"미토스 위협 적극 대응"...금융위, 2차 테스트 신청 자격 완화

신청 자격 10조에서 2조 이상으로 완화 망분리 규제 전면 해제 위한 적극 논의

[파이낸셜뉴스] 금융위원회가 미토스 위협에 대응해 미토스급 인공지능(AI)을 사용해 보안 점검을 할 수 있는 회사의 자격 요건을 대폭 완화했다. 기존 요건으로는 망분리 규제 긴급완화를 신청할 수 없었던 중소 금융사와 전자금융업자도 신청할 수 있도록 한 것이다.

3일 금융위는 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 함께 정부서울청사에서 '프런티어 AI 상황대응반' 5차 회의를 열고, 보안목적 AI 활용을 위한 제2차 망분리 규제 긴급완화 조치의 세부방안을 확정했다. 이번 조치는 금융위 적극행정위원회 및 민간 기술자문단 등에서 논의와 자문을 거쳐 마련됐다.

제2차 망분리 규제 긴급완화 조치에서는 신청 자격이 완화되어 중소 금융회사와 전자금융업자까지 포함, 신청 대상이 기존 49개사에서 75개사(금융회사 59개사, 전자금융업자 16개사)로 확대된다. 선정 규모 역시 기존 10개사에서 15개사 이내로 늘어난다.

금융회사의 경우 신청 기준이 총자산 10조원 이상, 상시 종업원 1000명 이상이었는데, 총자산 2조원 이상, 상시 종업원 300명 이상으로 완화됐다. 정보보호최고책임자(CISO)는 다른 정보기술부문 업무를 겸직하지 않아야 한다. 전자금융업자는 연간 전자금융거래 금액 2조원 이상, 전자금융업 관련 매출액이 총 매출액의 10%를 초과해야 하며, 역시 CISO의 겸직이 제한된다.

신청은 9월 3일부터 9월 14일까지 가능하며, 민간기술자문단 등에서 보안역량과 AI 활용능력 평가를 거쳐 10월 7일 금융위 보고 후 1년 한시의 망분리 규제 비조치의견서가 발급될 예정이다. 선정된 금융회사 및 전자금융업자는 프런티어 AI, 보안 SaaS 등을 활용해 보안 취약점 탐지 및 개선에 참여하게 되며, 망분리 대체 통제수단 마련이 요구된다. 테스트 결과로 확인된 AI 보안 위험성과 대응요령 등 주요 내용은 정부에 보고되며, 정부는 이를 AI 가이드라인 개정 및 보안대책 마련에 활용할 계획이다.

제1차 테스트의 중간점검 결과, 프런티어 AI는 수백만에서 수천만 라인에 달하는 방대한 소스코드를 수시간 내 분석하는 등 취약점 탐색에 강점을 보였다. 기존 취약점을 넓은 범위에서 일관되게 탐색하고, 이용자 경험이나 역량에 따른 실력 편차 없이 신속하게 취약점을 찾아내는 데 효과적인 것으로 나타났다. 금융권은 침입차단·방지시스템 등 다양한 보안조치를 적용하고 있어 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않으나, 외부 노출 전산자산의 공격표면 식별·관리, 신속한 보안패치, AI를 활용한 대응체계 구축 등 대응력 강화 필요성이 제기됐다.

정부는 제2차 테스트 신청상황과 1·2차 테스트 진행 경과를 바탕으로 제3차 테스트의 시기와 선정 규모를 신속히 확정할 예정이며, 추가 신청 수요에 따라 망분리 규제 긴급 완화 조치의 추가 차수 운영과 상시 제도화 방안도 적극 검토할 계획이다. 제1차 테스트 종료 후에는 발견된 취약점 유형, AI 점검 특징 및 활용 노하우, 보안 대응요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 등 후속 조치가 추진된다.

유영준 디지털금융정책관은 "AI를 활용한 침해위협이 점차 현실로 다가오는 상황에서 보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여하여 침해위협에 든든히 대비토록 하는 것이 중요한 시점"이라며 "테스트 결과 축적된 AI 보안위협 특성, 대응 요령 등을 즉각 전 금융권에 전파하여 테스트 미참여 금융회사도 보안위협에 충분히 대응하도록 만전을 기해 나갈 예정"이라 말했다. 이어 "금융권이 보안목적 등에 한정되지 않고 AI 기술을 보다 다각적·상시적으로 활용할 수 있도록, 고도의 AI·보안역량을 갖춘 대상부터 망분리 규제를 전면 해제 하는 방안도 관계기관과 긴밀히 논의 중"이라고 덧붙였다.

[email protected] 박문수 기자