지방은행·핀테크도 AI 보안 도입···망분리 규제 긴급완화 확대

자산 기준 '10조→2조원' 완화···전자금융업자 별도 요건 신설

(사진=금융위)

금융당국이 금융권의 AI 보안 대응 능력을 키우기 위해 망분리 규제 긴급 완화 조치를 대폭 확대한다. 참여 대상을 중소형 금융회사와 전자금융업자까지 넓혀 금융권 전반의 사이버 방어력을 끌어올리겠다는 구상이다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 함께 '프런티어 AI 상황대응반' 5차 회의를 열고 '제2차 망분리 규제 긴급완화 조치' 세부방안을 확정했다. 이번 조치는 민간 전문가로 구성된 적극행정위원회와 기술자문단의 자문을 거쳐 마련됐다.

이번 2차 망분리 규제 긴급완화 조치는 대형사 위주였던 1차 때와 달리 중소형 금융사와 전자금융자까지 참여 문턱을 크게 낮춘 것이 핵심이다.

지난 6월 진행된 1차 테스트에서는 자산 10조원, 상시 종업원 1000명 이상이라는 엄격한 요건 탓에 시중은행 등 일부 대형 금융회사만 참여가 가능했다. 그러나 이번 2차 테스트부터는 금융회사의 경우 자산 기준을 2조원 이상, 종업원 수 기준을 300명 이상으로 대폭 완화했다.

이에 따라 신청 요건을 충족하는 금융회사는 기존 대형사 위주에서 지방은행, 중소형 증권·보험사 등을 포함한 59개사로 크게 늘었다.

그동안 높은 자율 규제 벽에 막혀 참여가 어려웠던 전자금융업자에 대한 전용 기준도 새롭게 마련됐다. 금융당국은 금융회사와 동일한 자산·인력 기준을 적용하기 어려운 업계 특성을 반영해 '연간 전자금융거래액 2조원 이상' 및 '전자금융 매출 비중 10% 초과'라는 별도 요건을 제시했다. 이를 통해 간편결제·송금 등을 제공하는 주요 전자금융업자 16개사도 새롭게 신청 자격을 얻게 됐다.

이번 조치로 전체 신청 대상은 기존 49개사에서 75개사로 확대됐다. 최종 선정 규모도 10개사에서 15개사 이내로 늘어난다. 선정된 회사는 망분리 대체 통제수단을 갖춘 뒤, 프런티어 AI와 보안 SaaS 등을 활용해 보안 취약점을 탐지·개선할 수 있다.

다만 보안 사고 발생 시의 책임성을 높이기 위해, 정보보호최고책임자(CISO)가 정보기술(IT) 부문의 다른 업무를 겸직하지 않아야 한다는 공통 요건은 엄격하게 유지된다.

금융당국이 규제 완화 범위를 넓힌 데에는 지난 1차 테스트를 통해 확인된 AI의 뛰어난 보안 점검 성능이 바탕이 됐다.

중간 점검 결과, 프런티어 AI는 수백만에서 수천만 라인에 달하는 방대한 소스코드를 불과 수 시간 만에 분석해 내는 우수한 능력을 보였다. 특히 점검자의 숙련도에 따른 편차 없이 시스템 허점을 놓침 없이 일관되게 탐색해내는 강점이 확인됐다.

금융권에서는 현재 다중 방어 체계 특성상 발견된 취약점이 즉시 해킹 사고로 이어질 가능성은 낮다고 평가하면서도, 향후 공격자들이 AI를 활용해 침투를 시도할 경우에 대비해 'AI에는 AI로 맞서는' 신속 대응 체계 구축이 필수적이라고 보고 있다.

정부는 제1차 테스트가 종료되면 ▲발견된 취약점 유형, ▲AI 점검의 특징과 활용 노하우, ▲보안 대응요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 조치 등을 신속히 추진할 계획이다.

유영준 금융위 디지털금융정책관은 "AI를 활용한 보안 위협이 현실화되는 상황에서 중소형사와 핀테크 기업까지 대비 태세를 갖추도록 돕는 것이 중요하다"며 "테스트를 통해 축적된 AI 보안 위협 특성과 대응 노하우는 참여하지 않은 기업들에게도 즉시 공유할 것"이라고 말했다.

이어 "보안 목적 외에도 금융권이 AI 기술을 상시적·다각적으로 활용할 수 있도록, 고도의 보안 역량을 검증받은 기업부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의 중"이라고 덧붙였다.