석 달 전 “취약점 발견 급증할 것”…AI 해킹 대비 가이드라인 배포
“미국선 운영리스크 간주” 강조…취약점 뚫린 금융사들 ‘만시지탄’
금감원, 해킹 방지 등 금융사 이행 의무사항 준수 여부 들여다볼 듯
금융보안원이 지난 7월 최고성능 AI 해킹 공격에 대비한 모의 훈련을 정기적으로 시행해야 한다는 가이드라인을 마련해 전 금융권에 배포한 것으로 파악됐다. 금보원은 특히 각 금융사의 ‘취약점’ 대응을 강조하기도 했다. 이번에 해킹 세력에 취약점이 뚫려 고객정보를 지키지 못한 금융사들이 가이드라인을 제대로 지켰는지 규명이 필요할 것으로 보인다.
6일 금융당국에 따르면 금보원은 지난 7월1일 ‘프런티어 AI 보안 위협 금융분야 대응 요령’ 가이드라인을 전 금융권에 배포했다. 지난 4월 기존의 보안 시스템을 순식간에 무력화하는 공격 능력을 선보인 미국 앤트로픽의 인공지능(AI) ‘미토스’가 나온 후 금융당국 차원에서 고성능 AI의 보안 위협에 대응하기 위해 만든 가이드라인이다.
가이드라인은 금융 보안 위협을 이사회와 최고경영자(CEO) 중심으로 전사적으로 대응해야 한다고 규정하고 있다. 금보원은 미국과 영국 등 주요국들도 경영 최고위층이 AI 보안 위협에 대응하고 있다는 점을 사례로 들었다. 그러면서 다수의 심각한 보안 사고가 동시에 발생하는 상황을 가정해 정기적으로 모의훈련을 시행할 것을 주문했다. 특히 정기적 훈련을 ‘매주 또는 매월’로 정의하며 “‘취약점 대응’이 안정화될 때까지 진행”하라고 강조했다. 또 모의훈련 결과는 ‘취약점 관리’에 반영하라고 적시했다.
금보원은 가이드라인에서 앞으로 “취약점 발견이 급증할 것”이라며 취약점 관리를 위해 외부 시스템을 ‘패치’(일종의 차단)하고, 발견되는 취약점은 하루 단위로 관리하는 미국의 사례를 소개했다. 미국은 취약점 ‘백로그’(미조치 취약점)를 단순 IT 업무가 아닌, 금융사 ‘운영 리스크’로 규정한다고도 했다. 회사 운명을 좌우할 위험 요인으로 간주하고 CEO부터 전사적으로 대응한다는 의미다.
이를 두고 국내 금융사들이 가이드라인을 제대로 지켰다면 이번 금융권 해킹 사고를 예상할 수 있었을 것이란 지적이 나온다. 이번 사고 역시 각 금융사의 취약점에서 발생했기 때문이다.
금융감독원 관계자는 “당국은 이 가이드라인 전에도 지난 2월부터 AI 해킹 공격에 대응하기 위한 가이드라인을 수차례 전파했다”고 말했다. 또 다른 관계자는 “이번 해킹 공격이 ‘정문’이 아닌 ‘뒷문’에서 발생한 점에 비춰 보면, 금융사들이 취약점엔 신경을 덜 쓴 것 아닌가 싶다”고 했다. 다만 가이드라인은 법적 규제가 아닌 만큼 이를 준수하지 않아도 책임을 물을 방법은 없다.
금감원은 고객정보를 지키지 못한 금융사들이 전자금융감독규정 8~36조를 준수했는지 여부를 전방위적으로 들여다볼 것으로 전망된다. 이 규정은 인력·조직·예산 기준은 물론 전산실 등 시설 부문, 잔산자료 보호대책 등 정보기술 부문, 해킹 방지대책 등 정보보호 부문 등에 대한 금융사 이행 의무사항을 규정하고 있다. 이행 수준에 따라 금융당국은 금융사에 경영개선명령을 내리는 동시에 최고 6개월까지 영업정지(전자금융 부문)를 조치할 수 있다.
댓글
0