[논현논단-유주선 칼럼] 금융보안, ‘실시간 방어체계’로 개편을

국가안보 과제 떠오른 디지털 금융
EU는 IT 관련사도 감독대상에 포함
초연결로 인한 시스템적 위협 차단

2022년 발생한 카카오 데이터센터 화재로 인한 대규모 금융서비스 중단 사태는 디지털 금융 인프라의 운영 취약성을 사회적으로 각인시켰다. 이처럼 단일 지점의 물리적·기술적 장애가 사회 전반의 광범위한 금융 마비와 경제적 손실로 직결될 수 있는 것이다. 이제 디지털 금융의 ‘운영 탄력성(Operational Resilience)’ 확보는 개별 금융회사의 전산 문제가 아닌 국가적 차원의 핵심 안보 과제에 해당한다. 그럼에도 불구하고 현행 ‘전자금융거래법’ 및 하위 ‘전자금융감독규정’을 중심으로 한 국내 금융보안 규제 체계는 이러한 사이버 위험에 수동적 구조에 머물러 있다.

현행 규제 체계는 약 300개의 구체적 세부 행위규칙을 규정하고, 금융회사가 이를 수동적 준수 강제를 바탕으로 이행하는 경직적 엄격한 통제 모델에 기반하고 있다. 이러한 사전적 규제 체계는 금융회사들로 하여금 고도화되는 사이버 위협에 능동적으로 대응하기 어려운 구조다. 또한, 금융회사가 법적 체크리스트만 충족하면 면책될 수 있다는 점에서, ‘형식적 컴플라이언스’를 초래할 수 있다.

보안·해킹 분야에 특화된 차세대 AI 모델로서 앤스로픽 AI 미토스(Mythos)는 취약점 탐지와 공격 시뮬레이션까지 수행 가능성을 보여주었다. 하지만 AI 미토스는 공격자의 악의적인 이용 시 해킹 자동화, 무방비 상태의 보안 결함의 제로데이 취약점 등을 노출시켰다. 이 모델이 금융망 마비 및 국가 기반 시설 해킹 등 예측할 수 없는 피해를 야기할 수 있음을 의미한다. 지금까지의 AI는 질문하면 답을 말해 주는 도구로서 기능을 하였다면, AI 에이전트는 스스로 읽고 판단하고 실행까지 행위를 하는 주체이다. 이는 AI가 야기할 수 있는 위험이 더욱 확대되었음을 의미한다. 이제 우리는 AI 에이전트가 행사할 수 있는 ‘권한 범위’, AI 에이전트의 일부 행위에 대한 ‘사람의 승인 여부’, AI 에이전트의 모든 행위에 대하여 기록을 남겨 ‘추적 감사 여부’ 등이 논의될 필요가 있다.

유럽연합(EU)은 조각조각 흩어져 있던 기존의 금융 보안 규제를 규제 정합성 관점에서 전면 개편하였다. 초연결 디지털 금융 생태계의 복합적 정보통신기술 리스크에 대하여 선제적으로 대응하기 위해 2022년 12월 ‘디지털 운영 탄력성법(DORA: Digital Operational Resilience Act)’을 제정하였다. 이 법률은 2025년 1월부터 시행되고 있다. DORA의 제정은 단일 금융기관 내부의 기술적 방화벽 구축이나 사후적 처벌 중심의 전통적 패러다임에서 완전히 탈피하여, 금융 생태계 전체가 외부의 고도화된 사이버 위협으로부터 스스로 서비스를 지속할 수 있는 거시적 차원의 ‘운영 탄력성’을 확보함에 있다.

유럽연합의 DORA는 “자율성을 가진 인공지능을 어떻게 안전하게 통제하여 금융시스템의 회복탄력성을 유지할 것인가”에 대한 물음과 밀접하게 연관되어 있다. AI 에이전트가 스스로 판단하고 응용프로그램인터페이스(API)를 호출하여 송금, 투자, 계약 등의 실행까지 담당함에 따라, AI 오작동, 환각 현상, 예상치 못한 루프(Loop) 오류는 금융기관의 시스템 미비나 대규모 금융사고를 초래할 수 있다. 대다수 금융기관은 AI 에이전트 엔진이나 대형언어모델(LLM)을 외부 빅테크의 클라우드 인프라를 통해 도입하게 된다. 금융기관에 핵심 기술을 제공하는 ‘핵심 정보통신기술(ICT) 제3자 서비스제공업체’까지 직접 규제 범위에 포함되어야 하는 이유가 바로 여기에 있다.

DORA의 혁신적 내용은 규제의 스펙트럼을 전통적인 금융회사를 넘어 금융 플랫폼과 연동되어 데이터를 처리하는 클라우드 컴퓨팅 서비스, 데이터 분석 프레임워크, API 제공업체 등 ‘핵심 제3자 ICT 서비스 제공자’까지 직접적인 감독·제재 대상이라는 점이다. 현대 디지털 금융 플랫폼이 다수의 제3자 서비스제공업체와 API로 연동되어 작동하는 초연결적 특성을 고려하여, 생태계 내 가장 약한 고리를 통해 전이되는 시스템적 위험이 법·제도적으로 차단되어야 할 필요가 있다고 하겠다.

국내 금융 보안의 상징적 제도로 기능해 온 물리적 망분리 규제는 외부 침입을 차단하는 데는 기여한 바 있다. 하지만 외부망 연결이 필수적인 클라우드 기반 SaaS나 생성형 AI 등 혁신 기술의 금융권 도입을 원천 봉쇄하여 글로벌 시장에서의 디지털 경쟁력을 떨어뜨리는 요인에 해당한다. 금융당국은 기존의 경직된 사전 규제에서 탈피하여 금융회사가 스스로 리스크를 식별하고 책임지는 ‘사후적 실시간 즉각적 규제 방식’으로 패러다임을 전환하는 ‘디지털금융안전법’ 제정에 신속하고도 만전을 기해야 할 것이다.