미국 앤트로픽의 자율형 인공지능(AI) '미토스'처럼 사이버 공격에 악용될 수 있는 고성능 AI가 잇따라 등장하면서, 금융당국이 일정 역량을 갖춘 49개 금융회사에 한해 망분리 규제를 1년간 한시적으로 풀어주기로 했다.
갈수록 정교해지는 AI 기반 공격을 사람 손에만 기대서는 막아내기 어려운 만큼 결국 AI로 대응할 수밖에 없다는 업계와 전문가들의 목소리를 받아들인 것이다.
금융위원회는 지난 22일 권대영 부위원장 주재로 AI·보안 전문가와 은행·증권·카드사 정보보호최고책임자(CISO)들이 참석한 '고성능 AI 관련 금융권 보안위협 대응 간담회'를 열고 이런 내용의 대응 방안을 24일 내놨다.
그동안 국내 금융회사들은 업무용 시스템과 전산실 안의 정보처리시스템을 외부 통신망과 떼어놓도록 한 망분리 규제를 적용받아 왔다. 보안의 기본을 지킨다는 취지였지만, 정작 고성능 AI를 끌어와 취약점을 살피거나 방어망을 세우는 일이 막혀 있다는 지적이 꾸준했다.
해외 주요국과 비교하면 국내 금융권의 보안 규제 방식은 상당히 이례적인 편이다. 자본시장연구원에 따르면 미국과 유럽, 호주의 금융당국은 망분리를 금융전산 보안에 반드시 필요한 요소로 보지 않고, 내부망을 보호하기 위해 선택할 수 있는 여러 수단 가운데 하나로 인식한다.
미국과 유럽의 망분리 규제 역시 한국처럼 법령으로 강제하는 형태가 아니라 가이드라인 형식의 연성 규제 방식을 따르며, 금융회사의 판단과 선택을 기본적으로 존중한다. 재량은 주되 사고가 나면 책임은 무겁게 묻는 구조다. 한국이 물리적 망분리를 일률적으로 강제해 온 것과 결이 다르다. 금융위 자료를 보면 한국은 망분리 도입 이후 금융전산사고가 크게 줄었다는 평가를 받아왔지만, 기업별·업무별 차이를 고려하지 않고 규제가 일률적으로 적용된 탓에 개발 효율이 떨어지고 혁신 기술 활용이 어렵다는 지적도 함께 이어져 왔다.
규제 완화 대상은 총자산 10조원 이상에 상시 종업원이 1천명을 넘고, 전자금융거래법에 따라 전담 CISO를 두도록 한 49개 금융회사다. 신청한 곳은 보안관리 역량과 AI 활용 능력에 대한 전문가 평가를 거친 뒤 금융위 보고와 비조치의견서 발급 절차를 밟아야 망분리 규제를 1년간 면제받을 수 있다.
심사는 세 차례로 나뉜다. 1회차는 테스트 준비 상황과 보안관리 수준을 따져 10개사 이내로 추려 6∼7월 중 마무리하고, 2회차는 10∼20개사 규모로 8∼9월에, 3회차는 4분기에 진행된다. 규제 완화를 적용받은 회사는 고성능 AI로 취약점을 점검하거나 보안 SaaS(서비스형 소프트웨어) 솔루션을 가져다 쓸 수 있게 된다. 다만 망분리를 대신할 별도의 보안 규율을 지켜야 하고, 테스트 과정에서 드러난 AI 보안 위험과 대응 요령은 정부에 보고해야 한다.
정부는 이렇게 모인 자료를 금융권 전반의 보안 가이드라인을 다듬는 데 활용할 예정이다. 신청하지 않은 금융회사에 대해서도 금융보안원이 망분리 완화가 필요 없는 '외부 공격표면 대상' AI 취약점 점검을 7월까지 최대 17곳에 지원한다.
금융위는 보안 역량과 AI 활용 능력이 두루 뛰어난 일부 금융회사에는 기획형 혁신금융서비스 제도를 통해 망분리 규제를 아예 풀어주는 방안도 검토하고 있다. 선별된 회사는 다른 곳보다 한발 앞서 챗봇 상담과 자산관리, 여신심사, 기업금융, 내부통제 같은 영역에서 AI를 폭넓게 써볼 기회를 얻는다. 먼저 성공 사례를 축적한 뒤 이를 금융권 전체로 단계적으로 넓혀갈 방침이다.
정책을 뒷받침할 조직과 기능도 함께 강화된다. AI·보안·정보보호 분야 학계와 업계 인사로 꾸려질 '민간 기술자문단'이 망분리 완화 과정의 정책 자문을 맡고, 지난 4월 구성된 '고성능 AI 보안위협 금융권 상황대응반'은 상시 가동 체제로 전환된다. 금융보안원의 기능도 한층 확충된다. AI 기반 사이버공격의 최신 동향을 빠르게 파악하기 위한 '금융 AI보안연구소'가 신설되고, 자체 힘으로 대응이 버거운 금융회사를 도울 'AI보안 지원센터'도 따로 마련된다.
금융회사들이 따라야 할 행동 요령을 담은 AI 보안 가이드라인은 6월 중 나온다. 보안패치 과정에서 어쩔 수 없이 생긴 가벼운 전산 장애에 대해서는 신속한 복구와 소비자 보호를 전제로 제재를 줄이거나 면제하는 방안이 추진되고, 보안에 투입할 여력이 부족한 중소형 핀테크에는 AI 보안점검 비용과 취약점 점검 도구 등이 지원된다.
권 부위원장은 "고성능 AI 보안위협은 감기 바이러스처럼 완전히 막을 수 있는 대상이 아니라 함께 살아가며 관리해야 할 위협"이라며 "마스크를 쓰듯 AI 방어체계를 갖추는 일상적인 사이버 위생이 금융권에 필요한 보안 습관"이라고 강조했다. 이어 "금융 AX 대전환은 단순한 기술 도입을 넘어 금융서비스의 근본적인 체질 개선을 뜻한다"라며 "정부도 생산적이고 포용적이며 신뢰받는 금융을 위한 AI 활용이 가능하도록 과감한 제도 개선을 이어가겠다"라고 밝혔다.
