핀테크·금융 SaaS 의 ISMS-P 인증 — 전자금융감독규정 동시 대응

요약

• 핀테크·금융 SaaS는 ISMS-P(KISA), 전자금융감독규정(금융감독원), FSI 인증(금융보안원)의 3중 규제를 받으며, 통제 영역의 약 60%가 서로 중복됩니다.
• 핵심 추가 통제는 망분리, 정보처리시스템 분리, 단말 보안, 전자금융 사고 대응입니다.
• FSI 인증을 보유한 KT Cloud와 NCP가 표준 인프라입니다. AWS만 사용하는 핀테크는 별도의 망분리 구조 설계가 필요합니다.
• K-ISMS는 ISMS-P 점검 항목과 전자금융감독규정의 매핑 표를 사전에 정의해두었습니다.

1. 핀테크 SaaS 의 3중 규제

2. 핀테크 특수 통제 12가지

2.1 망분리 (전자금융감독규정 제15조)

• 업무용 망 vs 외부 인터넷 망 물리적 분리
• VLAN 분리만으로는 부족 — 별도 NIC + 별도 스위치
• 관리자 단말의 인터넷 접근 차단
• 외부 시스템 접속 시 별도 게이트웨이 경유

2.2 정보처리시스템 분리 (전자금융감독규정 제11조)

• 운영·개발·테스트 환경 별도 분리
• 운영 환경 접근은 별도 승인 절차
• 변경 시 시한 + 시정 절차

2.3 단말 보안 (전자금융감독규정 제13조)

• 관리자 PC 디스크 암호화
• USB 등 외부 저장 매체 사용 통제
• 화면 캡처·녹화 차단

2.4 전자금융 사고 대응 (전자금융감독규정 제17조)

• 침해사고 발생 시 24시간 이내 금감원 신고 의무
• 고객 통지 + 손해 배상 절차
• 정기적 모의 훈련 (분기별)

3. ISMS-P 와 전자금융감독규정 매핑 (60% 중복)

4. 클라우드 선택 — FSI 인증의 중요성

핀테크는 FSI 인증을 보유한 클라우드 만 사용 권장:

• KT Cloud: FSI 인증 + CSAP+ 안전등급+. 5대 시중 은행 일부 사용 중.
• NCP: FSI 인증 + CSAP 안전등급. 보험사·증권사 사용.
• AWS: FSI 인증 미보유 → 핀테크 인프라로 사용 시 별도 망분리 구조 + 금감원 사전 협의 필요.

5. FSI 인증 (금융보안원)

• 임의 인증이지만 핀테크 시장에서 사실상 표준
• 전자금융감독규정의 일부 통제와 중복 — FSI 인증 보유 시 일부 감독 항목 면제 가능
• 비용: 약 ₩3,000-5,000만 + 컨설팅 ₩2,000-3,000만
• ISMS-P 와 동시 진행 시 컨설팅 통합 가능 (절감 30%)

6. 핀테크 SaaS 의 ISMS-P 12개월 로드맵

• D-12 ~ D-9개월: 망분리 구조 설계 + 클라우드 선정 (FSI 인증 클라우드 우선). 위험관리 매뉴얼 작성.
• D-9 ~ D-6개월: 정보처리시스템 분리 (운영/개발/ 테스트). 단말 보안 정책 시행. K-ISMS Business 활용.
• D-6 ~ D-3개월: 모의 사고 대응 훈련 분기별 진행. 금감원 사전 검토 받기.
• D-3 ~ D-Day: 본 심사 (KISA + 금감원 + FSI 동시 또는 순차).

7. 비용·기간 — 핀테크 SaaS 표준

일반 SaaS 의 1.5-1.7배. 평균 ₩1.5-2억, 12-18개월 기간. ISMS-P + 전자금융감독규정 + FSI 동시 진행 시 단독 비용의 30% 절감.

8. 자주 묻는 질문

Q. 마이데이터 사업자도 ISMS-P 가 필요한가요?

네. 마이데이터 사업자는 신용정보의 이용 및 보호에 관한 법률 + ISMS-P + 전자금융감독규정 + FSI 의 4중 규제. 일반 핀테크보다 더 엄격.

Q. AWS 만 사용 중인 핀테크는 어떻게?

FSI 인증 클라우드로 일부 마이그레이션 권장. 또는 AWS 의 망분리 구조 를 별도 설계 + 금감원 사전 협의. 후자는 시간·비용 부담 큼.

9. 관련 글

• KT Cloud 에서 ISMS-P 인증 — 공공·금융 진입 가이드
• Naver Cloud Platform (NCP) 에서 ISMS-P 인증
• 헬스케어 SaaS 의 ISMS-P 인증 — 의료법·개인의료정보 보호 가이드