회계와 급여와 자금 이체를 처리하는 업무망을 두고 “인터넷과 끊어 놓았으니 안전하다”는 말이 자주 나온다. 이 문장은 결론처럼 쓰이지만 사실은 두 가지를 조용히 전제한다. 하나는 그 망이 실제로 끊겨 있다는 전제이고, 다른 하나는 끊겨 있으면 공격이 도달하지 못한다는 전제다. 국내외에서 확인된 침해 사고와 규제 당국의 최근 결정은 두 전제를 모두 흔든다.
먼저 용어를 정리한다. 망분리는 조직의 업무용 전산망과 인터넷을 서로 닿지 않게 갈라놓는 조치를 말한다. 회계 담당자가 쓰는 컴퓨터에서 인터넷 검색이 되지 않고, 자료를 옮기려면 별도 장치를 거쳐야 하는 환경이 그 결과물이다.
이 조치가 한국에서 규제로 굳은 시점은 분명하다. 정부와 공공기관은 2006년부터 인터넷망과 업무망을 갈라 쓰는 정책을 시행했다. 금융권은 그보다 늦은 2013년에 들어왔다. 계기는 그해 3월 20일의 전산 마비였다. 대규모 사이버 공격으로 농협과 신한 같은 은행, KBS와 YTN 같은 방송사의 주요 전산시스템이 동시에 멈췄다. 금융위원회는 2024년 8월 13일 「금융분야 망분리 개선 로드맵」을 발표하면서 이 사건을 금융권 망분리의 출발점으로 명시했다.
사고의 경로는 뒤에 다시 나온다. 3·20 공격은 조직 안에서 백신과 보안 패치를 배포하는 중앙 관리 서버를 통로로 삼았다. 조직 구성원 전체가 신뢰하고 사내 접근 권한이 넓게 설정된 장치를 장악한 뒤 악성코드를 뿌리는 방식이다. 같은 구조가 뒤에 벌어진 사고에서 다시 관찰된다.
망분리 의무의 법적 근거는 금융위원회 고시인 「전자금융감독규정」 제15조다. 해킹 등 방지대책을 정한 조항이며, 2013년 12월 3일 개정으로 망분리 조항이 들어갔다.
조문만 보면 격리는 예외 없는 원칙처럼 읽힌다. 그런데 같은 규정의 시행세칙 제2조의2는 처음부터 예외를 두었다. 내부 통신망에 연결된 단말기가 업무상 필수적으로 외부기관과 연결해야 하는 경우가 대표적이며, 이때도 필요한 서비스 번호에 한정해 특정 외부기관과 연결하도록 했다. 금융회사가 국외 전산센터에 정보처리 업무를 위탁하는 경우도 예외로 열려 있다.
예외 조항이 필요했던 이유는 업무의 성질에 있다. 회계와 자금 업무는 조직 바깥과 데이터를 주고받아야 성립한다. 은행과 연결되는 펌뱅킹 회선, 국세청으로 가는 전자세금계산서, 카드 승인 내역, 외부 회계·세무 서비스와의 연동이 모두 그렇다. 자금이 조직 밖으로 나가고 그 기록이 조직 밖 기관에 남는 이상, 경리 업무망을 완전히 닫아 두는 선택지는 존재하지 않는다. 규정을 만든 쪽도 그것을 알고 있었기 때문에 예외를 함께 썼다.
여기서 실제 보안 문제가 생긴다. 예외로 열린 지점은 그 조직에서 가장 신뢰받는 통로가 되고, 통제도 그만큼 느슨해진다. 금융감독당국의 유권해석을 보면 망을 잇는 장비를 어디까지 허용할지가 반복해서 쟁점이 됐다. 외부 정보보호시스템의 로그를 내부로 넘기는 단방향 전송조차 예외 사유에 해당하지 않아 허용하기 어렵다는 회신이 나온 적이 있다. 규제 당국이 이 지점을 까다롭게 다룬 것은 그곳이 실제 침입 경로이기 때문이다.
격리가 실제로 유지되는지 대규모로 확인한 기록이 있다. 미국 국토안보부의 국가사이버보안·통신통합센터를 이끌던 션 맥거크는 2011년 5월 25일 미국 하원 감독·정부개혁위원회 산하 국가안보·국토방위·해외작전 소위원회 청문회에서 이 문제를 증언했다. 이 센터는 미국 정부가 민간 기반시설의 침해 사고에 대응하려고 운영하는 조직이며, 발전소와 정유 시설 같은 곳을 찾아가 취약점을 평가하는 일도 맡았다.
