제로트러스트 도입 배경
1. 큰 방향: 규칙 준수형에서 자율보안 책임형으로 이동 중
국내 금융권 보안은 오랫동안 전자금융감독규정 중심으로 세부 규칙을 맞추는 방식이 강했다. 그러나 2025년 2월 전자금융감독규정 개정으로 금융보안 규제가 기존의 세부 규칙 중심에서 원칙 중심으로 바뀌고 있고, 금융회사가 스스로 위험을 평가하고 보안체계를 설계하는 방향이 강화되고 있다.
즉, 예전에는 규정에 적힌 대로 했는지가 중요했다면, 앞으로는 우리 서비스의 위험을 어떻게 식별했고, 어떤 통제로 막았고, 사고가 났을 때 얼마나 빨리 복구할 수 있는지가 더 중요해지는 흐름이다.
2. 네트워크 보안: 망분리에서 제로트러스트로 확장
전통적인 은행 보안의 핵심은 망분리였다. 내부 업무망, 외부 인터넷망, 개발망, 운영망 등을 분리해 외부 침입이 바로 핵심 시스템으로 이어지지 않게 막는 구조이다. 금융위원회도 기존 금융보안체계가 오랫동안 외부 통신과 분리된 환경을 전제로 구성되어 왔다고 설명한다.
https://www.fsc.go.kr/no010101/82885
다만 최근에는 클라우드, SaaS, 생성형 AI, 원격근무, 외부 API 연동 때문에 완전한 물리적 차단만으로는 업무가 어려워졌다. 그래서 금융권은 망분리를 완전히 버리는 것이 아니라, 단계적으로 예외를 허용하면서 강한 접근통제와 모니터링을 붙이는 방향으로 가고 있다. 2026년에는 SaaS를 망분리 예외사유로 반영하는 전자금융감독규정 시행세칙 개정도 추진되었다.
https://www.fsc.go.kr/no010101/86080
이에 대한 대책으로 금융보안원은 제로트러스트를 주요 보안 방향으로 제시했다. 2026년에는 금융분야 제로트러스트 보안 안내서를 발간했고, 재택근무, 업무 단말, SaaS, 연구개발, 본점과 지점 간 통신 등 5개 네트워크 구간을 우선 적용 대상으로 제시했다.
https://www.fsec.or.kr/bbs/detail?bbsNo=11923&menuNo=69
제로트러스트란?
제로트러스트는 내부망, 외부망처럼 네트워크 위치를 기준으로 신뢰를 판단하지 않고, 모든 접근 요청을 검증 대상으로 보는 보안 모델이다. 기존 보안이 내부망은 상대적으로 신뢰하고 외부 접근을 차단하는 방식에 가까웠다면, 제로트러스트는 내부에서 발생한 요청이라도 사용자, 단말, 애플리케이션, 데이터 접근 목적 등을 계속 확인하는 방향에 가깝다.
핵심은 아무것도 기본적으로 신뢰하지 않고, 필요한 권한만 부여하며, 접근 이후에도 지속적으로 검증하는 것이다. 이를 통해 내부 계정 탈취, 악성코드 감염, 내부 서비스 침해처럼 경계 내부에서 발생하는 보안 위협에도 대응할 수 있다.
제로트러스트의 주요 원칙
제로트러스트는 특정 기술 하나를 의미하지 않는다. 여러 보안 원칙과 통제 방식을 묶은 접근 방식에 가깝다. 주요 원칙은 다음과 같다.
- 명시적 검증
사용자, 단말, 위치, 접근 대상, 요청 목적 등을 바탕으로 접근 요청을 계속 검증한다. 한 번 로그인했다고 모든 접근을 허용하지 않고, 민감한 자원에 접근할 때마다 추가적인 확인이 필요할 수 있다.
- 최소 권한 접근
사용자나 서비스에는 필요한 권한만 부여한다. 모든 기능을 열어두는 방식이 아니라, 역할과 업무 범위에 따라 접근 가능한 데이터와 기능을 제한한다.
- 침해를 전제로 한 설계
제로트러스트는 내부 시스템이 항상 안전하다고 보지 않는다. 계정 탈취나 내부 서비스 침해가 발생할 수 있다고 보고, 피해 범위가 다른 시스템으로 확산되지 않도록 접근 범위를 제한하고 기록을 남긴다.
- 지속적인 모니터링
접근 허용 이후에도 이상 행위가 있는지 확인한다. 비정상적인 접속 위치, 과도한 조회, 평소와 다른 접근 패턴 등이 발생하면 추가 인증, 차단, 경고 등의 조치를 할 수 있다.
여신 관점에서의 의미
여신 시스템은 고객 정보, 계좌 정보, 대출 신청 정보, 상환 이력처럼 민감한 데이터를 다룬다. 또한 대출 실행, 상환 처리, 연체 전환처럼 고객의 자산 흐름과 신용 상태에 직접 영향을 주는 기능도 포함한다.
