금전피해 1억원 미만 등 기준…소비자 보호조치 필요
|
금융위원회는 지난달 30일 김범기 상임위원이 주재한 면책심의위원회에서 AI 보안 테스트와 보안패치 과정에서 발생하는 전산장애에 대한 면책 조치를 심의·의결했다고 2일 밝혔다. 또 금융사들이 AI 보안 위협에 대응할 수 있도록 행동 요령을 담은 '프런티어 AI 보안위협 금융분야 대응요령'도 마련해 배포했다.
이번 조치는 '미토스' 등 프런티어 AI로 인한 보안 위협에 금융권이 대응할 수 있도록 하기 위한 후속 조치로서 이뤄졌다. 앞서 금융위는 지난 5월 22일 권대영 부위원장 주재로 열린 AI 보안위협 대응 간담회 이후 금융감독원, 금융보안원 등 관계기관과 면책 범위 및 가이드라인 세부 항목을 논의해왔다.
면책 항목은 크게 두 가지다. 금융사가 보안 목적 AI를 활용해 상시 취약점을 파악하거나, 자동화된 침투 시도 등 보안테스트를 시행하는 경우가 포함된다. 또 금융위와 금감원, 금융보안원 등이 전파하는 보안 취약점에 대해 긴급 보안패치나 이에 준하는 전산장비 변경을 진행하는 경우도 대상이다.
다만 모든 전상장애가 면책되는 것은 아니다. 경미한 전산장애에 대해 신속한 복구 수단과 소비자 보호조치를 마련하고 이행했는지 여부 등을 따진다. 금융위는 '경미한 전산장애'의 기준으로 고의성이 없고 금전 피해가 1억원 미만인 경우를 제시했다. 시스템 장애 시간은 최대 4시간 이내, 고객정보 유출은 개인신용 정보를 제외하고 1만건 미만이어야 한다.
금융사는 사전 테스트와 피해 확산 방지, 서비스 연속성 확보 방안을 포함한 작업 계획서를 마련해 신속하게 복구하고, 소비자 피해가 발생할 경우 구제 방안도 마련해 실행해야 면책을 받을 수 있다. 면책 범위에는 기관과 임직원에 대한 제재 및 과태료 등이 포함된다.
다만 신용정보법상 개인신용정보 유출 사고가 발생한 경우에는 이번 면책조치와 관계업싱 해당 법에 따른 제재가 적용된다.
함께 배포된 가이드라인은 6개 분야로 구성됐다. 금융회사의 경영진 책임 강화와 취약점 및 패치 관리, 자산·공급망 관리, AI 기반 방어 자동화, 금융권 공동대응 및 복원력 강화, 침해 확산 방지 체계가 핵심이다. 금융위는 향후 프런티어 AI 관련 국내외 상황 변화와 망분리 규제 완화를 통한 AI 보안테스트 결과 등을 반영해 가이드라인을 보완할 계획이다.
금융위 관계자는 "이번 면책 방안과 가이드라인 배포를 통해 금융업계가 보다 적극적이고 신속하게 전산자원 관리와 취약점 탐지, 보안패치 적용 등 관리강화 조치에 나서줄 것을 기대한다"고 말했다.
