[서울=뉴스핌] 김가희 기자 = 금융당국이 인공지능(AI)을 활용한 금융권 보안 취약점 탐지 테스트 대상을 제2금융권과 전자금융업자까지 확대한다. 참여 기회를 넓혀 금융권 전반의 프런티어 AI 보안위협 대응 역량을 높이려는 취지다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 함께 '프런티어 AI 상황대응반' 5차 회의를 열고 '제2차 망분리 규제 긴급 완화 조치' 세부 방안을 확정했다고 밝혔다.

이번 2차 테스트에서는 보다 다양한 금융회사가 프런티어 AI를 활용한 보안 테스트에 참여할 수 있도록 신청 자격과 선정 규모를 확대한다. 신청 대상은 기존 49개사에서 75개사로, 선정 규모는 10개사에서 15개사 이내로 늘어난다.

금융회사의 신청 기준은 기존 총자산 10조원 이상·상시 종업원 수 1000명 이상에서 총자산 2조원 이상·상시 종업원 수 300명 이상으로 완화된다. 다만 정보보호 책임성과 독립성을 확보하기 위해 정보보호최고책임자(CISO)가 다른 정보기술 부문 업무를 겸직하지 않는 회사만 신청할 수 있다. 이 기준을 충족하는 금융회사는 59개사다.

전자금융업자는 별도 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이고 전자금융업 관련 매출액이 전체 매출액의 10%를 넘어야 하며, CISO 겸직 제한도 적용된다. 해당 기준을 충족하는 전자금융업자는 16개사다.

선정된 금융회사와 전자금융업자는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안형 소프트웨어 서비스(SaaS) 등을 활용해 보안 취약점을 탐지하고 개선할 수 있다. 망분리 규제가 완화되는 만큼 데이터 유출이나 외부 침해 등 보안사고 위험을 낮추기 위한 대체 통제수단 마련은 필수다.

신청 기간은 이날부터 오는 14일까지다. 신청 기업에 대해서는 민간기술자문단 등이 보안 역량과 AI 활용 능력 등을 평가한다. 10월 7일 예정된 금융위 보고를 거쳐 망분리 규제에 관한 1년 한시 비조치의견서를 발급할 계획이다.

이번 조치는 지난 6월 시작된 1차 테스트에서 확인된 AI의 보안 취약점 탐지 성과를 바탕으로 추진된다. 금융당국은 1차 테스트 중 프런티어 AI가 수백만에서 수천만 라인에 달하는 방대한 소스코드를 수 시간 내 분석하는 등 취약점 탐지 능력이 우수한 것으로 확인됐다고 설명했다.

특히 기존 취약점을 넓은 범위에서 일관되게 누락 없이 탐색하는 데 강점이 있는 것으로 나타났다. 이용자의 경험이나 역량에 따른 편차 없이 취약점을 신속하게 찾아낼 수 있는 수단으로 활용될 가능성도 확인됐다.

다만 AI를 활용한 보안 점검이 곧바로 금융권의 침해사고를 의미하는 것은 아닌 것으로 나타났다. 금융권이 침입차단·방지시스템 등 다양한 보안조치를 적용하고 있어 현재 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않다는 게 금융당국의 판단이다.

금융당국은 향후 AI를 활용한 침해위협이 본격화될 가능성에 대비해 외부에 노출되는 전산자산 등 공격표면의 식별·관리, 보안패치 대응 속도, AI는 AI로 방어하는 대응체계 등을 강화할 필요가 있다고 봤다.

금융위는 2차 테스트 결과와 1차 테스트 진행 상황 등을 토대로 3차 테스트 시기와 선정 규모를 신속하게 확정할 계획이다. 추가 신청 수요를 고려해 추가적인 망분리 규제 긴급 완화와 상시 제도화 방안도 검토한다.

유영준 금융위 디지털금융정책관은 "AI를 활용한 침해위협이 점차 현실로 다가오는 상황에서 보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여하여 침해위협에 든든히 대비토록 하는 것이 중요한 시점"이라며 "제2차·제3차 테스트가 충실·신속하게 이루어질 수 있도록 최선을 다할 것"이라고 말했다.

이어 "금융권이 보안목적 등에 한정되지 않고 AI 기술을 보다 다각적·상시적으로 활용할 수 있도록 고도의 AI·보안역량을 갖춘 대상부터 망분리 규제를 전면해제 하는 방안도 관계기관과 긴밀히 논의 중이며, 신속히 방안을 구체화해 나가겠다"고 덧붙였다.

rkgml925@newspim.com