맥거크의 증언 내용은 이렇다. 민간 부문에서 수백 건의 취약점 평가를 수행하는 동안, 운영망이나 SCADA 시스템이나 에너지관리시스템이 기업망과 분리되어 있는 사례를 한 번도 발견하지 못했다. 두 망 사이에는 평균 11개의 직접 연결이 확인됐고, 극단적인 사례에서는 250개까지 식별됐다.
여기서 SCADA는 발전소나 상수도 같은 설비를 원격으로 감시하고 조작하는 제어 시스템을 가리킨다. 기업망은 회계와 인사와 전자우편이 도는 일반 업무망을 말한다. 두 망은 산업 현장에서 가장 엄격하게 갈라 두는 대상으로 여겨져 왔고, 그런데도 수백 건의 현장 조사에서 실제로 갈라져 있던 사례가 하나도 나오지 않았다.
제어 시스템 보안을 다뤄 온 에릭 바이어스는 2013년 8월 미국계산기학회가 발행하는 학술지 커뮤니케이션스 오브 디 에이시엠에 실은 기고에서 같은 진단을 내놓았다. 연결이 늘어나는 환경에서 격리를 보안 전략으로 삼는 것은 현실성이 없다는 주장이다. 그가 든 근거는 격리를 지키려는 조직의 행동에 있다. 제어망에도 운영체제 보안 패치와 백신 갱신 파일과 설비 제조사가 보낸 수정 로직이 들어가야 한다. 회선을 끊어 두면 그 파일은 이동식 저장장치나 담당자의 노트북에 실려 들어오고, 그렇게 만들어진 경로는 회선보다 관리하기 어렵다. 바이어스는 주요 제어 시스템 제조사의 보안 설계 문서에서 격리를 권고하는 문구가 사라졌다는 점도 확인했다.
이 경로가 실제로 쓰인 사례가 스턱스넷이다. 시만텍의 니콜라 팔리에르와 리엄 오 머추와 에릭 치엔이 2011년에 정리한 분석 보고서는 감염 경로를 이렇게 설명한다. 악성코드는 조직 내부 컴퓨터를 감염시킨 뒤 제어 장치를 프로그래밍하는 단말을 찾아 퍼졌는데, 그 단말은 신뢰되지 않는 망에 한 번도 연결된 적이 없는 기기였다. 근거리 통신망을 통한 확산이 앞 구간을 맡았고, 이동식 저장장치가 마지막 한 구간을 건넜다. 공격자가 외부에서 명령을 내릴 수 없는 환경이었기 때문에, 설비를 조작하는 기능은 악성코드 실행 파일 안에 미리 넣어 두었다.
국내 사례도 같은 모양이다. 2016년 9월 군 내부망인 국방망에서 다수의 악성코드가 확인됐고 군사기밀이 유출됐다. 국가정보원 등이 참여한 합동조사팀은 국방통합데이터센터의 서버에 군 내부망 랜카드와 인터넷용 랜카드가 함께 꽂혀 있던 사실을 확인했다. 설계상 갈라져 있어야 할 두 망이 장비 한 대에서 만나고 있었다. 공격자는 인터넷망에 있는 백신 중계서버에 먼저 들어가 백신 업데이트 파일로 위장한 악성코드를 뿌렸고, 그 접점을 통해 국방망으로 넘어갔다.
국방부는 2017년 전산망 시공사와 백신 공급사를 상대로 50억 원 규모의 손해배상을 청구했다. 서울중앙지방법원은 2020년 8월 27일 1심에서 청구를 모두 기각하면서도, 망 혼용 때문에 국방망의 군사자료가 유출되는 해킹사고가 일어났다고 봄이 옳다고 판단했다. 서울고등법원 민사33부는 2023년 2월 16일 항소심에서 손해액을 7억 원으로 산정하고 전산망 시공사에 그 절반인 3억 5천만 원을 국가에 배상하라고 판결했다. 정부의 네트워크 보안 관리상 과실도 일부 인정했다. 백신 공급사의 책임은 1심과 항소심 모두 인정하지 않았다.
이 사건에서 눈여겨볼 대목은 사고의 구조다. 침입은 방화벽을 정면으로 뚫고 들어오지 않았다. 격리를 유지하기 위해 반드시 필요한 장치, 즉 백신을 배포하는 서버가 통로가 됐고, 설계와 다르게 남아 있던 접점 하나가 나머지를 결정했다. 3·20 전산마비도 같은 종류의 장치를 거쳤다. 격리된 망일수록 내부 배포 장치의 권한이 넓어지는데, 그 장치가 뚫리면 격리는 오히려 피해를 키운다. 바깥에서 들어오는 트래픽을 막아 둔 대신, 안쪽에서 퍼지는 트래픽에는 아무 검문소도 두지 않았기 때문이다.
