AI로 해킹 대응…금융당국, 망분리 규제 완화 대상 확대

2차 테스트 14일까지 접수, 금융사 59곳·전금업자 16곳 대상

ⓒ 생성형 AI 제미나이

[프라임경제] 외부 인터넷망 접속을 엄격히 차단해 온 '망분리 규제'의 예외 적용 대상이 중소형 금융회사와 전자금융업자로 확대된다. 이른바 'AI로 해킹에 대응하는' 선진 보안 체계를 금융권 전반에 도입하기 위한 조치다.

금융위원회는 3일 금융감독원·금융보안원 등과 함께 '제2차 망분리 규제 긴급완화 조치'의 세부 방안을 확정했다.

망분리 규제는 외부 해킹이나 악성코드 유입을 원천 차단하기 위해 금융회사 내부망과 외부 인터넷망을 물리적으로 분리하도록 강제한 제도다. 다만 외부 통신 연결이 필수적인 최신 클라우드와 생성형 인공지능(AI)을 내부망에서 사용할 수 없게 해 금융권의 디지털 전환을 가로막는 규제로 지적됐다.

이에 금융당국은 테스트를 통해 규제 완화 가능성을 단계적으로 검증하고 있다. 보안 취약점 개선 목적에 한해 한시적으로 망분리 규제를 완화하는 방식이다. 지난 6월 1차 테스트를 시작한 데 이어 이날 2차 조치를 추진하기로 했다.

2차 테스트에서는 대형 금융회사 위주로 진행된 1차 테스트와 달리 중소형 금융회사와 전자금융업자(전금업자)에게도 참여 기회를 제공한다.

신청 대상은 총 75개사로, 1차 테스트 당시 49개사보다 26개사가 늘어난다. 최종 선정 규모도 기존 10개사에서 15개사 이내로 확대된다.

신청 기준은 기존 총자산 10조원 이상, 상시 종업원 수 1000명 이상에서 '총자산 2조원 이상, 상시 종업원 수 300명 이상'으로 대폭 완화됐다. 다만 정보보호의 책임성과 독립성을 확보하기 위해 정보보호최고책임자(CISO)가 다른 정보기술 부문 업무를 겸직하지 않는 회사로 대상이 한정된다. 이 기준을 충족하는 회사는 총 59개사다.

해킹 등 취약점 관리가 중요한 전금업자에는 별도의 신청 기준이 적용된다. 연간 전자금융거래 금액이 2조원 이상이면서 전자금융업 관련 매출액이 총매출액의 10%를 초과해야 한다. 전금업자 역시 CISO 겸직 금지 요건이 적용된다. 이를 충족하는 16개사가 대상에 포함됐다.

2차 테스트 참여를 희망하는 금융회사와 전금업자는 오는 14일까지 신청할 수 있다. 이후 민간기술자문단 등의 평가를 거쳐 내달 7일(잠정) 금융위 보고를 진행한 뒤 망분리 규제에 관한 1년 한시의 비조치의견서가 발급될 예정이다.

선정된 회사는 보안 취약점을 탐지하고 개선하기 위해 프런티어 AI와 보안 서비스형 소프트웨어 등을 활용할 수 있게 된다. 대신 망분리 규제 완화에 따른 사고 위험을 줄이기 위해 대체 통제 수단을 마련해야 한다.

유영준 금융위 디지털금융정책관은 "AI를 활용한 침해 위협이 다가오는 상황에서 보다 폭넓은 금융회사와 전금업자에게 AI 보안 테스트 기회를 부여해 대비하도록 하는 것이 중요한 시점"이라며 "테스트 결과 축적된 AI 보안 위협의 특성과 대응 요령 등을 즉각 전 금융권에 전파해 미참여 금융회사도 충분히 보안 위협에 대응할 수 있도록 만전을 기하겠다"고 강조했다.

이어 "고도의 AI·보안 역량을 갖춘 대상부터 망분리 규제를 전면 해제하는 방안도 관계기관과 긴밀히 논의 중"이라고 설명했다.