금융분야 오픈소스 관리 실무 가이드

금융권이 놓인 규제 환경

금융권 오픈소스 관리는 일반 기업과 다른 규제 환경 위에서 이뤄진다.

오픈소스 관리의 준거는 FSEC 안내서다. 금융감독원과 금융보안원이 2022년에 공동 발간했고(2023년 2월 개정본 존재), 식별, 이슈 파악 및 해결, 사용 승인, 관리의 네 단계로 최소한의 보안관리 절차를 제시한다. 비규제 자율 안내이며, 자가점검 체크리스트(식별, 이슈 파악 및 해결, 승인, 관리, 기타의 5개 분류)와 주요 관리도구, 운영 사례를 부속 자료로 담았다.

규제 환경은 전환 중이다. 금융위원회의 금융분야 망분리 개선 로드맵(2024-08-13)에 이어 전자금융감독규정과 시행세칙 개정이 2025-02-05에 시행되면서, 물리적 망분리 중심 규제가 자율보안과 위험기반 접근으로 바뀌기 시작했고 연구·개발 목적 업무의 망분리 예외가 열렸다. 예외 적용 요건과 후속 완화, 대응 방법은 폐쇄망 운영과 망분리 전환에서 다룬다.

공급망 보안의 비중이 커지고 있다. 금융보안원은 금융권 소프트웨어 공급망 보안 플랫폼을 구축해 2025년 말 시범 운영을 거쳐 2026년부터 본격 운영한다. 금융권 취약점 통합관리, SBOM(Software Bill of Materials) 관리체계, 버그바운티 운영 효율화를 제공한다. 정부도 SW 공급망 보안 가이드라인 1.0(과학기술정보통신부· 국가정보원·디지털플랫폼정부위원회, 2024-05-13)을 발표하고, 2027년 공공부문 SBOM 제출 의무화를 목표로 단계적 제도화를 추진하고 있다. 해외에서는 미국과 유럽이 SBOM 제출 의무화를 진행 중이며, 유럽연합의 디지털 운영 복원력법(DORA, Digital Operational Resilience Act)은 2023년 발효돼 2025-01-17부터 적용되며 ICT 제3자 위험관리와 오픈소스 취약점·패치 관리를 요구한다. 유럽에서 영업하거나 진출하는 금융사에 직접 영향을 준다.

이 가이드를 읽는 방법

오픈소스 관리 체계의 성숙도에 따라 읽는 방식이 다르다. 각 섹션은 신설 조직이 먼저 할 일과 운영 조직의 고도화를 구분해 서술하므로, 자사 위치를 가늠한 뒤 해당 부분을 골라 읽으면 된다.

처음 체계를 세우는 조직은 폐쇄망 운영으로 환경을 정리한 뒤, 거버넌스에서 관리까지 순서대로 따라가며 각 단계가 안내하는 문서와 절차를 하나씩 만든다.

이미 운영 중인 조직은 자가점검으로 현재 상태를 평가하고, 부족한 단계로 돌아가 고도화한다.

성숙도 사다리

FINOS(Fintech Open Source Foundation, 핀테크 오픈소스 재단)의 오픈소스 성숙도 모델(Open Source Readiness)은 조직의 단계를 Usage, Compliance, Contribution, Hosting, Strategic Leverage로 구분한다. 이 가이드는 활용·관리 범위에 집중하므로 앞의 두 단계, 곧 오픈소스를 쓰는 Usage와 컴플라이언스를 갖춘 Compliance에 대응한다. 기여 이상 단계는 다루지 않는다.

FSEC 안내서, ISO 표준, KWG 가이드 대조표

FSEC 안내서의 절차가 ISO/IEC 5230·18974의 어떤 입증자료에 대응하고, 기존 KWG 가이드의 어느 페이지에서 구체적 방법을 찾을 수 있으며, 이 가이드의 어느 섹션이 다루는지를 한 표로 잇는다. 자가 인증 준비의 출발 자료다.

ISO/IEC 5230은 13개 조항 25개 입증자료로, ISO/IEC 18974는 보안 보증 관점의 25개 입증자료(이 중 18974 전용 9개)로 구성된다. 입증자료의 조항별 상세는 ISO/IEC 5230 준수 가이드와 ISO/IEC 18974 준수 가이드에서 확인한다.

가이드 구성

섹션 2~5가 FSEC 안내서의 네 단계(식별, 이슈 파악 및 해결, 사용 승인, 관리)에 대응하고, 그 앞뒤에 금융권 공통 전제인 폐쇄망 운영(0)과 거버넌스(1), 전 단계를 점검하는 자가점검(6)을 두었다.

flowchart LR
    P0["0. 폐쇄망 운영<br>(공통 전제)"] --> P1["1. 거버넌스<br>(관리 조직)"]
    P1 --> P2["2. 식별"]
    P2 --> P3["3. 이슈<br>파악·해결"]
    P3 --> P4["4. 사용 승인"]
    P4 --> P5["5. 관리<br>(지속 모니터링)"]
    P5 --> P6["6. 자가점검"]
    P6 -. "부족한 단계로 돌아가 보완" .-> P2

    style P0 fill:#2d3748,color:#fff
    style P1 fill:#2d3748,color:#fff
    style P2 fill:#2b6cb0,color:#fff
    style P3 fill:#2b6cb0,color:#fff
    style P4 fill:#2b6cb0,color:#fff
    style P5 fill:#2b6cb0,color:#fff
    style P6 fill:#276749,color:#fff

자가점검으로 시작하기

자사가 어느 단계에 있는지 모르겠다면 자가점검부터 본다. FSEC 안내서 다섯 분류의 취지를 참고해 이 가이드의 표현으로 새로 쓴 점검 항목을 ISO 입증자료, 권장 도구와 연결해, 빠진 부분을 찾고 그 부분을 다루는 섹션으로 이동할 수 있다.

출처

• 금융분야 오픈소스 소프트웨어 활용·관리 안내서(금융감독원·금융보안원, 2022). 금융보안원 게시
• 금융분야 망분리 개선 로드맵(금융위원회, 2024-08-13). 금융위원회 보도자료
• 전자금융감독규정·시행세칙 개정(금융위원회, 2025-02-05 시행).
• 금융권 소프트웨어 공급망 보안 플랫폼(금융보안원, 2026 본격 운영). 데일리시큐 보도
• SW 공급망 보안 가이드라인 1.0(과학기술정보통신부·국가정보원·디지털플랫폼정부위원회, 2024-05-13). 정책브리핑
• 공공부문 SBOM 제출 의무화 추진(2027 목표·계획). 데이터넷 보도
• EU DORA(디지털 운영 복원력법, 2025-01-17 적용). EIOPA 안내
• FINOS Open Source Readiness
• ISO/IEC 5230, ISO/IEC 18974

최종 검토일: 2026-06-10. 이 가이드는 규제 변화 시, 그리고 연 1회 정기적으로 재검토한다.