금융권 보안체계 혁신방안은 언제 발표됐나요?
금융위원회가 금융감독원, 금융보안원과 함께 2026년 11월 5일 「AI시대 보안체계 혁신을 위한 전 금융권 간담회」에서 발표했습니다. 같은 날 금융위원회 보도자료와 별첨 문서 「전 금융권 보안체계 혁신방안」이 공개됐습니다.
Q2. 망분리 규제 전면해제는 언제 시행되나요?
시행 시점은 확정되지 않았고, 망분리 규제가 즉시 전면 폐지되는 것도 아닙니다. 금융위원회는 2026년 11월 「망분리 규제 전면해제 TF」를 발족해 전면해제의 추진 절차와 평가 기준, AI 기반 신보안체계의 내용을 논의하고, 2027년 1분기 안에 방안을 마련한다고 밝혔습니다. 그동안 SaaS 이용과 보안목적 AI 테스트에는 망분리 예외가 적용되고, 생성형 AI는 혁신금융서비스를 통한 규제 완화가 이어집니다.
Q3. 망분리 전면해제 이후 금융사에는 어떤 대체통제가 요구되나요?
엄격한 대체통제를 전제로 단계적으로 해제하는 방안이 논의되고 있습니다. 혁신방안은 고도의 AI·보안 역량을 갖춘 금융사를 선정해 규제를 해제하는 방안을 TF 논의 사항으로 제시했고, 데이터 관리(N2SF 등), 제로트러스트 원칙, 보안 내부통제, 침해사고 대응체계를 AI 기반 신보안체계의 논의 내용으로 꼽았습니다. 먼저 상시화되는 보안목적 AI·SaaS 예외의 대체통제로는 외부접점 관리, 인증·접근통제, 보안사고·장애대응이 제시됐습니다.
Q4. 보안목적 AI와 SaaS의 망분리 예외는 어떻게 달라지나요?
보안목적 AI 테스트와 SaaS 서비스는 전자금융감독규정 개정을 거쳐 망분리 예외를 상시 허용하는 방향으로 추진됩니다. 업무용 SaaS는 2026년 4월 상시 제도화됐고, 생성형 AI 등은 엄격한 대체통제를 전제로 혁신금융서비스 지정을 통한 규제 완화가 이어집니다. 대체통제로는 외부접점 관리, 인증·접근통제, 보안사고·장애대응 등이 제시됐습니다.
Q5. 디지털금융 안전법은 어떤 업종에 적용되나요?
적용 대상은 법안 마련 과정에서 구체화됩니다. 가상자산사업자, 보험GA, 대부업처럼 직접 전자금융거래를 하지는 않지만 많은 금융·고객 정보를 보유한 업종에는 현행 전자금융거래법에 준하는 보안 규율을 적용합니다. 클라우드사업자와 플랫폼처럼 다수 금융회사와 연계된 경우에는 침해사고 예방과 피해 복구 규율을 검토하며, 금융회사에는 CEO 책임성과 이사회 구성 등 보안 거버넌스 규율도 검토합니다. 연내 방안을 마련하고 2027년 1분기에 법안 발의를 추진합니다.
Q6. 금융권 취약점 점검 주기는 어떻게 바뀌나요?
점검 주기는 연 1회에서 2회로 늘어납니다. 1단계는 총자산 2조원 이상이면서 종업원 300명 이상인 대형사에 2회 점검을 의무화하며 2026년 11월 규정변경예고를 거칩니다. 2단계는 중소형사까지 포함한 전 금융권으로 2028년부터 확대합니다. 전자금융거래와 직간접적으로 관련된 모든 외부접점이 점검 대상에 포함되고, 긴급한 경우 금융당국이 수시점검을 요구할 수 있습니다.
Q7. 보유 문서 속 개인정보 관리는 혁신방안과 어떻게 연결되나요?
