AI 시대, 금융권 망분리 규제 완화로 보안 위협 대비 강화

AI 시대, 금융권 보안 강화와 규제 완화의 균형점 찾기

인공지능(AI) 기술이 금융권 전반에 빠르게 도입되면서, 이에 따른 새로운 보안 위협에 대한 철저한 대비가 중요해지고 있습니다. 특히, AI를 활용한 공격 시도가 증가할 가능성에 주목하며 금융당국은 금융회사의 AI 보안 역량 강화를 지원하기 위한 적극적인 조치를 시행하고 있습니다. 이에 금융위원회는 ‘프런티어 AI 상황대응반’ 5차 회의를 통해 AI 보안 목적 활용을 위한 ‘제2차 망분리 규제 긴급 완화 조치’의 세부 방안을 확정했습니다. 이는 금융권의 AI 보안 위협 대응 역량을 한층 높이고자 하는 정부의 강력한 의지를 보여줍니다.

확대된 기회: 더 많은 금융회사에 열리는 AI 보안 테스트

이번 제2차 망분리 규제 긴급 완화 조치의 가장 큰 특징은 참여 대상과 규모를 대폭 확대한 것입니다. 지난 6월 시행된 제1차 테스트가 엄격한 요건을 적용했던 것과 달리, 이번에는 보다 많은 금융회사와 전자금융업자가 AI를 활용한 보안 테스트에 참여할 수 있도록 기회가 넓어졌습니다. 이는 제1차 테스트를 통해 축적된 운영 경험을 바탕으로, 안전한 테스트 환경 내에서 참여 기회를 확대하여 금융권 전반의 AI 보안 위협 대응 역량을 강화하려는 취지입니다.

주요 완화 내용 및 신청 자격

제2차 테스트에는 총 75개 사가 참여할 수 있으며, 이는 제1차 테스트의 49개사보다 26개사 늘어난 규모입니다. 선정 규모 역시 기존 10개사에서 15개사 이내로 확대되었습니다. 선정된 기관은 망분리 규제에 대한 대체 통제 수단을 마련한 후, 프런티어 AI 및 보안 SaaS 등을 활용하여 잠재적인 보안 취약점을 탐지하고 개선하는 활동을 수행하게 됩니다.

금융회사 신청 기준 완화

기존 ‘총자산 10조 원 이상, 상시 종업원 수 1,000명 이상’이라는 까다로운 기준에서, 이제는 ‘총자산 2조 원 이상, 상시 종업원 수 300명 이상‘으로 완화되었습니다. 다만, 정보보호의 책임성과 독립성을 확보하기 위해 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정됩니다. 이 기준을 충족하는 금융회사는 총 59개사입니다.

전자금융업자를 위한 별도 기준 마련

전자금융업자의 경우, 업종 특성상 취약점 관리가 매우 중요하지만 기존 금융회사와 동일한 기준을 적용하면 충분한 참여 기회를 부여하기 어렵다는 점을 고려하여 별도의 신청 기준이 적용됩니다. 연간 전자금융거래 금액이 2조 원 이상이고, 전자금융업 관련 매출액이 총 매출액의 10%를 초과해야 합니다. 또한, 금융회사와 마찬가지로 CISO가 다른 IT 업무를 겸직하지 않는 회사로 한정됩니다. 이 기준을 충족하는 전자금융업자는 총 16개사입니다.

신청 및 심사 절차, 그리고 기대 효과

제2차 테스트 참여를 희망하는 금융회사 및 전자금융업자는 2026년 9월 3일부터 9월 14일까지 신청할 수 있습니다. 민간 전문가로 구성된 기술자문단 등은 신청 회사의 보안 역량과 AI 활용 능력을 평가하여 9월 중에 결과를 도출할 예정입니다. 이 결과는 금융위원회 보고를 거쳐 2026년 10월 7일경, 망분리 규제에 대한 비조치의견서(1년 한시적)가 발급될 예정입니다. 비조치의견서를 발급받은 기관은 망분리 규제 적용이 유예되며, 프런티어 AI 및 보안 SaaS를 활용하여 보안 취약점을 탐지하고 개선하는 활동에 집중할 수 있습니다.

