3차 테스트 신속 추진.. 금융위 "보안 목적 외에 망분리 전면해제 신속 추진할 것"
금융위원회가 지난 6월에 이어 추가로 2차 망분리 규제 완화 금융회사 등을 선정한다. 2차 신청에는 은행 뿐 아니라 2금융권과 전자금융업자로 대상 기관을 확대해 최종 15곳을 선정한다. 금융위는 AI(인공지능)을 다각도로 활용할 수 있도록 보안 뿐 아니라 다른 영역까지도 망분리를 전면해제하는 방안도 속도를 내기로 했다.
금융위는 3일 '프론티어 AI(인공지능) 상황대응반' 5차 회의를 개최하고 보안목적 AI 활용을 위한 2차 망분리 규제 긴급완화 조치 세부안(이하 테스트)을 확정했다.
망분리 규제는 금융사 내부 전산망을 외부 인터넷망과 물리적으로 분리해 외부로부터의 해킹 공격 등을 원천 차단하기 위해 2013년 도입됐다. 다만 생성형 AI 등 급변하는 기술을 내부망에서 활용하는 데 걸림돌로 작용해 금융위가 망분리 해제에 속도를 내고 있다. 지난 6월 1차 규제 완화 조치에 따라 신청회사 75곳 중에서 10개사를 선정해 보안 목적 AI 활용에 대해 비조치의견서를 발급한 바 있다.
이번 2차 테스트에는 1차보다 많은 15곳을 선정한다. 제2금융권, 전자금융업자 등으로 선정 대상 업권도 확대한다. 이에 따라 2차 테스트 신청 대상 회사는 총 75곳으로 1차의 49개사 보다 26개사가 늘어난다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS(사스) 등을 활용해 보안 취약점을 탐지·개선할 수 있다.
구체적인 신청 기준은 '총자산 2조원 이상, 상시 종업원 수 300명 이상'으로 완화된다. 1차에서는 금융회사의 경우 '총자산 10조원 이상, 상시 종업원 수 1000명 이상'이었다. 다만 정보보호의 책임성·독립성 확보 등을 위해 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 이 기준을 충족하는 금융회사는 총 59개사다.
전자금융업자는 금융회사와 같은 기준을 적용하면 충분한 신청기회를 부여하기 어려운 점을 감안해 별도 신청 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이고, 전자금융업 관련 매출액이 총 매출액의 10%를 초과해야 한다. 아울러 금융회사와 같이 CISO가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 이 기준을 충족하는 전자금융업자는 총 16개사이다.
2차 테스트 희망 금융회사와 전자금융업자는 3일부터 14일까지 신청할 수 있다. 신청한 금융회사에 대해서는민간기술자문단등에서 9월 중 신청 회사의 보안역량, AI활용능력 등을 평가할 예정이다. 평가 결과를 토대로 다음달 7일(잠정) 금융위 보고를 거쳐 망분리 규제에 관한 비조치의견서를 1년 한시 발급한다.
독자들의 PICK!
선정사는 보안 취약점 탐지·개선 등 목적으로 프런티어 AI, 보안SaaS 등을 활용할 수 있다. 다만 망분리 규제가 완화되는 만큼 데이터 유출과 외부 침해 등 보안사고 위험을 줄이기 위해 망분리 대체 통제수단을 마련해야 한다. 금융위는아울러 제3차 테스트의 시기와 선정 규모를 신속히 확정할 계획이다. 추가적인 망분리 규제 긴급 완화 조치 차수 운영, 상시 제도화 방안 등도 검토한다.
한편 10개사 대상의 한 1차 테스트와 관련, 향후 AI를 활용한 침해위협이 본격화된 경우에 대비해 △외부에 노출되는 전산자산 등 공격표면 식별·관리 강화△신속한 보안패치 등 대응속도 강화△'AI는 AI로 방어하는' 대응체계 구축 등 다양한 측면의 대응력 강화가 필요하다는 의견이 제시됐다. 정부는 제1차 테스트가 종료되면 발견된 취약점 유형, AI 점검의 특징과 활용 노하우, 보안 대응요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 조치 등을 추진할 계획이다.
유영준 금융위 디지털금융정책관은 "보안목적 등에 한정되지 않고 AI 기술을 보다 다각적·상시적으로 활용할 수 있도록, 고도의 AI·보안역량을 갖춘 대상부터 망분리 규제를 전면해제 하는 방안도 관계기관과 긴밀히 논의중이며, 신속히 방안을 구체화해 나가겠다"고 말했다.
