금감원, AI 보안 미흡 금융사 밀착관리…기본통제 부실 사고엔 엄중조치

|스마트투데이=안효건 기자| 금융감독원이 프런티어 인공지능(AI) 기반 사이버 위협 대응이 미흡한 금융회사를 밀착감시하고 현장점검과 경영진 면담 등을 통해 집중 관리한다. 형식적인 자율시정으로 IT 기본통제 미흡이 원인이 된 대규모 사고가 발생하면 엄중 조치할 방침이다.

금감원은 9일 업권별 주요 금융회사 16곳의 정보보호최고책임자(CISO)와 전 금융권 CISO 간담회를 열고 AI 기반 보안 위협 대응 상황을 점검했다고 밝혔다.

금감원은 금융회사 대부분이 IT 위험관리 체계를 마련하고 있지만 AI 기반의 새로운 보안 위협에 대응하려면 경영진 중심의 전사적 관리체계를 한층 강화해야 한다고 주문했다.

특히 시스템과 프로그램, 클라우드, 오픈소스 등 모든 IT 자산을 식별·관리하고 취약점 관리와 연계하도록 했다. 자산과 업무 중요도, 위험 노출도에 따라 보안 패치 우선순위를 정하고 패치 적용 과정을 내재화·자동화하는 방안도 제시했다.

대응이 미흡한 금융회사에 대해서는 밀착감시와 현장점검, 경영진 면담 등을 통해 집중 관리할 계획이다.

AI를 활용한 보안체계 고도화와 별개로 기본적인 IT 통제 준수도 강조했다. 금감원은 최근 주요 IT 사고 원인의 상당 부분이 중요 보안패치 미적용, 퇴직자 계정이나 불필요한 서비스 포트 방치, 이용자정보 암호화 미흡, 프로그램 변경 테스트 미흡 등 기본통제 부실과 관련됐다고 설명했다.

금감원은 지난 7월부터 오는 11월까지 전 금융권을 대상으로 IT 기본통제 운영실태 자율시정을 진행하고 있다. 정보처리시스템 보호와 전산자료 보호, 해킹 방지, 공개용 웹서버 관리, 프로그램 변경통제 등 5개 부문을 점검한다.

적극적인 자율시정으로 미흡사항을 충실히 보완한 경우 경미한 사고가 발생하더라도 제재 감면을 적극 검토한다. 반대로 형식적·소극적인 자율시정으로 기본통제 미흡이 원인이 된 대규모 IT·침해사고가 발생하면 최대한 엄중 조치한다는 방침이다.

보안 취약점 공개 건수도 빠르게 늘고 있다. 미국 국립표준기술연구소(NIST)의 신규 취약점 공개 건수는 지난해 상반기 2만3664건에서 올해 상반기 3만5872건으로 51.6% 증가했다. 한국인터넷진흥원(KISA) 보안 공지도 같은 기간 136건에서 199건으로 46.3% 늘었다.

금융당국은 보안 목적 AI 활용을 위한 망분리 규제 완화도 확대하고 있다. 2차 테스트 신청 대상은 1차 49개사에서 75개사로 늘었고, 선정 규모는 10개사에서 15개사로 확대됐다.

금감원은 망분리 완화 테스트에서 확인되는 AI 보안 위험의 특징과 예상 공격 수법, 효과적인 방어 방법 등을 금융권에 공유하고 AI 보안 가이드라인에 반영할 계획이다.