기술적 경로보다 다루기 까다로운 문제가 하나 더 있다. 격리를 안전의 증명으로 받아들이면 그다음 통제를 세울 동기가 사라진다.
인터넷과 끊겨 있다는 이유로 운영체제 보안 패치를 미루는 관행, 내부 구간을 잘게 나누지 않고 평평하게 두는 설계, 접속 기록을 모으되 확인하는 사람이 없는 운영이 여기서 나온다. 셋 다 격리가 유지된다는 가정 위에서만 합리적이다. 접점 하나가 남아 있으면 그 가정은 무너지고, 남는 것은 패치되지 않은 시스템과 검문소 없는 내부망이다. 국방망 사고에서 피해가 국방망 전체로 번진 이유도 여기에 있다.
왜 이런 운영이 굳어졌는지는 규제의 구조를 보면 드러난다. 망분리는 점검하는 쪽에서 다루기 편한 항목이다. 컴퓨터가 두 대인지, 회선이 갈라져 있는지는 현장에서 눈으로 확인되고 기록으로 남는다. 반면 권한 관리가 적절한지, 접속 기록 분석이 실제로 돌아가는지, 침해 징후를 판단할 사람이 있는지는 평가자마다 결론이 달라진다. 규제를 지키는 쪽에서도 마찬가지다. 사고가 나더라도 규정에 적힌 조치를 이행했다는 사실은 문서로 증명되며, 그 증명은 책임 판단에서 실제로 작동한다. 보안 목표를 달성했는지와 책임을 면했는지는 다른 문제이며, 제도는 담당자가 후자를 택하도록 유인해 왔다.
망분리의 순기능을 부정할 근거는 없다. 금융위원회도 2024년 로드맵을 내면서 그동안 망분리 덕분에 각종 보안 위협을 피할 수 있었다고 평가했다. 인터넷에서 곧바로 닿는 통로를 없앤 조치는 대량 감염과 원격 조종 채널을 실제로 줄였다. 문제는 그것을 최종 상태로 놓았다는 데 있다. 격리는 공격자가 넘어야 할 단계를 하나 더 만드는 조치이지, 그 뒤의 통제를 면제해 주는 조치가 아니다.
이 판단은 규제 당국 쪽에서 먼저 나왔다. 방향은 두 갈래로 진행됐다.
공공 부문에서는 국가정보원이 2024년 9월 다층보안체계 전환 로드맵을 발표했고, 명칭을 바꿔 국가 망 보안체계로 정리했다. 2025년 1월 초안을 배포한 뒤 같은 해 9월 정식판을 공개했다.
정식판에서 보안 통제 항목은 초안의 170여 개에서 260여 개로 늘었고, 기관이 참고할 정보서비스 모델은 8종에서 11종으로 확대됐다. 미국 국가안보국이 쓰는 크로스 도메인 솔루션 개념도 반영됐다. 시범 적용 사례도 함께 공개됐다. 특허청은 물리적 망분리 환경을 유지한 채 생성형 인공지능과 해외 특허청 데이터베이스를 연계했고, 한국은행은 데이터 라벨링 기반 보안과 단일 단말 접속 체계를 도입해 외부 접속의 보안성을 높였다. 격리를 그대로 두고 통제를 덧대는 쪽과 격리를 조정하는 쪽이 함께 시험되고 있다.
금융 부문의 변화는 더 구체적이다. 금융위원회와 금융감독원은 2026년 1월 20일 금융회사가 내부 업무망에서 클라우드 기반 응용소프트웨어를 쓸 수 있도록 망분리 예외를 명시하는 시행세칙 개정안을 사전예고했고, 개정 시행세칙은 2026년 4월 20일 시행됐다. 문서 작성과 화상회의와 인사·성과관리에 쓰이는 구독형 소프트웨어가 대상이다. 예외를 받으려면 침해사고대응기관인 금융보안원의 평가에서 충족 판정을 받은 서비스를 써야 하고, 접속 단말기와 사용자 등록·관리, 인증 방식, 최소 권한 부여 같은 통제를 적용해야 한다. 금융회사는 이 통제의 이행 여부를 반기에 한 번 자체 평가해 정보보호위원회에 보고해야 한다. 이용자의 고유식별정보나 개인신용정보를 처리하는 경우에는 예외가 적용되지 않는다.