따라서 금융 시스템에서는 로그인 여부만 확인하는 인증으로는 충분하지 않다. 요청자가 해당 고객 본인인지, 해당 계좌에 접근할 권한이 있는지, 현재 상태에서 대출 실행이나 상환 처리가 가능한지, 같은 요청이 중복으로 처리되지 않는지까지 함께 확인해야 한다.
제로트러스트 관점에서 보면, 여신 시스템의 보안은 내부 서비스 호출까지 검증 대상으로 봐야 한다. 예를 들어 대출 실행 과정에서 lending-service가 account-service를 호출하더라도, 내부 서비스라는 이유만으로 신뢰해서는 안 된다. 호출한 서비스의 권한, 요청 목적, 접근 대상 데이터의 범위를 함께 확인해야 한다.
즉, 여신 시스템에서 제로트러스트는 인증, 인가, 소유권 검증, 서비스 간 인증, 감사 로그, 멱등성 처리까지 이어지는 보안 설계 기준으로 볼 수 있다.
결론
금융권 보안은 기존의 망분리, 접근통제, 보안관제 중심 구조에서 출발했지만, 클라우드, SaaS, 생성형 AI, 원격근무, 외부 API 연동이 확대되면서 경계 기반 보안만으로는 한계가 커지고 있다. 이에 따라 금융보안 규제도 세부 규칙을 그대로 따르는 방식에서 벗어나, 금융회사가 스스로 위험을 식별하고 보안 통제를 설계하는 방향으로 이동하고 있다.
제로트러스트는 이러한 변화 속에서 금융권이 검토하는 주요 보안 방향이다. 핵심은 내부망이나 내부 서비스라는 이유만으로 요청을 신뢰하지 않고, 사용자, 단말, 서비스, 데이터 접근 목적을 계속 검증하는 것이다. 특히 금융 시스템처럼 개인정보, 계좌 정보, 대출 정보, 거래 이력 등 민감한 데이터를 다루는 환경에서는 최소 권한 접근, 지속적인 검증, 감사 가능한 기록이 중요하다.
이번 조사에서는 여신 시스템을 기준으로 금융권 보안의 변화 흐름과 제로트러스트의 필요성을 정리했다. 이후 구현 이슈에서는 이 조사 내용을 바탕으로 사용자 인증, 서비스 간 인증, 권한 검증, 감사 로그, 멱등성 처리 등 프로젝트에 적용할 구체적인 보안 기능을 분리해 설계할 예정이다.
제로트러스트 도입 배경
1. 큰 방향: 규칙 준수형에서 자율보안 책임형으로 이동 중
국내 금융권 보안은 오랫동안 전자금융감독규정 중심으로 세부 규칙을 맞추는 방식이 강했다. 그러나 2025년 2월 전자금융감독규정 개정으로 금융보안 규제가 기존의 세부 규칙 중심에서 원칙 중심으로 바뀌고 있고, 금융회사가 스스로 위험을 평가하고 보안체계를 설계하는 방향이 강화되고 있다.
즉, 예전에는 규정에 적힌 대로 했는지가 중요했다면, 앞으로는 우리 서비스의 위험을 어떻게 식별했고, 어떤 통제로 막았고, 사고가 났을 때 얼마나 빨리 복구할 수 있는지가 더 중요해지는 흐름이다.
2. 네트워크 보안: 망분리에서 제로트러스트로 확장
전통적인 은행 보안의 핵심은 망분리였다. 내부 업무망, 외부 인터넷망, 개발망, 운영망 등을 분리해 외부 침입이 바로 핵심 시스템으로 이어지지 않게 막는 구조이다. 금융위원회도 기존 금융보안체계가 오랫동안 외부 통신과 분리된 환경을 전제로 구성되어 왔다고 설명한다.
https://www.fsc.go.kr/no010101/82885
다만 최근에는 클라우드, SaaS, 생성형 AI, 원격근무, 외부 API 연동 때문에 완전한 물리적 차단만으로는 업무가 어려워졌다. 그래서 금융권은 망분리를 완전히 버리는 것이 아니라, 단계적으로 예외를 허용하면서 강한 접근통제와 모니터링을 붙이는 방향으로 가고 있다. 2026년에는 SaaS를 망분리 예외사유로 반영하는 전자금융감독규정 시행세칙 개정도 추진되었다.
https://www.fsc.go.kr/no010101/86080
이에 대한 대책으로 금융보안원은 제로트러스트를 주요 보안 방향으로 제시했다. 2026년에는 금융분야 제로트러스트 보안 안내서를 발간했고, 재택근무, 업무 단말, SaaS, 연구개발, 본점과 지점 간 통신 등 5개 네트워크 구간을 우선 적용 대상으로 제시했다.
https://www.fsec.or.kr/bbs/detail?bbsNo=11923&menuNo=69
제로트러스트란?
