금융위, AI 보안 테스트 확대…망분리 규제 완화 대상 15곳으로

기존 10개사서 확대…망분리 규제 한시 완화 범위 넓혀
중소 금융사·전자금융업자까지 참여 문턱 낮춰

(금융위원회)

금융당국이 금융회사의 AI 보안위협 대응 역량을 높이기 위해 망분리 규제 완화 테스트 참여기관을 기존 10개사에서 최대 15개사로 확대한다. 신청 요건도 완화해 중소 금융회사와 전자금융업자까지 참여할 수 있도록 했다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원·금융보안원 등이 참여한 ‘프런티어 AI 상황대응반’ 5차 회의를 열고 보안목적 AI 활용을 위한 ‘제2차 망분리 규제 긴급 완화 조치’ 세부방안을 확정했다고 밝혔다.

2차 테스트에서는 실제 참여기관 선정 규모가 1차 때 10개사에서 최대 15개사로 늘어난다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 서비스형 소프트웨어(SaaS) 등을 활용해 보안 취약점을 탐지·개선할 수 있다.

신청 대상도 1차 테스트 당시 49개사에서 75개사로 확대된다. 이 가운데 금융회사는 59개사, 전자금융업자는 16개사다.

금융회사 신청 기준은 기존 ‘총자산 10조원 이상·상시 종업원 1000명 이상’에서 ‘총자산 2조원 이상·상시 종업원 300명 이상’으로 완화된다. 다만 정보보호최고책임자(CISO)가 다른 IT 부문 업무를 겸직하지 않는 회사로 한정한다.

전자금융업자에는 별도 신청 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이고 전자금융업 관련 매출액이 전체 매출액의 10%를 넘어야 한다. 금융회사와 마찬가지로 CISO가 다른 IT 부문 업무를 겸직하지 않아야 한다.

참여를 원하는 금융회사와 전자금융업자는 3일부터 14일까지 신청할 수 있다. 민간기술자문단 등이 이달 중 신청 회사의 보안 역량과 AI 활용 능력을 평가하고 금융위 보고를 거쳐 10월 7일께 선정 결과를 확정할 예정이다. 선정 회사에는 1년 한시로 망분리 규제 관련 비조치의견서가 발급된다.

금융당국은 1차 테스트를 통해 프런티어 AI의 취약점 탐색 능력도 확인했다. 프런티어 AI는 수백만~수천만 줄에 달하는 소스코드를 수시간 안에 분석했으며 기존 취약점을 넓은 범위에서 일관되게 탐색하는 데 강점을 보였다.

다만 금융권이 침입차단·방지 시스템 등 다양한 보안조치를 적용하고 있어 발견된 취약점이 곧바로 침해사고로 이어질 가능성은 크지 않은 것으로 평가됐다. 금융당국은 향후 AI 기반 침해위협 확대에 대비해 외부 노출 전산자산 관리와 신속한 보안패치, ‘AI는 AI로 방어하는’ 대응체계 구축 등이 필요하다고 봤다.

금융위는 2차 테스트 신청 상황과 1·2차 테스트 진행 경과를 토대로 3차 테스트 시기와 선정 규모를 확정할 계획이다. 추가 신청 수요 등을 고려해 망분리 규제 긴급 완화 조치의 추가 운영과 상시 제도화 방안도 검토한다.

유영준 금융위 디지털금융정책관은 “보다 폭넓은 금융회사와 전자금융업자까지 AI 보안 테스트 기회를 부여해 침해위협에 대비하도록 하는 것이 중요한 시점”이라며 “AI·보안 역량을 갖춘 곳부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의하고 있다”고 말했다.