AI 보안 강화도 ‘규모의 벽’…저축은행, 망분리 완화 문턱 넘을까

망분리 규제 완화 제2차 테스트 문턱 낮아져
저축은행 6곳 기준 부합…선정 일정은 미뤄져
2금융권, 자본과 인력 부족해 AI 적용 더 필요

본 이미지는 AI로 생성된 이미지입니다.

금융권 해킹 사고가 잇따르면서 인공지능(AI)을 활용한 보안 취약점 탐지와 대응 역량 강화의 중요성이 커지고 있다. 금융당국도 AI를 활용한 보안 체계 구축을 위해 망분리 규제 완화 대상을 확대하고 있지만, 상대적으로 투자 여력이 부족한 저축은행업권까지는 아직까지 확대되지 않았다. AI를 활용한 보안 위협이 현실화된 만큼 제도적 혜택의 적용 범위와 속도를 높여야 한다는 지적도 나오고 있다.

16일 금융권에 따르면 금융위원회는 이달 7일로 예정되어 있던 제2차 망분리 규제 완화 대상 금융회사 선정 일정을 미뤘다. 지난 6월 시행한 1차 테스트보다 참여 대상을 넓혀 중소 금융회사와 전자금융업자까지 신청 요건을 완화했지만, 금융권에서 연쇄적으로 발생한 해킹 사태로 인해 발표를 미뤘다. 당국은 정책 자체를 중단하는 것은 아니라고 이야기했지만, 추후 일정은 아직 확정되지 않았다.

금융사는 보안상의 이유로 외부 인터넷망과 내부 금융망을 분리해 운영한다. 이 같은 망분리로 인해 외부 AI 서비스나 보안 도구를 내부 시스템에 활용하기 어려워 취약점 점검과 보안 업무 자동화에도 제약이 따른다. 다만 망분리를 완화하는 지점에 대해서는 추가적인 보안 강화가 이뤄져야 하는 만큼, 충분한 점검이 필요한 상황이다.

이에 금융위원회는 지난 6월 1차 망분리 완화 테스트를 진행한다고 밝히며 총자산 10조원 이상, 상시 종업원 수 1000명 이상이라는 신청 기준을 내놨다. 1차 테스트에 선정된 10개사는 망분리 대체 수단을 마련한 뒤 프런티어 AI와 보안 SaaS(소프트웨어 기반 서비스) 등을 활용해 보안 취약점을 점검하고 개선했다. 1차 망분리 테스트에서는 AI를 통해 소스코드(Source code) 분석 등의 시간을 대폭 줄이는 등 취약점 탐색 기능이 우수한 것으로 나타났다.

하지만 저축은행을 포함한 2금융권은 선정 기준에 미치지 못해 사실상 테스트에 참여할 수 없었다. 2금융권에서는 1금융권에 비해 자본과 인력이 부족한 만큼 AI를 활용한 정보보호 강화의 필요성이 더 높다는 목소리가 나왔다. 지난달 발표한 2차 테스트는 총자산 2조원 이상, 상시 종업원 수 300명 이상으로 요건을 완화하면서 신청대상 회사가 49개에서 75곳으로 늘어났다.

저축은행업권에서는 상반기 말 기준으로 SBI·OK·한국투자·웰컴·애큐온·페퍼저축은행 등이 신청 기준을 충족한 것으로 확인된다. 다올저축은행은 상반기 말 기준 총자산은 4조2356억원으로 충분하지만, 임직원 수가 297명이다. 페퍼저축은행 역시 임직원 수가 337명으로 상시 종업원 수로 환산했을 때 요건에 미치지 못할 수 있다.

저축은행업권의 참여 여부와 별개로, 테스트에 선정되지 못한 금융회사들이 AI 보안 역량을 어떻게 확보할지도 과제다. 금융위는 테스트에서 확인한 취약점 유형, AI 점검 특징과 활용 노하우, 대응 요령 등을 전 금융권에 전파하고 관련 가이드라인 개정에도 활용하겠다는 방침이다. 다만 업권별 보안 투자 여건과 인력 격차가 큰 상황에서 이러한 조치만으로 실질적인 보안 역량 차이를 줄일 수 있을지는 추가 검토가 필요하다.

김환국 국민대 정보보안학과 교수는 "업무의 편의성을 고려하더라도 결국 망분리는 일정 부분 완화해야한다"며 "금융권에 있는 데이터들이 민감한 정보인 경우가 많아 망분리 규제가 더 강한 성격이 있는데, 금융회사의 역량에 비례해서 망분리 적용 범위 등의 로드맵을 수립하는 게 좋은 거 같다"고 말했다.