개인정보 영역도 같은 방향이다. 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 제6조 제6항은 일정 규모 이상의 개인정보처리자에게 인터넷망 차단 조치를 요구하면서, 클라우드컴퓨팅서비스를 이용해 개인정보처리시스템을 운영하는 경우 해당 서비스 접속에 한해 예외를 인정하는 단서를 두었다.
세 갈래 변화의 성격을 정확히 볼 필요가 있다. 규제 완화의 동력은 보안 논쟁에서 나오지 않았다. 금융위원장은 2024년 로드맵 발표에서 획일적 망분리 의무화를 한국에만 있는 갈라파고스 규제라고 부르며 금융산업의 글로벌 경쟁력 저해 요인으로 지목했다. 국가정보원이 내세운 명분도 인공지능과 클라우드 활용이다. 두 기관 모두 신기술을 쓰지 못하는 상황을 문제로 삼았고, 격리가 안전을 보장하지 못한다는 판단은 그 뒤를 따라왔다. 그래서 이번 전환이 보안 수준을 자동으로 높인다고 말할 수 없다. 법무법인 화우는 이번 개정을 금융회사가 자체 위험평가와 내부통제를 전제로 기술 도입 여부를 스스로 판단하게 하는 자율보안·결과책임 원칙의 규제 개선으로 평가했다. 법무법인 세종은 신설된 내부 업무망 SaaS 통제가 종전 혁신금융서비스 부가조건의 보안대책을 중요 항목 위주로 함축한 것이어서 보안 수준에는 실질적인 변화가 없다고 봤다. 격리를 걷어낸 자리를 무엇으로 채우는지는 아직 확인되지 않았다.
경리 업무망을 인터넷과 끊어 놓았다는 사실만으로는 안전을 말할 수 없다. 근거는 세 갈래다. 첫째, 완전한 격리는 관측되지 않는다. 미국 국토안보부가 민간에서 수행한 수백 건의 취약점 평가에서 운영망과 기업망이 분리된 사례가 나오지 않았고, 회계와 자금 업무는 은행과 국세청과 카드사로 연결되어야 성립하므로 국내 규정도 처음부터 예외를 함께 적었다. 둘째, 격리를 유지하려면 반드시 있어야 하는 장치가 침입 경로가 된다. 3·20 전산마비의 백신 업데이트 서버, 국방망 사고의 백신 중계서버와 랜카드 두 장, 스턱스넷의 이동식 저장장치가 같은 자리를 차지했다. 셋째, 격리를 결론으로 받아들이면 패치와 내부 구간 분리와 접속 기록 분석이 뒤로 밀리고, 접점 하나가 열리는 순간 남는 것은 통제가 비어 있는 내부망이다.
쟁점은 격리를 어디에 놓느냐다. 격리를 통제 목록의 한 줄로 두면 공격 단계를 늘리는 유효한 조치다. 안전의 증명으로 두면 나머지 통제를 지우는 근거가 된다. 한국의 규제는 오랫동안 후자에 가깝게 운영됐고, 2024년 이후 국가정보원과 금융위원회가 각각 등급별 통제와 자율보안·결과책임으로 방향을 틀었다.
전환의 성패를 판별할 지점은 이미 정해져 있다. 금융회사가 반기마다 하는 자체 평가와 정보보호위원회 보고, 공공기관이 국가 망 보안체계를 적용하며 만드는 등급 분류와 통제 산출물이 판별 자료다. 이 문서들이 실제 점검 대상이 되고 미이행이 확인될 때 결과가 따르면, 격리 대신 통제가 자리를 잡았다고 말할 수 있다. 반대로 이 문서들이 사고 이후 규정을 지켰다는 항변 자료로만 쓰이면, 점검하기 편한 항목이 보안 목표를 대신하던 구조가 형태만 바꿔 반복된다. 판별에 필요한 자료는 2026년 하반기부터 쌓인다.
남는 물음은 격리를 풀어야 하는지가 아니다. 격리된 망 안에서 무엇을 하고 있었는지다. 두 대의 컴퓨터로 나뉜 책상 뒤에서 패치와 권한과 기록 관리가 함께 굴러가고 있었다면 등급별 통제로 옮겨 가는 일은 어렵지 않다. 그 반대였다면, 격리를 걷어내는 순간 드러나는 것은 신기술을 쓸 자유가 아니라 20년 동안 세우지 않은 통제의 목록이다.