AI 보안 테스트하다 장애 나도 면책…금융권 '프런티어 AI' 대응 지원

[이데일리 최정훈 기자] 금융당국이 고성능 인공지능(AI) 시대에 금융회사의 보안 대응을 지원하기 위해 보안 테스트와 긴급 보안패치 과정에서 발생하는 경미한 전산장애에 대해 면책하기로 했다. AI 기반 사이버 공격에 적극 대응하도록 제재 부담을 덜어주는 한편, 금융권이 활용할 AI 보안 대응 가이드라인도 처음 마련했다.

금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안 테스트와 보안패치 과정에서 발생한 전산장애에 대한 면책 방안을 의결하고 ‘프런티어 AI 보안위협 금융분야 대응요령’을 마련해 배포했다고 2일 밝혔다.

이번 조치는 지난 5월 열린 ‘고성능 AI 보안위협 대응 간담회’의 후속조치다. 금융당국은 최근 ‘미토스(Mythos)’ 등 프런티어 AI 등장으로 사이버 공격 수준이 크게 고도화되면서 금융회사들이 보다 적극적으로 보안 점검과 취약점 보완에 나설 수 있는 환경을 마련할 필요가 있다고 설명했다.

그동안 금융권에서는 AI를 활용한 보안 테스트나 긴급 보안패치 과정에서 예기치 않은 전산장애가 발생할 경우 제재를 받을 수 있다는 우려 때문에 적극적인 대응이 어렵다는 지적이 제기돼 왔다.

이에 따라 앞으로는 금융회사가 보안 목적의 AI를 활용해 취약점을 점검하거나 금융위원회·금융감독원·금융보안원이 전파한 보안 취약점에 대해 긴급 패치를 적용하는 과정에서 경미한 전산장애가 발생하더라도 일정 요건을 충족하면 기관 제재와 임직원 신분제재, 과태료 등을 면제받을 수 있다.

면책 대상은 금융보안원의 AI 취약점 점검이나 보안목적 AI 테스트 참여기관 등이 수행하는 보안 테스트와 긴급 보안패치 등이다. 다만 고의성이 없고 금전 피해가 1억원 미만, 장애 시간이 4시간 이내인 경미한 사고여야 하며 사전 테스트와 복구계획, 소비자 보호조치를 마련하고 신속히 이행한 경우에 한해 면책이 인정된다. 개인신용정보 유출 사고는 이번 면책 대상에서 제외된다.

금융위는 이와 함께 금융회사의 AI 보안 대응 역량을 높이기 위한 가이드라인도 마련했다. 가이드라인에는 이사회와 최고경영자(CEO)의 AI 보안 책임 강화, 취약점 및 패치 관리, IT 자산·공급망 관리, AI 기반 보안 자동화, 금융권 공동 대응체계 구축, 제로트러스트 기반 침해 확산 방지 등 6개 분야의 대응 원칙이 담겼다.

특히 AI 공격에 대응하기 위해 최고정보보호책임자(CISO) 중심의 전담 대응체계를 구축하고, 취약점 발견부터 패치까지의 시간을 단축하는 한편, 금융회사 간 위협정보를 공유하는 공동 대응체계를 강화할 필요가 있다고 제시했다.

금융위는 이번 가이드라인은 권고 성격으로 이를 따르지 않는다고 제재를 받는 것은 아니며, 향후 AI 보안 테스트 결과와 국내외 환경 변화를 반영해 지속적으로 보완할 계획이라고 전했다.