|
이번 조치는 금융회사가 보안 취약점을 찾는 데 프런티어 AI(현재 가장 성능이 뛰어난 최첨단 AI 모델)와 클라우드 기반 보안 서비스(SaaS) 등을 활용할 수 있도록 한시적으로 망분리 규제를 완화하는 내용이다.
2차 테스트에서는 신청 자격이 대폭 완화된다. 금융회사의 경우 기존 ‘총자산 10조원 이상·상시 종업원 1000명 이상’에서 ‘총자산 2조원 이상·상시 종업원 300명 이상’으로 낮아진다. 다만 정보보호최고책임자(CISO)가 다른 정보기술 업무를 겸직하지 않는 회사만 신청할 수 있다. 이를 충족하는 금융회사는 59곳이다.
전자금융업자에도 별도 신청 기준을 마련했다. 연간 전자금융거래 금액이 2조원 이상이면서 전자금융업 관련 매출이 전체 매출의 10%를 넘어야 한다. CISO의 다른 정보기술 업무 겸직도 허용되지 않는다. 기준을 충족하는 전자금융업자는 16곳이다.
이에 따라 전체 신청 대상은 1차 49곳에서 2차 75곳으로 늘어난다. 최종 선정 규모도 10곳에서 15곳 이내로 확대된다.
선정된 금융회사 또는 전자금융업자는 제1차 테스트와 마찬가지로 보안 취약점 탐지·개선 등 목적으로 프런티어 AI, 보안SaaS 등을 활용할 수 있다. 다만 데이터 유출과 외부 침해 등 보안사고 위험을 줄이기 위해 망분리 대체 통제수단을 마련해야 한다.
또 테스트 결과 확인된 △AI 보안 위험성의 특성 △공격용도 활용 시 예상되는 위험성 △효과적인 방어를 위한 대응요령 등과 주요결과를 정부에 보고해야 한다.
이날 회의에서 금융권은 프런티어 AI를 통해 발견된 1차 테스트 회사의 취약점이 즉시 침해사고로 이어질 가능성은 크지 않다고 봤다. 그럼에도 향후 AI를 활용한 침해위협에 대비해 △외부에 노출되는 전산자산 등 공격표면 식별·관리 강화 △신속한 보안패치 등 대응속도 강화 △‘AI는 AI로 방어하는’ 대응체계 구축 등이 필요하다는 의견이 나왔다.
유영준 금융위 디지털금융정책관은 “테스트 결과 축적된 AI 보안위협 특성, 대응 요령 등을 즉각 전 금융권에 전파해 테스트 미참여 금융회사도 보안위협에 충분히 대응하도록 전력을 기울일 예정”이라고 말했다. 이어 “금융권이 보안목적 등에 한정되지 않고 AI 기술을 보다 다각적·상시로 활용할 수 있도록 할 것”이라며 “고도의 AI·보안역량을 갖춘 대상부터 망분리 규제를 전면해제 하는 방안도 관계기관과 긴밀히 논의 중”이라고 밝혔다.