이번 테스트는 단순한 규제 완화를 넘어, AI가 실제 금융 보안 환경에서 어떻게 활용될 수 있는지, 그리고 어떤 새로운 위험이 발생할 수 있는지에 대한 실증적인 데이터를 확보하는 데 목적이 있습니다. 테스트 결과 확인된 AI 보안 위험성의 특성, 공격용으로 활용될 경우 예상되는 위험성, 효과적인 방어를 위한 대응 요령 등은 정부에 보고되어 AI 가이드라인 개정 및 새로운 보안 대책 마련에 적극 활용될 예정입니다. 이는 향후 AI 기술이 금융권에 더욱 폭넓고 안전하게 도입될 수 있는 기반을 마련하는 중요한 과정이 될 것입니다.

제1차 테스트 결과: AI의 강력한 취약점 탐색 능력 확인

회의에서는 현재 진행 중인 제1차 테스트의 중간 점검 결과도 논의되었습니다. 프런티어 AI는 수백만에서 수천만 라인에 달하는 방대한 소스코드도 수 시간 내에 분석하며 매우 우수한 취약점 탐색 능력을 보여주었습니다. 특히, 기존에 알려진 취약점을 넓은 범위에서 일관되고 누락 없이 탐색하는 데 강점을 보였으며, 이는 이용자의 숙련도나 경험에 따른 편차 없이 신속하게 취약점을 찾아낼 수 있는 효과적인 수단이 될 수 있음을 시사합니다.

제1차 테스트에서 발견된 취약점들을 분석한 결과, 금융권은 이미 침입차단·방지 시스템 등 다양한 보안 조치를 적용하고 있어 발견된 취약점이 즉각적인 침해 사고로 이어질 가능성은 크지 않은 것으로 나타났습니다. 하지만 향후 AI를 활용한 침해 위협이 본격화될 경우에 대비하여, ▲외부에 노출되는 전산 자산 관리 강화, ▲신속한 보안 패치 대응 속도 강화, ▲’AI는 AI로 방어하는’ 대응 체계 구축 등 다각적인 대응력 강화가 필요하다는 의견이 제시되었습니다. 정부는 제1차 테스트 종료 후, 발견된 취약점 유형, AI 점검의 특징과 활용 노하우, 보안 대응 요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 등의 조치를 신속히 추진할 계획입니다.

미래를 향한 발걸음: 제3차 테스트 및 상시 제도화 검토

금융위원회는 제2차 테스트 신청 상황과 제1차 및 제2차 테스트의 진행 경과를 면밀히 분석하여, 향후 제3차 테스트의 시기와 선정 규모를 신속하게 확정할 계획입니다. 또한, 추가적인 신청 수요와 제도 운영 현황을 고려하여, 망분리 규제 완화 조치를 추가 차수로 운영하거나 이를 상시 제도화하는 방안까지 적극적으로 검토해 나갈 방침입니다. 금융위원회 유영준 디지털금융정책관은 “AI를 활용한 침해 위협이 현실로 다가오는 상황에서, 더 많은 금융회사와 전자금융업자에게 AI 보안 테스트 기회를 제공하여 든든하게 대비하도록 하는 것이 중요하다”며, “테스트 결과를 바탕으로 AI 보안 위협 특성과 대응 요령 등을 신속히 전 금융권에 전파하여, 테스트 미참여 기관까지도 충분히 대응할 수 있도록 만전을 기할 것”이라고 밝혔습니다. 더 나아가, “금융권이 AI 기술을 보안 목적 외에도 보다 다각적이고 상시적으로 활용할 수 있도록, 고도화된 AI 및 보안 역량을 갖춘 대상부터 망분리 규제를 전면 해제하는 방안도 관계기관과 긴밀히 논의 중이며, 신속히 구체화해 나갈 것”이라고 덧붙였습니다.

마무리

AI 기술의 발전은 금융권에 혁신적인 기회를 제공하는 동시에, 예측하기 어려운 새로운 보안 위협을 동반합니다. 금융위원회에서 추진하는 이번 망분리 규제 완화 조치는 이러한 변화에 선제적으로 대응하고, 금융권의 AI 보안 역량을 강화하기 위한 중요한 발걸음입니다. 확대된 참여 기회를 통해 더 많은 금융회사들이 AI 기반의 보안 솔루션을 적극적으로 탐색하고 도입함으로써, 더욱 안전하고 신뢰할 수 있는 금융 환경을 만들어나가기를 기대합니다. 잠재적인 보안 위협에 대한 철저한 대비와 함께, AI 기술을 금융 서비스 혁신에 효과적으로 활용하는 균형 잡힌 접근이 필요한 시점입니다.