혁신방안은 문서 관리를 별도 과제로 제시하지 않습니다. 다만 유출된 개인정보가 2차 피해로 이어진다는 문제의식과, 생성형 AI 활용 시 데이터 관리(N2SF 등)를 TF에서 논의한다는 점에서 보유 문서 속 개인정보 점검은 관련 과제가 될 수 있습니다. 금융사는 문서 유형별 개인정보 포함 여부와 비식별화 절차를 먼저 확인할 수 있습니다.
Q8. 금융 문서의 개인정보는 어떻게 비식별화하나요?
문서 안의 개인정보를 먼저 탐지한 뒤 마스킹하거나 다른 문자로 치환해 식별할 수 없게 처리합니다. 주민등록번호, 전화번호, 이메일처럼 형식이 일정한 정보는 정규식으로 찾을 수 있고, 이름, 상호, 주소처럼 형식이 일정하지 않은 정보는 문맥 기반 탐지가 필요합니다. 이미지와 PDF는 탐지한 영역을 마스킹하고 편집 가능한 파일은 텍스트를 치환하며, 탐지 결과는 담당자가 확인해 누락과 오탐을 보정합니다.
Q9. 스캔본과 이미지 문서의 개인정보도 자동 탐지할 수 있나요?
가능합니다. 스캔본, 팩스, 사진처럼 이미지로 된 문서는 글자를 인식해 내용을 읽은 뒤 개인정보를 탐지합니다. 손글씨와 저화질 이미지는 인식 정확도가 탐지 누락에 영향을 주므로 자동 탐지 결과를 담당자가 확인하는 절차를 함께 둡니다. 로민 리댁트는 PDF와 JPG, PNG, TIFF 이미지 파일을 지원합니다.
Q10. 금융회사가 생성형 AI를 도입하기 전에 준비할 것은 무엇인가요?
혁신방안 기준으로 먼저 확인할 사항은 혁신금융서비스 지정과 대체통제입니다. 생성형 AI는 엄격한 대체통제를 전제로 혁신금융서비스를 통한 망분리 규제 완화가 이어지고, 데이터 관리(N2SF 등), 제로트러스트 원칙, 보안 내부통제는 TF 논의 사항입니다. AI에 문서를 입력할 계획이라면 문서 속 개인정보 포함 여부, 비식별화 절차, 외부 전송 범위를 먼저 점검할 수 있습니다.
Q11. 로민 리댁트는 비식별화 결과를 어떻게 검수하나요?
탐지 결과마다 신뢰도를 제공하며, 담당자는 신뢰도가 낮은 항목만 확인합니다. 문서 뷰어에서 결과를 확인하고 마스킹 영역을 직접 추가하거나 수정할 수 있습니다.
Q12. 로민 AI 레디 패키지는 무엇인가요?
로민 파스의 문서 구조화와 로민 리댁트의 민감정보 비식별화를 통합한 패키지로, 2026년 8월 3일 출시했습니다. 문서 업로드부터 구조화, 민감정보 탐지, 비식별화, 결과 데이터 전달까지 시스템 간 데이터 이동 없이 처리하며, 온프레미스, 프라이빗 클라우드, SaaS 방식으로 구축할 수 있습니다.
근거·출처
금융위원회 보도자료, 「AI시대 보안체계 혁신을 위한 全(전)금융권 간담회」, 2026.11.5.
금융위원회·금융감독원·금융보안원, 「AI 시대 침해위협에 대응하기 위한 全(전)금융권 보안체계 혁신방안」, 2026.11.5. 위 금융위원회 보도자료 페이지에서 확인할 수 있습니다.
KB국민카드 개인정보 탐지·비식별화 구축 사례, 2024.10.
손해보험협회 개인정보 비식별화 구축 사례, 2025.1.28.
로민 보도자료, 「로민, 문서 구조화·민감정보 비식별화 'AI 레디 패키지' 출시」, 2026.8.3. https://www.lomin.ai/newroom/lomin-ai-ready-package-etnews