은행을 시작으로 증권사와 카드사 뿐 아니라 저축은행 등 제2금융권까지 해킹 피해가 속출하고 있다. 난공불락으로 여겨졌던 금융사 보안 체계는 외부 공격과 내부 관리 부실 앞에서 허점을 드러냈고 사고를 사전에 탐지하거나 피해를 신속히 차단하는 대응 역량도 도마 위에 올랐다. 뉴스핌은 총 4편의 기획을 통해 업권별 사고 원인과 보안 실태를 규명하고 인공지능(AI) 기반 보안체계 구축과 망분리 규제 개선 및 실질적인 제도 개선 방안 등을 모색한다.

[서울=뉴스핌] 전미옥 기자 = 잇단 금융권 해킹 사고로 제동이 걸린 금융당국의 망분리 규제 완화가 다시 시험대에 올랐다.

인공지능(AI)을 활용한 공격에 대응하려면 금융회사도 외부 AI로 취약점을 점검해야 한다는 목소리가 높아지고 있기 때문이다. 다만 일각에서는 전방위 해킹사고가 확산하고 있는만큼 망분리를 대신할 통제체계의 안전성 입증이 우선돼야 한다는 우려도 나온다.

4일 금융권에 따르면 금융위원회는 지난달 연기한 보안 목적 AI 활용을 위한 2차 망분리 규제 긴급완화 대상 금융회사 선정을 이달 중 재개하는 방안을 검토하고 있다. 보안 역량을 갖춘 금융회사 등을 15개사 이내로 선정해 대체 보안통제 수단을 확인한 뒤 AI 보안 테스트를 진행하는 방식이다. AI를 활용한 사이버 공격에 대한 금융회사의 대응체계 구축을 서두르기 위한 취지다.

다만 금융권에서 추가 해킹 사고가 잇따르면서 구체적인 재개 일정을 확정하는 데 어려움을 겪는 것으로 알려진다. 사고 수습과 보안 취약점 점검이 우선 과제로 떠오르면서 규제 완화 시점을 신중하게 조율하는 분위기다.

◆ AI 보안 위해 완화 추진했지만…해킹에 일단 제동

망분리는 내부 업무망과 외부 인터넷망을 분리해 침입과 정보 유출 위험을 줄이는 보안 방식이다. 국내 금융권에서는 2013년 대규모 전산망 마비 사태를 계기로 도입됐다.

그러나 클라우드 기반 AI와 소프트웨어 활용을 제약한다는 지적이 이어지면서 금융위는 2024년 8월 망분리 개선 로드맵을 발표하고 생성형 AI와 클라우드 활용을 단계적으로 확대하는 방향을 제시했다.

보안성과 효과가 검증된 특례를 정규 제도로 전환하고, 중장기적으로 금융회사의 자율성과 책임을 강화한다는 구상이다. 올해는 보안 목적의 외부 AI 활용을 위한 긴급완화 조치에 나섰지만, 지난달 해킹 사고 여파로 2차 대상 선정이 연기되면서 추진 일정에 제동이 걸렸다.

이찬진 금융감독원장은 지난달 정무위 국정감사에서 당국이 추진 중인 망분리 규제 완화에 관해 "전면적으로 하기는 좀 어려운 상황"이라며 "기본에 일단 충실하면서 AI 보안체계로 단계별로 계속 전환해야 한다"고 말했다.

전문가들 사이에서는 망분리 규제 완화를 서둘러야 한다는 목소리가 나온다. 임종인 고려대 정보보호대학원 명예교수는 "망분리는 일종의 성벽 같은 것인데 성벽이 있다고 안 뚫리는 것은 아니다"라며 "망분리 자체에 의존하는 보안 방식에서 벗어나야 한다"고 강조했다.

실제 금융권 해킹 사고는 망분리 체계를 갖추고도 외부 연계 시스템 등 이른바 '옆문'의 취약점을 통해 발생했다. 망분리만으로는 우회 침입까지 막기 어렵다는 지적이 나오는 배경이다.

