"금융보안, 이사회 심의·의결사안으로…체크리스트 점검 불충분"

금융보안과 관련 거버넌스 사안을 금융사 이사회 심의·의결 사안으로 격상해야 한다는 제언이 나왔다. 인공지능(AI)을 이용한 해킹 공격이 핵심 경영의제로 부상하면서다. 아울러 보안 취약점 점검을 기존 체크리스트 방식에서 벗어나 회사 특성에 맞게 보안 역량을 평가하는 방향으로 전환하고 클라우드 등 외부 ICT 사업자에 대한 감독을 강화할 필요성도 제기됐다.

이준호 금융보안원 정책연구팀장은 4일 서울 중구 은행연합회에서 열린 '디지털전환에 따른 금융소비자 보호 및 금융보안 과제' 세미나에 참석해 "금융보안을 이사회에 보고하는 사항이 아니라 직접 심의·의결하는 경영 핵심 의제로 발전시키는 방안을 검토할 필요가 있다"고 밝혔다.

금융권 대상 AI 해킹공격에 따른 정보유출 사고가 잇따라 발생하면서 전자금융거래법, 정보통신망법, 개인정보보호법 등 주요 법령 개정을 통해 이사회의 정보보안 책임을 강화하고 정보보호 최고책임자(CISO)의 역할 및 권한을 확대하는 제도 개선이 추진되고 있지만 한발 더 나아가 주요 보안 사안을 이사회의 의결을 받도록 한다는 것이다.

이 팀장은 △금융보안에 관한 경영목표와 성과 평가 △전사적인 보안체계 △ 위험허용 수준의 결정 △중대 보안사고 발생시 이용자 피해 관리 △주요 제3자 리스크 관리 정책 등은 이사회 차원에서 논의할 만한 사안이라고 설명했다.

아울러 현재 보안 취약점 파악을 위해 이뤄지는 체크리스트 점검만으론 충분치 않다는 지적도 나왔다. 실제로 해킹 사고 이후 금융감독원이 금융사 500여곳에 보안 취약점을 자체 점검하는 체크리스트를 제출하도록 했지만 일부 회사는 '적정' 답변을 제출하고도 나중에 해킹으로 인한 정보유출 피해가 발생했다.

이 팀장은 "리스트를 얼마나 충실히 이행했는지를 확인하는 이른바 '박스티킹(box-ticking)'만으론 충분치 않다"며 "금융회사가 스스로 위험을 찾아 대응할 수 있는지를 평가해야 할 시점"이라고 말했다. 각 사의 자산규모·예치 및 거래량·서비스 특성을 고려해 어떤 위험을 고려해야하는지와 IT 자산별 취약점을 자체적으로 파악하는 등 실질적 평가가 필요하다는 설명이다.

해외처럼 제3자와의 계약도 역시 감독이 필요하다는 조언도 나왔다. 현재 유럽과 미국은 클라우드 등 중요 ICT 사업자와의 계약을 직접 감독하는 체계를 도입했다. 서병호 금융연구원 해외금융협력지원센터장은 "여러 금융회사가 동일한 클라우드나 소프트웨어를 이용하는 상황에서는 한 곳의 침해가 여러 금융회사에 동시에 영향을 줄 수 있다"며 "핵심 ICT 사업자에 대한 관리와 사이버 스트레스테스 등을 검토해야 한다"고 말했다.

이날 세미나에서는 AI에이전트가 금융상품 추천·상담·거래 실행까지 맡게 되면서 소비자보호체계의 방향성 전환도 과제로 언급됐다. 이규복 금융연 금융소비자연구실장은 AI 상담 사실과 한계를 고지하고 인간 상담을 선택할 권리를 보장할 필요가 있다고 제언했다.

또한 적합성 원칙을 폭넓게 적용해 상품이 소비자의 최선의 이익을 고려하도록 해야한다는 의견이 나왔다. 부적합 상품만 걸러내는 소극적 규제에서 소비자 최선의 이익을 고려해 추천하도록 의무화해야 한다는 설명이다. 이밖에 AI 오류에 따른 피해배상과 입증책임 절차도 도입해야 한다고 강조했다.

금융당국은 AI 에이전트 활용 서비스로 인해 특정 상품으로 거래가 쏠릴 가능성에 대해 우려를 표했다. 이에 따라 관련 소비자보호 체계 및 금융회사 역량 등을 점검할 계획이다.

배인정 금융위원회 디지털금융총괄과 서기관은 "판매자의 공급 불확실성으로 구매가 확정되지 않을 경우 결제 환불처리방안을 어떻게 할지, 급격한 쏠림현상으로 인한 금융사의 유동성 문제가 없을지에 대해 충분한 검토가 선행돼야 한다"며 "앞으로 TF를 운영해 제도 개선과제와 AI 행위 표준리스크 관리, 샌드박스 등 세부사항을 논의할 예정"이라고 밝혔다.