금융권 보안 점검, 핀테크의 11·12월 대응과 무료 진단 조건

금융권 보안 점검은 2026년 11월 8일 기준으로 전자금융업자·온라인투자연계금융업자·가상자산사업자도 포함하며, 관리대장에 등록된 시스템의 외부접점은 11월 30일, 미등재 시스템과 내부통제는 12월 31일까지 점검할 계획입니다. 해당 업권의 대표는 지금 자산 목록과 점검·조치 근거를 모으고, 금융사에 API·소프트웨어를 공급하는 기업은 거래처가 요구하는 점검 범위와 제출 일정을 받아 자기 서비스에 맞춥니다. 비용·인력이 부족한 기업은 아래의 무료 외부자산 진단과 경남 보안서비스 도입 지원을 조건에 맞게 활용하되, 진단 신청과 금융권 점검 완료를 각각 진행합니다.

금융업 등록 여부가 직접 점검 대상을 가르고, 소재지·중소기업 자격·업종 제한은 지원사업 이용 여부를 가릅니다. 출발 자료는 금융위원회의 전 금융권 보안 전수점검 발표를 전한 정책브리핑입니다. 출처: 정책브리핑(www.korea.kr).

결제·송금·투자 서비스를 운영한다면 회사가 등록·신고한 업권과 이번 감독 안내의 수신 여부부터 대조합니다. ‘핀테크’라는 사업 소개만으로 판단하지 않습니다. 발표는 은행·증권·보험과 함께 전자금융·온투·가상자산업권을 점검 범위에 넣었고, 홈페이지 외에 직원관리·내부업무·제휴업무와 개발·테스트 시스템도 포함합니다.

금융사에 소프트웨어를 납품하는 회사는 담당 금융사가 점검하는 제휴 접점에 어떤 시스템이 연결되는지를 먼저 특정합니다. 예를 들어 우리 서버의 API가 고객정보를 조회한다면, 제공한 API 목록·인증 방식·접근권한·운영 담당자·보완 결과를 거래처가 요청한 형식으로 전달합니다. 이는 공개된 점검 범위를 제휴기업 업무에 적용한 실무 제안입니다. 거래처별 제출처와 서식은 해당 금융사의 안내를 따릅니다.

클라우드·플랫폼 등 제3자에 대한 별도 보안규율은 ‘디지털금융 안전법’ 검토 과제로 발표됐습니다. 현재 직접 점검 대상인지와 앞으로 법안이 어떤 의무를 부과할지는 나눠 판단합니다. 대상·제휴업무 범위와 제3자 규율 검토의 근거는 금융위원회 11월 5일 보도자료입니다.

11월 30일은 등록된 외부접점, 12월 31일은 미등재 시스템과 내부통제까지 포함한 조사 일정입니다. 10월에 체크리스트를 회신한 회사도 이번 범위에 맞춰 다시 점검합니다. 10월 14일 발표는 당시 긴급 점검에서 보안패치 미적용, 기술지원 종료 시스템, 실시간 관제와 인증·접근통제 미흡 등이 확인됐다고 설명했습니다.

다음은 공식 별첨 ‘전 금융권 보안체계 혁신방안’ 4~5쪽을 바탕으로 만든 준비 예시입니다. 금감원의 제출 서식은 업권별로 받은 별도 안내를 사용합니다.

작은 SW기업은 클라우드 사용·청구 목록, 도메인 관리 목록, 배포한 서비스 목록을 자산대장과 맞대는 것부터 시작할 수 있습니다. 이는 미등재 자산을 찾기 위한 비즈스냅의 제안입니다. 자산별로 ‘누가 사용하는가, 어떤 정보에 닿는가, 지금도 외부에 열려 있어야 하는가’를 기록하면 폐기 여부와 점검 우선순위가 구체적입니다.

공식 별첨 5쪽은 고객·금융회사의 금전피해나 개인정보 유출과 직결되는 취약점에 대해 보완 전 서비스 중단을 제시합니다. 즉시 보완이 어려운 중요 서비스는 대체통제를 적용하고 CEO 승인·책임 아래 재개하며, CISO의 이사회 보고·승인을 병행하는 조건입니다. 해당 조치 원문에 맞춰 차단·재개 시점과 승인 내용을 남깁니다.

대표가 받을 보고에는 취약점 이름에 더해 영향받는 서비스, 차단한 접점, 고객정보·자금에 대한 영향, 재개 조건을 함께 적습니다. 외주 유지보수팀이 기술 조치를 맡더라도 서비스 중단과 재개의 의사결정 담당자는 회사 안에 둡니다. ‘진단을 신청했다’는 기록에서 멈추지 않고 보완 이후 재점검 결과까지 같은 자산 항목에 붙이는 방식입니다.

연 2회 평가 확대는 대형 금융회사부터 단계적으로 적용하는 제도개선 계획입니다. 공식 별첨 7쪽의 1단계 기준은 총자산 2조원 이상이면서 종업원 300명 이상이며, 중소형사까지 확대하는 2단계는 2028년부터로 제시됐습니다. 점검주기·외부접점 범위·수시점검 근거는 11월 규정변경예고 계획이므로, 최종 개정 내용과 시행일을 회사의 기존 평가 일정에 반영합니다.

기존 제도에도 외부 홈페이지의 연 2회 평가 기준이 있다는 점은 10월 공식 발표에 나옵니다. ‘모든 시스템은 지금까지 연 1회, 이제 모든 핀테크가 즉시 연 2회’로 단순화하면 대상과 시점이 뒤섞입니다.

