"AI 공격은 AI로 방어"…금융권 망분리 규제 예외 적용

보안 목적 외부 AI 활용에 망분리 예외 허용

1차 10개사 이내 선정해 6~7월 취약점 테스트

금융보안원에 AI 연구소·지원센터 신설 추진

앤트로픽./사진=로이터 연합뉴스

금융당국이 고성능 인공지능(AI) 기반 사이버 공격에 대응하기 위해 ‘AI 공격은 AI로 방어한다’는 원칙 아래 금융회사 망분리 규제 예외 적용 절차에 들어갔다.

보안 목적에 한해 외부 AI와 보안 SaaS 활용을 허용하고, 일부 금융회사에 대해서는 망분리 규제 전면 해제도 검토한다.

금융위원회는 22일 서울 금융보안원에서 권대영 금융위원회 부위원장 주재로 ‘고성능 AI 관련 금융권 보안위협 대응 간담회’를 열고 이 같은 방안을 논의했다고 26일 밝혔다.

회의에는 AI·보안 전문가, 금융감독원, 금융보안원, 은행·증권·카드업권 주요 금융회사 정보보호최고책임자(CISO) 등이 참석했다.

이번 논의는 미국 앤트로픽의 고성능 AI ‘미토스’가 사이버보안 분야에서 높은 성능을 보였다는 평가가 나오면서 마련됐다.

금융위는 미토스 이슈가 제기된 4월 중순부터 업계·전문가 회의와 ‘고성능 AI 보안위협 금융권 상황대응반’ 회의를 열어 대응 방안을 논의해왔다.

금융당국 안건에는 미토스 선공개 버전이 OpenBSD 운영체제에서 27년간 발견되지 않은 취약점과 자동화 도구가 16년간 500만회 검사하고도 찾지 못한 취약점을 탐지한 사례가 담겼다.

금융당국은 고성능 AI가 공격자에게 활용될 경우 기존 보안체계의 대응 속도와 범위를 넘어설 수 있다고 보고 있다.

특히 스스로 탐색·판단·실행하는 에이전트형 AI가 보안 취약점 탐지와 공격 실행을 자동화할 수 있다는 점을 주요 위험 요인으로 봤다.

금융권 망분리 규제도 쟁점이 됐다.

현재 금융회사는 업무용 시스템과 정보처리시스템을 외부 통신망과 분리해야 한다.

외부 접점을 줄이는 효과는 있지만, AI 기반 취약점 탐지나 외부 보안 SaaS 활용에는 제약이 있다.

금융위는 이를 망분리 규제의 “양날의 검”으로 설명했다.

금융위는 우선 보안 목적 AI 활용에 한해 망분리 규제를 한시적으로 완화한다.

대상은 총자산 10조원 이상, 상시 종업원 1000명 이상 등 전담 CISO를 둬야 하는 49개 금융회사 가운데 신청 회사다.

다만 신청 회사 중에서도 보안 역량이나 AI 활용 준비가 부족하다고 판단되면 선정 대상에서 제외될 수 있다.

절차는 금융회사 신청, 민간 전문가 심사·선정, 금융위 보고, 비조치의견서 발급 순으로 진행된다.

1차 신청 접수는 5월 22일부터 29일까지 진행된다.

금융위는 6월 초 민간전문가 심사·선정을 거쳐 6월 17일 금융위 보고 후 6월 중 비조치의견서를 발부할 계획이다.

1차 대상은 10개 이내 회사로 제한된다.

선정 회사는 6~7월 고성능 AI 기반 취약점 테스트를 실시한다.

2차는 8~9월 10~20개사를 대상으로 진행하고, 3차는 4분기 이후 추진한다.

규제 예외 기간은 테스트 소요 시간과 보완조치 등을 고려해 1년으로 정했다.

규제 예외를 받은 금융회사는 고성능 AI를 활용한 내부 취약점 확인, 보안 SaaS 솔루션을 통한 방어체계 구축 등을 할 수 있다.

