[ 개요 ]

  ’26.9.3.(목) 금융위원회는 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 함께「프런티어 AI 상황대응반」5차 회의를 개최하여, 보안목적 AI 활용을 위한 “제2차 망분리 규제 긴급완화 조치” 세부방안을 확정하였다.

  동 방안은 금융위「적극행정위원회」등 적극적·긴급한 조치 필요성에 대한 민간 전문가의 심의와「민간 기술자문단」등 AI·보안 부문에서 고도의 전문성을 갖춘 위원들의 자문 등을 바탕으로 마련되었으며 금일 회의에서 논의·확정되었다.

[ 제2차 망분리 규제 긴급 완화 조치 주요내용 ]

  제2차 망분리 규제 긴급완화 조치(이하 테스트)에서는 제2금융권, 전자금융업자 등 보다 다양한 금융회사가 프런티어 AI를 활용한 테스트에 참여할 수 있도록 신청 자격과 선정 규모를 확대한다.

   지난 6월 엄격한 요건 아래 실시된 제1차 테스트를 통해 운영 경험 등이 축적된 만큼, 안전한 테스트가 가능한 범위에서 참여 기회를 넓혀 금융권 전반의 프런티어 AI 보안위협 대응 역량을 높이려는 취지다.

  제2차 테스트 신청대상 회사는 총 75개사이다. 제1차 테스트 신청대상인 49개사 보다 26개사가 늘어난다. 선정 규모도 기존 10개사에서 15개사로 확대된다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS 등을 활용해 보안 취약점을 탐지·개선할 수 있다.

  구체적으로, 금융회사 신청 기준은 ‘총자산 10조원 이상, 상시 종업원 수 1,000명 이상’에서 ‘총자산 2조원 이상, 상시 종업원 수 300명 이상’으로 완화된다. 다만, 정보보호의 책임성·독립성 확보 등을 위해 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 동 기준을 충족하는 금융회사는 총 59개사이다.

  전자금융업자는 전자금융거래를 매개하는 업종 특성상 해킹 등 취약점 관리가 매우 중요하나, 금융회사와 같은 자산·인력 기준을 적용하여서는 충분한 신청기회를 부여하기 어려운 점을 감안하여 별도의 신청 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이고, 전자금융업 관련 매출액이 총 매출액의 10%를 초과해야 한다. 아울러 금융회사와 같이 CISO가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 동 기준을 충족하는 전자금융업자는 총 16개사이다.

  제2차 테스트 참여를 희망하는 금융회사와 전자금융업자는 9월 3일부터 9월 14일까지 신청할 수 있다. 신청한 금융회사에 대해서는「민간기술자문단」등에서 9월 중 신청 회사의 보안역량, AI활용능력 등을 평가할 예정이다. 평가 결과를 토대로 금융위원회 보고(10월 7일 잠정)를 거쳐 망분리 규제에 관한 비조치의견서(1년 한시)가 발급된다.

   선정된 금융회사 또는 전자금융업자는 제1차 테스트와 마찬가지로 보안 취약점 탐지·개선 등 목적으로 프런티어 AI, 보안SaaS 등을 활용할 수 있다. 다만, 망분리 규제가 완화되는 만큼, 데이터 유출과 외부 침해 등 보안사고 위험을 줄이기 위해 망분리 대체 통제수단을 마련해야 한다.

   또한, 테스트 결과 확인된 ▲AI 보안 위험성의 특성, ▲공격용도 활용시 예상되는 위험성, ▲효과적인 방어를 위한 대응요령 등과 주요결과를 정부에 보고하여야 한다. 정부는 제출된 정보를 AI 가이드라인 개정, 보안대책 마련 등에 적극 활용할 예정이다.

   정부는 제2차 테스트 신청상황과 제1차·제2차 테스트 진행 경과를 바탕으로 제3차 테스트의 시기와 선정 규모를 신속히 확정할 계획이다. 아울러 추가 신청 수요 등을 고려하여 추가적인 망분리 규제 긴급 완화 조치 차수 운영, 상시 제도화 방안 등도 적극적으로 검토해 나갈 방침이다.

<※참고>망분리 규제 긴급 완화 테스트 1차·2차 비교

[ 제1차 망분리 규제 긴급 완화 조치 중간점검 결과]

 금번 회의에서는 현재 진행중인 제1차 테스트 경과와 정책적 함의에 대한 논의도 이루어졌다.

  프런티어 AI는 ‘수백만에서 수천만 라인’에 달하는 방대한 소스코드(Source code)등을 수시간 내 분석하는 등 취약점 탐색기능이 매우 우수한 것으로 나타났다.

  특히, 기존 취약점을 넓은 범위에서 일관되게 누락 없이 탐색하는데 강점을 가진 것으로 나타나, 침해위협 방어·공격 측면에서 이용자의 경험·역량 등에 따른 실력 편차 없이 취약점을 신속히 찾아내는 수단으로 활용될 가능성이 있다는 점이 확인되었다.

  발견된 취약점들을 분석한 결과, 금융권은 침입차단·방지시스템 등 다양한 보안조치를 적용하고 있어 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않으나, 향후 AI를 활용한 침해위협이 본격화된 경우에 대비해 ▲외부에 노출되는 전산자산 등 공격표면 식별·관리 강화, ▲신속한 보안패치 등 대응속도 강화, ▲‘AI는 AI로 방어하는’ 대응체계 구축 등 다양한 측면의 대응력 강화가 필요하다는 의견이 제시되었다.

  정부는 제1차 테스트가 종료되면, ^▲발견된 취약점 유형, ^▲AI 점검의 특징과 활용 노하우, ^▲보안 대응요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 조치 등을 신속히 추진할 계획이다.

  금융위원회 유영준 디지털금융정책관은 “AI를 활용한 침해위협이 점차 현실로 다가오는 상황에서 보다 폭넓은 금융회사·전금업자까지 AI 보안 테스트 기회를 부여하여 침해위협에 든든히 대비토록 하는 것이 중요한 시점”이라 언급하며, “제2차·제3차 테스트가 충실·신속하게 이루어질 수 있도록 최선을 다할 것이며, 테스트 결과 축적된 AI 보안위협 특성, 대응 요령 등을 즉각 전 금융권에 전파하여 테스트 미참여 금융회사도 보안위협에 충분히 대응하도록 만전을 기해 나갈 예정”이라 밝혔다. 아울러, “금융권이 보안목적 등에 한정되지 않고 AI 기술을 보다 다각적·상시적으로 활용할 수 있도록, 고도의 AI·보안역량을 갖춘 대상부터 망분리 규제를 전면해제 하는 방안도 관계기관과 긴밀히 논의중이며, 신속히 방안을 구체화해 나가겠다”고 하였다.