금융권 망분리 완화 대상 49→75곳 확대

금융당국이 인공지능(AI)을 활용한 금융권 보안 취약점 점검을 확대하기 위해 망분리 규제를 추가로 완화한다. 참여 대상을 기존 49개사에서 75개사로 넓히고 선정 규모도 10개사에서 최대 15개사로 늘린다.

금융위원회는 3일 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 '프런티어 AI 상황대응반' 5차 회의를 열고 이 같은 내용의 제2차 망분리 규제 긴급완화 조치를 확정했다고 밝혔다.

이번 조치는 지난 6월 시작한 1차 테스트보다 신청 요건을 낮춰 제2금융권과 전자금융업자에도 참여 기회를 확대하는 것이 핵심이다. 선정된 회사는 망분리를 대신할 보안 통제수단을 마련한 뒤 프런티어 AI와 보안 서비스형 소프트웨어(SaaS)를 이용해 전산시스템의 취약점을 탐지하고 개선할 수 있다.

금융회사의 신청 기준은 '총자산 10조원 이상·상시 종업원 1000명 이상'에서 '총자산 2조원 이상·상시 종업원 300명 이상'으로 완화된다. 다만 정보보호의 독립성과 책임성을 확보하기 위해 정보보호최고책임자(CISO)가 다른 정보기술 업무를 겸직하지 않는 회사만 신청할 수 있다. 해당 기준을 충족하는 금융회사는 59곳이다.

전자금융업자에는 별도의 기준을 적용한다. 연간 전자금융거래 금액이 2조원 이상이고 전자금융업 관련 매출이 전체 매출의 10%를 넘어야 한다. 금융회사와 마찬가지로 CISO가 다른 정보기술 업무를 겸직해서는 안 된다. 신청 요건을 충족하는 전자금융업자는 16곳이다.

이에 따라 2차 테스트 신청 대상은 금융회사 59곳과 전자금융업자 16곳 등 총 75곳으로 1차 때보다 26곳 늘어난다. 금융위는 이 가운데 최대 15곳을 선정할 예정이다.

참여를 희망하는 회사는 오는 14일까지 신청하면 된다. 금융위는 민간기술자문단 등을 통해 신청 회사의 보안 역량과 AI 활용 능력을 심사한 뒤 다음 달 7일 금융위 보고를 거쳐 1년간 유효한 비조치의견서를 발급할 계획이다.

선정된 회사는 데이터 유출과 외부 침해 등 보안사고를 막기 위한 망분리 대체 통제수단을 마련해야 한다. 테스트를 통해 파악한 AI 보안 위험의 특성과 공격에 악용될 가능성, 대응 요령 등도 정부에 제출해야 한다. 금융위는 이를 금융권 AI 가이드라인 개정과 보안대책 마련에 활용할 방침이다.

금융위는 1·2차 테스트 진행 상황과 추가 수요를 살펴 3차 테스트 시기와 선정 규모를 확정할 계획이다. 긴급완화 조치를 추가로 운영하거나 이를 상시 제도화하는 방안도 검토한다.

유영준 금융위 디지털금융정책관은 "AI 보안위협의 특성과 대응 요령을 전 금융권에 전파해 테스트에 참여하지 않은 금융회사도 충분히 대비하도록 하겠다"며 "고도의 AI·보안 역량을 갖춘 금융회사부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의하고 있다"고 말했다.