[서울=뉴스핌] 김양섭 기자 = 금융위원회가 인공지능(AI)을 활용한 해킹에 대응하기 위해 금융권 망분리 규제 전면해제를 논의할 태스크포스(TF)를 이달 가동한다.

내부망과 외부망을 분리하는 기존 방식을 대체할 'AI 공격은 AI로 방어하는' 새 보안체계 방안을 내년 1분기까지 마련한다는 계획이다.

9월 말 이후 37개사에서 40건의 침해사고가 잇따르자 580여개 금융회사의 외부접점과 내부통제 체계를 연말까지 전수점검하고, 대형 금융회사부터 취약점 분석·평가를 연 2회 이상 받도록 의무화한다.

이억원 금융위원장은 "중대한 관리 부실이나 대응 소홀에 대해서는 최고경영자(CEO)를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 경고했다.

금융위는 5일 금융보안원 여의도 분원에서 이 위원장 주재로 금융감독원·금융보안원, 전 금융권 협회장들과 'AI시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 내용의 '전 금융권 보안체계 혁신방안'을 논의했다. 국무조정실·과학기술정보통신부·행정안전부·개인정보보호위원회·방송미디어통신위원회·경찰청·한국인터넷진흥원(KISA)도 참석했다.

◆ 망분리 해제 절차·대체 보안체계 논의…보안 목적 AI 활용 상시 제도화

TF에는 금융위·과기부·국가정보원·개인정보위 등 정부와 금감원·금보원·금융결제원·한국신용정보원 등 유관기관, 민간 AI·보안·정보보호·법조 전문가, 전 금융권 협회와 주요 금융사 담당임원이 참여한다.

고도의 AI·보안역량을 갖춘 금융사를 선정해 엄격한 대체통제 아래 규제를 해제하는 절차와 평가기준을 비롯해 데이터 중요도에 따른 관리·보호체계, 모든 접근을 지속적으로 확인·검증하는 '제로트러스트' 원칙, CEO·이사회·정보보호최고책임자(CISO)의 역할과 책임, 침해사고 때도 핵심 서비스를 유지하는 업무연속성 확보방안 등을 논의한다.

금융권 망분리 규제는 2024년 9월 AI·서비스형 소프트웨어(SaaS) 활용 예외 허용, 올해 4월 업무용 SaaS 이용 예외 상시화 등으로 완화돼 왔다. 금융위는 지난 6월 보안 목적 AI 활용을 위해 망분리 규제를 긴급 완화하고 전면해제 추진 방침도 밝혔다. 이번 혁신방안에서는 망분리 중심의 현행 보안체계로는 보안 강화에 AI 등 다양한 기술을 활용하기 어렵다고 진단했다.

이 위원장은 "AI 시대의 새로운 공격에 과거의 방식만으로 대응할 수는 없다"며 "획일적인 차단 중심의 보안에서 벗어나 AI를 활용해 위험을 실시간으로 식별하고 대응하는 지능형 보안체계로 전환해야 한다"고 말했다.

보안 목적의 AI 활용은 상시 제도화한다. 6월 긴급완화에 따른 1차 테스트에서 AI로 내부 소스코드를 점검한 결과, 상당수 금융회사에서 접근·인증통제 미흡과 공격코드 주입(인젝션) 등 취약점이 다수 발견됐다. 금융위는 최근 침해사고의 주요 원인인 인증·접근통제 응용프로그램 인터페이스(API) 취약점 해결에 상당히 효과적이었다고 평가했다.

2·3차 긴급완화 조치는 예정대로 진행하고, 이후 수요는 전자금융감독규정을 고쳐 상시 제도화로 해소한다. 현재 비조치의견서 방식으로 진행 중인 완화 조치를 규정에 담는 것이다. 대상은 보안 목적 AI 테스트와 SaaS이며 외부접점 관리, 인증·접근통제, 보안사고·장애대응 등 대체통제를 갖춰야 한다. 개정안은 이달 규정변경을 예고한다. 생성형 AI·블록체인 등은 엄격한 대체통제를 전제로 혁신금융서비스 지정을 통한 망분리 규제 완화를 이어간다.

◆ 9월 말 이후 37개사 40건 침해…정보유출 47만3000건·자금탈취 10억원

금융위에 따르면 금융권 침해사고가 확인된 지난 9월 30일 이후 이달 3일까지 37개사에서 40건의 침해사고가 신고됐다. 전자금융업자가 10개사로 가장 많고 금융투자·저축은행 각 5개사, 은행·온라인투자연계금융업(온투업) 각 4개사, 보험·가상자산 각 3개사, 여신전문금융 2개사, 상호금융 1개사 순이다.

정보유출 규모는 약 47만3000건이다. 주로 임직원 정보와 고객 성명·주민등록번호·계좌번호 등 영업과정에서 수집한 정보이며, 계좌 비밀번호 등 부정결제 우려가 있는 정보의 유출은 아직 확인되지 않았다. 일부 소규모 가상자산거래소·전자금융업자·온투업자에서는 주로 가상자산 핫월렛, 소비성 포인트, 온투업 예치금 등 회사가 고객자금을 통합 관리하는 계정에서 약 10억원 규모의 자금탈취가 신고됐다.

개별 이용자의 자금손실은 아직 현실화되지 않았다는 게 금융위 설명이다. 금융위·금감원·금보원은 지난 2일 디지털자산거래소 공동협의체(DAXA), 주요 가상자산사업자와 긴급점검 회의를 열고 철저한 관리를 주문했다.