제로트러스트는 내부망, 외부망처럼 네트워크 위치를 기준으로 신뢰를 판단하지 않고, 모든 접근 요청을 검증 대상으로 보는 보안 모델이다. 기존 보안이 내부망은 상대적으로 신뢰하고 외부 접근을 차단하는 방식에 가까웠다면, 제로트러스트는 내부에서 발생한 요청이라도 사용자, 단말, 애플리케이션, 데이터 접근 목적 등을 계속 확인하는 방향에 가깝다.
핵심은 아무것도 기본적으로 신뢰하지 않고, 필요한 권한만 부여하며, 접근 이후에도 지속적으로 검증하는 것이다. 이를 통해 내부 계정 탈취, 악성코드 감염, 내부 서비스 침해처럼 경계 내부에서 발생하는 보안 위협에도 대응할 수 있다.
제로트러스트의 주요 원칙
제로트러스트는 특정 기술 하나를 의미하지 않는다. 여러 보안 원칙과 통제 방식을 묶은 접근 방식에 가깝다. 주요 원칙은 다음과 같다.
사용자, 단말, 위치, 접근 대상, 요청 목적 등을 바탕으로 접근 요청을 계속 검증한다. 한 번 로그인했다고 모든 접근을 허용하지 않고, 민감한 자원에 접근할 때마다 추가적인 확인이 필요할 수 있다.
사용자나 서비스에는 필요한 권한만 부여한다. 모든 기능을 열어두는 방식이 아니라, 역할과 업무 범위에 따라 접근 가능한 데이터와 기능을 제한한다.
제로트러스트는 내부 시스템이 항상 안전하다고 보지 않는다. 계정 탈취나 내부 서비스 침해가 발생할 수 있다고 보고, 피해 범위가 다른 시스템으로 확산되지 않도록 접근 범위를 제한하고 기록을 남긴다.
접근 허용 이후에도 이상 행위가 있는지 확인한다. 비정상적인 접속 위치, 과도한 조회, 평소와 다른 접근 패턴 등이 발생하면 추가 인증, 차단, 경고 등의 조치를 할 수 있다.
여신 관점에서의 의미
여신 시스템은 고객 정보, 계좌 정보, 대출 신청 정보, 상환 이력처럼 민감한 데이터를 다룬다. 또한 대출 실행, 상환 처리, 연체 전환처럼 고객의 자산 흐름과 신용 상태에 직접 영향을 주는 기능도 포함한다.
따라서 금융 시스템에서는 로그인 여부만 확인하는 인증으로는 충분하지 않다. 요청자가 해당 고객 본인인지, 해당 계좌에 접근할 권한이 있는지, 현재 상태에서 대출 실행이나 상환 처리가 가능한지, 같은 요청이 중복으로 처리되지 않는지까지 함께 확인해야 한다.
제로트러스트 관점에서 보면, 여신 시스템의 보안은 내부 서비스 호출까지 검증 대상으로 봐야 한다. 예를 들어 대출 실행 과정에서 lending-service가 account-service를 호출하더라도, 내부 서비스라는 이유만으로 신뢰해서는 안 된다. 호출한 서비스의 권한, 요청 목적, 접근 대상 데이터의 범위를 함께 확인해야 한다.
즉, 여신 시스템에서 제로트러스트는 인증, 인가, 소유권 검증, 서비스 간 인증, 감사 로그, 멱등성 처리까지 이어지는 보안 설계 기준으로 볼 수 있다.
결론
금융권 보안은 기존의 망분리, 접근통제, 보안관제 중심 구조에서 출발했지만, 클라우드, SaaS, 생성형 AI, 원격근무, 외부 API 연동이 확대되면서 경계 기반 보안만으로는 한계가 커지고 있다. 이에 따라 금융보안 규제도 세부 규칙을 그대로 따르는 방식에서 벗어나, 금융회사가 스스로 위험을 식별하고 보안 통제를 설계하는 방향으로 이동하고 있다.
제로트러스트는 이러한 변화 속에서 금융권이 검토하는 주요 보안 방향이다. 핵심은 내부망이나 내부 서비스라는 이유만으로 요청을 신뢰하지 않고, 사용자, 단말, 서비스, 데이터 접근 목적을 계속 검증하는 것이다. 특히 금융 시스템처럼 개인정보, 계좌 정보, 대출 정보, 거래 이력 등 민감한 데이터를 다루는 환경에서는 최소 권한 접근, 지속적인 검증, 감사 가능한 기록이 중요하다.
이번 조사에서는 여신 시스템을 기준으로 금융권 보안의 변화 흐름과 제로트러스트의 필요성을 정리했다. 이후 구현 이슈에서는 이 조사 내용을 바탕으로 사용자 인증, 서비스 간 인증, 권한 검증, 감사 로그, 멱등성 처리 등 프로젝트에 적용할 구체적인 보안 기능을 분리해 설계할 예정이다.