금융회사가 프런티어 인공지능(AI) 보안위협에 대응하기 위해 AI 보안테스트를 하다가 경미한 전산장애가 발생해도 일정 요건을 충족하면 제재를 피할 수 있는 길이 열렸다.
금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책 조치를 심의·의결했다고 2일 밝혔다. 금융감독원, 금융보안원과 마련한 가이드라인도 금융권에 배포했다.
프런티어 AI는 현재 가장 높은 수준의 성능과 범용성을 갖춘 AI 모델을 뜻한다. 금융위는 미토스 등 고성능 AI가 불러올 수 있는 보안위협에 금융권이 선제적으로 대응하도록 이번 조치를 마련했다. 지난 5월22일 열린 고성능 AI 보안위협 대응 간담회의 후속 조치다.
면책 대상은 금융회사가 보안목적 AI를 활용해 취약점·포트 스캐닝, 자동화된 침투 시도 등 보안테스트를 하거나 금융위·금감원·금보원이 전파한 보안 취약점에 긴급 패치를 적용하는 과정에서 발생한 경미한 전산장애다. 신속한 복구와 소비자 보호조치가 이뤄졌다면 기관·임직원 신분제재와 과태료 부과가 면제된다.
경미한 전산장애는 제재대상 기준에 해당하지 않는 IT 사고를 말한다. △고의성이 없고 △금전피해가 1억원 미만 △시스템 장애 시간 최대 4시간 이내 △고객정보 유출은 개인신용정보를 제외하고 1만건 미만이어야 한다. 개인신용정보 유출 사고는 이번 면책과 관계없이 신용정보법상 제재가 적용된다.
금융회사는 면책을 받으려면 사전 테스트, 피해 확산 방지, 서비스 연속성 확보 방안을 담은 작업계획서를 마련해야 한다. 고객에게 보안테스트나 패치 일정, 대체 서비스 경로 등을 사전에 안내하고 피해 발생 때 구제조치도 이행해야 한다.
가이드라인에는 경영진 책임 강화, 취약점 및 패치관리, 자산·공급망 관리, AI 기반 방어 자동화, 금융권 공동대응 및 복원력 강화, 침해확산 방지 등 6개 분야 대응요령이 담겼다. 이사회와 최고경영자(CEO)가 AI 보안위협을 핵심 안건으로 다루고 최고정보보호책임자(CISO)에게 예산과 인력 운영 권한을 부여하는 내용도 포함됐다.
금융위는 "프런티어 AI 보안위협 관련 국내외 상황이 빠르게 변화하고 있는 만큼, 금융회사의 불안감을 낮추고 적극적인 보안강화 조치를 유도하는데 방점을 뒀다"며 "금융업계가 보다 적극적이고 신속하게 전산자원 관리·취약점 탐지·보안 패치 적용 등 관리강화 조치에 나서줄 것을 기대한다"고 했다.