망분리 전면해제는 11월 TF 발족과 2027년 1분기 방안 마련, 보안목적 AI 활용 상시화는 감독규정 개정 추진 과제입니다. 디지털금융 안전법도 2027년 1분기 법안 마련·발의 계획입니다. 각 추진 단계는 별첨 13~15쪽에 제시돼 있습니다. AI·SaaS를 도입하는 기업은 지금 적용되는 예외·심사 경로와 거래처의 승인 조건을 기준으로 계약·연결 일정을 잡습니다.

2026년 11월 8일 KST 비즈스냅 DB와 기관 원문을 대조했습니다. 아래 두 공고는 공개 중이며 공고상 접수기간이 남아 있습니다. 금융권 전수점검 대상이라는 사실과 각 지원사업 선정 자격은 별개입니다.

무료 점검의 업종 제한·소요기간은 KISA 보호나라 원문, 경남의 자격·자부담·제외 조건은 경남테크노파크 모집 원문을 기준으로 적용합니다. 금융업 등록기업은 무료 진단 수행창구에 업종을 먼저 알려 이용 가능 여부를 확인한 뒤 신청합니다.

지역별 보안제품 도입·인증 경로가 더 필요하면 중소기업 정보보호 지원사업의 지역·목적별 비교로 이어집니다. 그 글은 11월 6일 기준이며 전북 3차 인증 공고 등은 마감됐으므로, 현재 접수 선택은 위 표와 각 기관의 오늘 안내를 기준으로 합니다.

외부자산을 찾으려는 기업: 업종 확인 후 바로 접수

KISA 무료 진단은 인터넷에 드러난 자산과 취약 지점, 회사 이메일·계정 유출 여부를 점검해 담당자 이메일로 리포트를 보내는 사업입니다. 공식 안내상 접수부터 리포트 생성까지 약 2주가 걸립니다. 11월 8일에 접수해 14일 뒤 받는다고 가정하면 11월 22일이며, 11월 30일까지 남는 기간은 8일입니다. 이 계산은 일정 예시이고 발송 확약일은 아닙니다. 지원 가능 여부와 예상 발송일을 접수 전에 문의해 보완·재점검 시간을 함께 확보합니다.

공고의 온라인 신청 연결에서 진행합니다. 신청·지원 문의는 02-6419-1091, [email protected]입니다. 한국정보보호산업협회 안내에서도 같은 신청창구를 확인할 수 있습니다. 대표 도메인·IP의 회사 소유 관계와 결과를 받을 담당자 이메일을 준비합니다.

이 사업은 무상 1회이며 점검 후 상시 모니터링·유지보수를 제공하지 않습니다. 외부자산 진단을 이용하더라도 내부 권한·자금 흐름·운영통제의 전체 평가 범위는 회사가 따로 정합니다. 금융보안원도 취약점 분석·평가, 침투테스트, 제3자 리스크 평가를 구분해 안내합니다. 금융권 제출 평가와 연결할 때는 받은 리포트의 범위와 미점검 영역을 평가 담당기관에 전달합니다.

경남에서 보안서비스를 도입하려는 중소기업: 실제 납부액 135만원 예시

경남 사업은 보안서비스 구매·이용을 지원합니다. 공고의 최대 지원 예시는 공급가액 450만원에 정부 360만원, 기업 90만원이며 부가세 45만원은 기업 부담입니다. 따라서 기업이 준비할 현금은 90만원+45만원=135만원입니다. 지원한도 초과액과 추가 이용비는 별도이며, 구매한 서비스가 금융권 점검에서 요구한 모든 통제를 충족하는지는 견적 범위로 판단합니다.

신청은 KISA 지역정보보호지원센터의 SECaaS 패키지 지원신청으로 진행합니다. 사업자등록증·중소기업확인서·국세 납입자료 등 원문이 정한 서류를 준비하며, 지역 전략산업 밖의 SW기업은 ‘기타’ 경로로 신청 자격을 검토받습니다. 2024~2025년 동일 사업 수혜기업은 재신청 제한이 있고 침해사고 피해기업에는 예외가 있습니다. 당해연도 유사 정보보호 제품 지원과의 중복 제한도 적용합니다.

대상 확정 후에는 공고가 정한 5일 이내 서비스 선택 일정에 맞춰, 보호할 사용자 수·PC·이메일·문서 범위를 견적에 적습니다. 접수·잔여 예산 문의는 경남정보보호지원센터 055-294-2411·2414입니다. 먼저 지원 대상 확정을 받고 공고의 구매·정산 절차에 따라 도입합니다.

직접 점검 대상 기업은 IT 담당자에게 등록 자산과 외부노출 목록 대조를, 보안 책임자에게 취약점별 조치·재점검 일정을, 경영지원 담당자에게 보고·승인 기록 정리를 배정합니다. 제휴 SW기업은 거래처가 점검할 우리 접점과 회신 기한을 받아 같은 자료를 준비합니다. 지원사업을 이용할 기업은 자격과 결과 도착일을 먼저 맞추고, 남는 시간에 보완을 끝내는 일정으로 움직입니다.

금융보안원의 중소형 금융사 원스톱 AI 방어서비스는 12월부터 순차적으로 추진한다는 발표 계획입니다. 해당 업권 협회와 금융보안원의 후속 안내를 확인하되, 11월 외부접점 점검은 현재 인력·외부 평가기관·이용 가능한 진단으로 진행합니다.