금융위가 지난달 4일 불필요한 외부접점을 최소화하고 인증절차 누락·우회 등 취약점을 점검하라고 주문한 뒤에도 사고는 이어졌다. 이 위원장은 "상당수 사고는 여전히 관심이 덜한 주변부 시스템의 '약한 고리'를 파고들었고, 같은 계열그룹 내에서 사고가 발생했음에도 충분한 대비 없이 추가 사고가 발생한 사례도 있었다"고 지적했다.

◆ 580여개사 외부접점 연말까지 전수점검…대형사 취약점 평가 연 2회

전수점검 대상은 은행·보험·증권 등 전통 금융업권과 전자금융업자, 온투업자, 전자금융거래법 적용 대상이 아닌 가상자산사업자까지 580여개사다. 대고객 서비스뿐 아니라 직원관리·내부업무·제휴업무 등 외부에서 접근 가능한 모든 업무영역과 API, 개발·테스트·임시운영 시스템까지 들여다본다. CEO·CISO·최고정보책임자(CIO)의 역할과 책임, IT자산 관리대장 운영 여부 등 내부통제 실태도 점검한다.

중요 취약점이 확인되면 즉시 서비스를 중단해야 하며, 즉시 보완이 어려운 중요 서비스에 한해 CEO 승인 아래 대체통제를 적용해 재개할 수 있다. 관리대장에 등재된 외부접점은 이달 30일까지, 미등재 시스템과 내부통제체계는 12월 31일까지 점검을 마치고, 결과를 바탕으로 내년 1분기 '보안 내부통제 가이드라인'을 마련한다.

금융위는 점검에서 드러난 부실은 즉각 보완을 전제로 유연하게 처리하되, 점검 이후 사고가 나면 점검이 제대로 이뤄졌는지까지 따져 엄정히 책임을 묻기로 했다. 이 위원장은 "점검했다는 사실보다 중요한 것은 실제로 위험을 제거했느냐는 것"이라고 말했다.

취약점 분석·평가 주기는 연 1회에서 2회로 단축한다. 1단계로 총자산 2조원·종업원 300명 이상 대형사에 적용하고 2028년부터 중소형사를 포함한 전 금융권으로 넓힌다. 전자금융거래와 직·간접적으로 관련된 모든 외부접점을 평가 대상에 포함하고, 긴급 시 당국이 수시로 평가를 요구할 수 있는 근거도 마련한다.

이 내용을 담은 전자금융감독규정 개정안은 이달 규정변경을 예고한다. 중요 취약점을 장기간 방치하면 시정명령을 내리고 이행하지 않으면 이행강제금을 지속 부과하는 내용의 전자금융거래법 개정안은 국회 법안소위에 계류 중으로, 금융위는 연내 통과를 추진한다.

대형 금융회사가 탐지한 공격방식·공격자 IP·악용된 취약점·악성코드 정보 등을 금감원 통합관제시스템(FIRST)으로 전 금융권에 공유하는 체계는 12월 시범운영을 거쳐 내년 1분기 전면 운영한다. 가상자산거래소·보험대리점(GA) 등 전자금융거래법이 적용되지 않는 업권은 침해사고 때 KISA뿐 아니라 금감원·금보원에도 즉시 신고하도록 이달 가이드라인을 마련한다. 보안 인력·예산이 부족한 중소형사에는 금보원이 AI 에이전트로 외부접점과 취약요인을 상시 탐색해 주는 '원스톱 AI 방어서비스'를 제공한다.

◆ 보이스피싱 '피싱지수' 이달 시범 도입…가상자산·GA도 전금법 수준 규율 추진

유출정보가 보이스피싱 등 2차 피해로 이어지지 않도록 금보원이 다크웹·텔레그램 등에서 금융권 탈취정보 유통을 상시 감시한다.

보이스피싱 정보공유·분석 AI 플랫폼(ASAP)에는 거래의 보이스피싱 연루 가능성을 0~100점으로 산출하는 '의심거래 판단지수(피싱지수)'를 이달 시범 도입한다. 지난해 10월 출범한 ASAP는 올해 9월까지 정보공유 54만5000건, 지급정지 9045건, 피해예방 752억6000만원의 실적을 냈다. 대포계좌·신종피싱 공동탐지룰 시나리오는 51개에서 66개로 늘려 2금융권까지 공유하고, ASAP 공유정보는 9종 90항목에서 14종 137항목으로 확대한다.

보이스피싱 피해금의 일정 부분을 금융회사가 보상하는 무과실책임 법제화도 추진한다. 금융위는 지난 3월부터 국회 정무위원회에 계류 중인 통신사기피해환급법 개정안(강준현·조인철 의원안)의 연내 통과를 지원할 계획이다.

금융위에 따르면 개정안은 송금·수취계좌 금융회사가 보상금을 1대 1로 분담하고 보상한도를 1000만~5000만원 범위에서 대통령령으로 정하며, 피해자에게 범죄 위험을 충분히 알린 경우 등에는 금융회사를 면책하는 내용 등을 담고 있다. 통신사 책임 강화 방안도 정부 내에서 공론화한다.

가상자산사업자, GA, 대부업 등 고객정보를 대량 보유하거나 침해사고 시 고객의 직접적 자산손실 우려가 큰 업종에는 전자금융거래법에 준하는 보안규율을 적용하는 '디지털금융 안전법'도 추진한다. 클라우드 사업자·플랫폼 등 다수 금융회사와 연계된 제3자에 대한 규율체계도 검토한다. 연내 방안을 마련해 내년 1분기 법안 발의를 추진한다.

이 위원장은 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라며 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라고 말했다. 그러면서 전 금융권 CEO에게 전사적인 비상대응반을 즉시 구성하고, 협회장들에게는 이와 소통할 상황관리반을 별도로 꾸려 달라고 요청했다. 그는 "이제는 말이 아니라 행동으로 보여줘야 한다"고 강조했다.

ssup825@newspim.com