망분리 중심 보안체계의 한계와 개선 필요성은 이미 국내외 연구와 지침에서 꾸준히 제기돼온 문제다. 자본시장연구원은 2024년 발간한 '금융회사의 망분리 규제 현황 및 개선방향' 보고서에서 "엄격한 물리적 망분리가 클라우드와 생성형 AI 활용을 제약한다"고 지적한 바 있다. 금융회사가 보안 방식을 선택할 수 있도록 자율성을 넓히되, 사고 발생에 따른 책임과 감독당국의 정기적인 검증을 강화해야 한다는 제언이다.

미국 국립표준기술연구소(NIST) 또한 '제로트러스트 아키텍처' 지침을 통해 "내부망에 있거나 회사 소유 기기라는 이유만으로 사용자와 기기를 신뢰해서는 안 된다"며 망분리 체계의 한계를 명시했다. 원격근무와 클라우드 이용으로 업무 영역이 내부망 밖까지 확대된 만큼, 망의 경계를 지키는 데 그치지 않고 개별 정보와 시스템에 대한 접근을 통제해야 한다는 취지다.

미국과 일본의 경우 별도의 망분리 규제를 두지 않고 금융회사의 위험도에 맞춰 보안조치를 적용한다. 미국 금융감독기관협의회(FFIEC)는 금융회사가 자체 위험평가를 바탕으로 망 분할과 접근통제 등 보안체계를 마련하고, 감독당국이 그 적정성을 점검하는 방식을 취하고 있다. 일본 금융청 역시 회사별 규모와 특성을 고려한 보안대책을 강조한다.

이처럼 해외에서는 위험도에 따라 보안수단을 달리 적용하는 반면, 한국은 일률적인 망분리 규제가 외부 AI 활용을 제약해 보안 역량을 높일 기회까지 늦추고 있다는 지적이다.

임 교수는 "민감한 데이터는 사내용 AI로 처리하되, 그 밖의 영역에서는 외부 AI를 활용해 방어 역량을 높여야 한다"며 "해킹 사고를 이유로 AI 보안 활용까지 늦춰서는 안 된다"고 피력했다.

◆ 재개 관건은 대체 보안…"준비된 회사부터 검증"

반면 망분리가 수행해온 방어 기능을 충분히 대체하지 못한 채 외부 연결을 늘리면 새로운 공격 경로를 열어줄 수 있다는 우려도 적지 않다. 망분리 완화를 추진하되, 보안 역량 맞춰 속도를 조절해야 한다는 지적이다.

황석진 동국대 국제정보보호대학원 교수는 최근 잇단 해킹 사고에 대해 "현행 망분리 체계가 핵심 금융시스템으로의 피해 확산을 줄이는 데 일부 기여한 면이 있다"며 "외부 시스템과의 연결이 늘어나는 만큼 해커의 접근 가능성도 넓어진다"고 말했다.

그러면서 그는 "중요한 것은 망분리를 언제 할 것인가보다 보안 역량이 어느 정도 강화됐느냐"라며 "외부 연계 시스템 점검과 보안패치, 관리자 접근권한 정비가 선행돼야 하고 금융회사의 내부통제 책임은 더욱 강화해야 한다"고 피력했다.

검증된 AI 보안체계를 금융권 전반으로 확산하는 것도 과제다. 대형 금융회사는 자체적으로 방어 역량을 높일 수 있지만, 중소 금융회사는 비용과 인력 부족으로 대응에 어려움을 겪어 회사 간 보안 격차가 커질 수 있기 때문이다.

임 교수는 "국가 차원의 공통 보안체계와 데이터 표준을 마련해 국내 보안업체들의 기술이 상호 연동되도록 지원해야 한다"며 "이를 클라우드 형태로 공급해 중소 금융회사도 감당할 수 있는 비용으로 확산하는 방안이 필요하다"고 피력했다. 그러면서 그는 "예산과 기술 정비뿐 아니라 관련 법을 마련하고 기관 간 협조체계도 갖춰야 한다"고 말했다.

romeok@newspim.com