금융권 AI 보안 테스트 문턱 낮춘다…전금업자까지 75개사로 확대

신청 대상 49개사→75개사…최대 15개사 선정
자산 기준 10조→2조원·인력 1000→300명 완화
9월 14일까지 접수…10월부터 2차 테스트

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 '프런티어 AI 상황대응반' 5차 회의를 열고 '제2차 망분리 규제 긴급 완화 조치' 세부방안을 확정했다고 밝혔다. ⓒ금융위원회

금융당국이 인공지능(AI)을 활용한 보안 테스트 대상을 제2금융권과 전자금융업자까지 확대한다.

1차 테스트에서 AI가 방대한 소스코드의 취약점을 빠르게 찾아내는 효과가 확인되면서 신청 문턱을 낮춰 참여 대상도 기존 49개사에서 75개사로 늘리기로 했다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 '프런티어 AI 상황대응반' 5차 회의를 열고 이 같은 내용의 '제2차 망분리 규제 긴급 완화 조치' 세부방안을 확정했다고 밝혔다.

이번 조치는 지난 6월 시작한 1차 테스트를 통해 운영 경험이 쌓인 만큼 안전성이 확보되는 범위에서 참여 기회를 넓혀 금융권 전반의 AI 보안위협 대응 역량을 높이기 위해 마련됐다.

2차 테스트 신청 대상은 총 75개사로 1차 당시 49개사보다 26개사 늘어난다. 실제 선정 규모도 10개사에서 15개사 이내로 확대된다.

금융회사의 신청 기준은 기존 '총자산 10조원 이상, 상시 종업원 수 1000명 이상'에서 '총자산 2조원 이상, 상시 종업원 수 300명 이상'으로 완화된다.

다만 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않아야 한다. 해당 기준을 충족하는 금융회사는 59개사다.

전자금융업자에는 별도 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이면서 전자금융업 관련 매출액이 총매출액의 10%를 넘어야 한다.

마찬가지로 CISO가 다른 정보기술부문 업무를 겸직하지 않아야 한다. 이에 해당하는 전자금융업자는 16개사다.

참여를 희망하는 금융회사와 전자금융업자는 이날부터 오는 14일까지 신청할 수 있다.

민간기술자문단 등이 이달 중 신청 회사의 보안 역량과 AI 활용 능력 등을 평가하고, 다음달 7일 금융위 보고를 거쳐 1년 한시의 망분리 규제 비조치의견서를 발급할 예정이다.

선정된 회사는 망분리 대체 통제수단을 갖춘 뒤 프런티어 AI와 보안 서비스형 소프트웨어(SaaS) 등을 활용해 보안 취약점을 탐지·개선할 수 있다.

테스트 과정에서 확인된 AI 보안 위험 특성과 공격 용도 활용 시 위험성, 대응 요령 등은 정부에 보고해야 한다.

금융당국은 이날 현재 진행 중인 1차 테스트 결과도 중간 점검했다.

프런티어 AI는 수백만~수천만 라인에 달하는 방대한 소스코드를 수시간 안에 분석하는 등 취약점 탐색 능력이 우수한 것으로 나타났다.

특히 기존 취약점을 넓은 범위에서 일관되게 탐색하는 데 강점을 보여 이용자의 경험이나 역량에 따른 편차를 줄이면서 취약점을 신속하게 찾아내는 수단으로 활용될 가능성이 확인됐다.

다만 발견된 취약점이 곧바로 침해사고로 이어질 가능성은 크지 않은 것으로 평가됐다. 금융권이 침입차단·방지시스템 등 여러 보안조치를 적용하고 있기 때문이다.

금융당국은 향후 AI를 활용한 침해 위협이 본격화할 가능성에 대비해 외부 노출 전산자산 등 공격표면에 대한 관리를 강화하고 신속한 보안패치 체계를 갖추는 한편, 'AI는 AI로 방어하는' 대응체계 구축도 필요하다고 봤다.

금융위는 1차 테스트 종료 후 발견된 취약점 유형과 AI 점검의 특징·활용 노하우, 보안 대응요령 등을 전 금융권에 공유하고 AI 가이드라인 개정에도 반영할 계획이다.

아울러 1·2차 테스트 진행 경과와 추가 신청 수요 등을 토대로 3차 테스트 시기와 선정 규모를 확정하고, 추가 망분리 규제 완화 조치와 상시 제도화 방안도 검토한다.

유영준 금융위 디지털금융정책관은 "보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여해 침해위협에 든든히 대비하도록 하는 것이 중요한 시점"이라며 "고도의 AI·보안 역량을 갖춘 대상부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의 중"이라고 말했다.