다만 보안성이 검증된 AI를 사용해야 하며, 추가 보안조치를 준수해야 한다.

테스트 결과 확인된 AI 보안 위험 특성, 공격 악용 가능성, 대응 요령 등은 당국에 보고해야 한다.

당국은 보고 내용을 토대로 확인된 위험 유형과 대응 요령을 전 금융권 가이드라인에 반영할 계획이다.

권 부위원장은 “이번 규제 완화는 보안을 낮추는 것이 아니라 AI로 AI 위협에 맞서는 더 강한 보안체계로의 전환”이라고 말했다.

그러면서 “망분리 완화 적용 금융회사를 엄격히 선별하고, 이상 발생 시 원상복구와 소비자 보호조치를 취하도록 하겠다”고 덧붙였다.

금융위는 고도의 보안 역량과 AI 활용 능력을 갖춘 금융회사에 대해서는 망분리 규제를 전면 해제하는 방안도 검토한다.

대상 회사는 민간 기술자문단 등을 통해 보안 역량, AI 활용 능력, 망분리 대체 보안조치 등을 심사해 선별한다.

전면 해제가 이뤄질 경우 해당 금융회사는 AI 기반 보안체계 구축뿐 아니라 챗봇 상담, 자산관리, 여신심사, 기업금융, 내부통제 등 업무 전반에 AI를 활용할 수 있다.

금융위는 이를 기획형 혁신금융서비스 방식으로 추진하는 방안을 검토하고 있다.

금융보안원의 조직 기능도 확대된다.

금융위는 금융보안원 내 ‘금융AI보안연구소’와 ‘AI지원센터’를 신설할 계획이다.

기존 AI 혁신부 중심의 조직을 AI 보안 기술개발, 관제, 침해대응, 인력양성 등을 포괄하는 체계로 개편하는 방안이다.

개편 방안에는 기존 1개 부서 체계를 1연구소 3부 1실 체계로 확대하는 조직 개편안이 포함됐다.

AI지원센터는 중소 금융회사 등을 대상으로 고성능 AI 보안위협 대응요령 안내, AI 취약점 점검, 공격 탐지룰 개발·제공 등을 맡는다.

망분리 규제 완화 프로그램에 참여하지 않는 금융회사에는 금융보안원이 외부 공격 표면을 대상으로 한 AI 취약점 점검을 7월까지 최대 17개사에 지원한다.

보안패치 관련 제재 부담도 일부 완화된다.

금융위와 금감원은 보안패치 과정에서 경미한 전산시스템 장애가 발생한 경우 신속한 복구와 소비자 보호조치를 전제로 제재 감경·면책을 검토한다.

AI 보안 가이드라인에는 전산자원 현황 점검, 패치 우선순위, 불필요한 외부 접점 폐기, 계정·접근권한 업데이트, 공급망 관리 강화 등이 담길 예정이다.

금감원은 금융회사에 정보보안 체크리스트를 배포해 대비태세도 점검한다.

점검 분야는 IT위험 관리체계, IT자산 식별·관리, 보안취약점 관리, 사이버 위협 대응, 사고 대응 등 5개 분야다.

미흡한 금융회사에는 개선과 보완을 지도하고, 일부 회사에 대해서는 현장점검도 실시한다.

중소형 핀테크 기업에 대한 지원도 추진된다.

금융당국은 핀테크 기업의 보안점검 비용 부담을 지원하고, 금융보안원을 통해 AI 위험관리체계 수립과 취약점 점검도구 제공 등을 지원할 계획이다.

권 부위원장은 금융회사에도 보안 투자와 인력양성을 요구했다.

그는 “CEO부터 일반 직원까지 AI 이해도와 보안 준수 의지를 갖춰야 새로운 시대의 금융 안전 경쟁력 강화가 가능하다”고 말했다.

또 “손을 씻듯 보안 패치를 적용하고, 마스크를 쓰듯 AI 방어체계를 갖추는 일상적인 사이버 위생이 AX 시대 금융권이 갖춰야 할 새로운 보안 습관”이라고 했다.