망분리 완화 금융사 15곳 선정한다…10월부터 1년간 적용

[헤럴드경제=박혜림 기자] 금융당국이 보안 목적의 인공지능(AI) 활용을 위한 2차 망분리 규제 완화 신청을 받는다. 신청 대상은 1차 49곳에서 75곳으로 확대되며 중소 금융회사와 전자금융업자까지 참여 문호가 넓어진다. 금융위는 심사를 거쳐 최대 15곳을 선정해 오는 10월부터 1년간 한시적으로 망분리 규제를 완화할 예정이다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원·금융보안원 등이 참여한 ‘프런티어 AI 상황대응반’ 5차 회의를 열고 이 같은 내용의 제2차 망분리 규제 긴급완화 방안을 확정했다고 밝혔다.

이번 조치는 금융회사 내부망과 외부 인터넷망을 분리하도록 한 현행 규제의 예외를 한시적으로 허용해 프런티어 AI와 보안 서비스형소프트웨어(SaaS)를 보안 취약점 탐지·개선에 활용하도록 하는 것이다. 지난 6월 시작한 1차 테스트의 운영 경험을 토대로 참여 대상을 넓혔다.

금융회사의 신청 문턱은 크게 낮아진다. 1차 때는 총자산 10조원 이상이면서 상시 종업원 1000명 이상인 회사만 신청할 수 있었지만 2차에서는 총자산 2조원 이상, 상시 종업원 300명 이상으로 기준을 완화한다. 다만 정보보호 책임성과 독립성을 확보하기 위해 정보보호최고책임자(CISO)가 다른 정보기술 업무를 겸직하지 않는 회사만 참여할 수 있다. 이 요건에 해당하는 금융회사는 59곳이다.

전자금융업자에는 별도 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이면서 전자금융업 관련 매출이 전체 매출의 10%를 넘어야 한다. 역시 CISO의 다른 정보기술 업무 겸직은 허용하지 않는다. 해당 요건을 갖춘 전자금융업자는 16곳으로 금융회사를 합치면 전체 신청 대상은 75곳이다.

실제 테스트에 참여하는 회사도 1차 10곳에서 최대 15곳으로 늘어난다. 참여 희망 회사는 오는 14일까지 신청할 수 있으며 민간기술자문단 등이 보안 역량과 AI 활용능력을 심사한다. 금융위는 다음달 7일께 선정 결과를 확정한 뒤 1년 한시의 비조치의견서를 발급할 예정이다.

선정된 회사는 망분리를 대신할 보안 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS를 이용해 시스템 취약점을 찾고 개선할 수 있다. 테스트 과정에서 확인한 AI 보안위협의 특성과 공격 목적으로 활용될 경우 예상되는 위험, 방어 방법 등은 정부에 제출해야 한다. 금융당국은 이를 향후 AI 가이드라인과 금융권 보안대책에 반영할 방침이다.

1차 테스트에서는 AI의 취약점 탐색 능력도 확인됐다. 프런티어 AI가 수백만~수천만줄 규모의 소스코드를 수시간 안에 분석할 수 있었고 기존 취약점을 광범위하게 탐지하는 데 강점을 보였다는 게 금융당국의 설명이다. 다만 현재 금융회사들이 침입차단·방지 시스템 등 여러 보안수단을 운용하고 있어 확인된 취약점이 곧바로 침해사고로 이어질 가능성은 크지 않은 것으로 평가됐다.

금융위는 향후 제3차 테스트 일정과 선정 규모도 조속히 결정하고 추가 수요에 따라 긴급완화 조치를 더 실시하거나 이를 상시 제도화하는 방안도 검토하기로 했다. 아울러 보안 등 특정 목적에 국한하지 않고 일정 수준 이상의 AI·보안 역량을 갖춘 금융회사를 대상으로 망분리 규제를 전면 해제하는 방안도 관계기관과 논의 중이라고 밝혔다.

유영준 금융위 디지털금융정책관은 “AI를 활용한 침해위협이 점차 현실로 다가오는 상황에서 보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여하여 침해위협에 든든히 대비토록 하는 것이 중요한 시점”이라며 “테스트 결과 축적된 AI 보안위협 특성, 대응 요령 등을 즉각 전 금융권에 전파하여 테스트 미참여 금융회사도 보안위협에 충분히 대응하도록 만전을 기해 나갈 예정”이라고 말했다.

한편, 금융위는 지난 6월 보안 목적의 AI·서비스형 소프트웨어(SaaS) 활용을 위한 1차 망분리 규제 완화 대상으로 금융사 10곳을 선정했다. 신한·하나·우리은행과 카카오뱅크, KB증권, NH투자증권, 삼성화재, 한화생명 등이 포함됐으며 이들 회사에는 1년 한시 비조치의견서가 발급됐다.