대형 금융사 취약점 평가 연 2회로 확대…AI 방어체계·망분리 규제 개편 추진
[메가경제=박선영 기자] 금융당국이 잇따른 해킹과 개인정보 유출 사고에 대응해 은행·증권·보험·가상자산업체 등 금융권 전반의 보안관리 체계를 전면 개편한다. 약 580개 금융회사를 대상으로 연말까지 정보기술(IT) 자산과 내부통제 실태를 조사하고, 중대한 관리 부실이 확인되면 최고경영자(CEO)를 포함한 경영진의 책임까지 묻기로 했다. 인공지능(AI)을 활용한 사이버 공격에 대응하기 위해 금융권 망분리 규제 개편과 실시간 위협정보 공유체계 구축도 추진한다.
금융위원회는 5일 서울 여의도 금융보안원 분원에서 이억원 위원장 주재로 'AI 시대 보안체계 혁신을 위한 전 금융권 간담회'를 열고 이 같은 방안을 발표했다.
 |
| ▲ 금융위원회 MI [이미지=금융위원회 홈페이지] |
회의에는 금융감독원과 금융보안원을 비롯해 은행·증권·보험·전자금융·가상자산 등 금융권 협회장들이 참석했다. 국무조정실, 과학기술정보통신부, 행정안전부, 개인정보보호위원회, 방송미디어통신위원회, 경찰청, 한국인터넷진흥원 등 관계기관도 참여했다.
◊ 37개사서 해킹 40건…자금탈취 피해 약 10억원
금융당국에 따르면 지난 9월 30일부터 11월 3일까지 금융회사 37곳에서 총 40건의 침해사고가 신고됐다. 이 과정에서 유출된 정보는 약 47만 3000건으로 집계됐다.
업권별로는 전자금융업체가 10곳으로 가장 많았다. 금융투자업과 저축은행이 각각 5곳, 은행과 온라인투자연계금융업이 각각 4곳이었다. 보험사와 가상자산사업자는 각각 3곳, 여신전문금융업체 2곳, 상호금융업체 1곳에서도 사고가 발생했다.
유출 정보에는 고객 성명과 주민등록번호, 계좌번호, 임직원 정보 등이 포함됐다. 다만 계좌 비밀번호 등 부정결제 우려가 있는 정보의 유출은 현재까지 확인되지 않았다.
일부 소규모 가상자산거래소와 전자금융업체, 온라인투자연계금융업체에서는 실제 자금탈취 사고도 발생했다. 신고된 피해 규모는 약 10억원으로, 가상자산 핫월렛과 소비성 포인트, 고객자금 통합관리 계정 등에서 자금이 빠져나간 것으로 파악됐다.
금융당국은 개별 이용자의 직접적인 자금손실은 아직 현실화되지 않았다고 설명했다. 다만 유출된 개인정보가 보이스피싱이나 명의도용 등에 악용될 가능성을 고려해 이상거래 감시와 소비자 피해 예방 조치를 강화하기로 했다.
특히 지난달 14일 금융권의 기존 보안 체크리스트 확인 절차가 끝난 이후에도 중소형 증권·보험사와 전자금융업체 등을 중심으로 사고 신고가 이어졌다. 금융당국은 핵심 전산망뿐 아니라 직원관리·내부업무 등 상대적으로 관리가 소홀했던 시스템에서도 보안 취약점이 드러난 것으로 보고 있다.
◊ 외부접점 전수조사…중대한 부실엔 CEO 책임 추궁
금융위는 은행·증권·보험사를 비롯해 전자금융업체, 온라인투자연계금융업체, 가상자산사업자 등 약 580개사를 대상으로 전산시스템과 내부통제 운영실태를 전수조사한다.
조사 범위에는 홈페이지와 모바일 서비스뿐 아니라 직원관리, 내부업무, 제휴업무 등 외부에서 접근할 수 있는 모든 시스템이 포함된다. 응용프로그램 인터페이스(API), 인증·접근통제 시스템, 개발·시험 및 임시운영 시스템도 대상이다.
금융회사들은 우선 자체적으로 취약점을 확인하고 조사 과정과 판단 근거를 기록해야 한다. 조사 내용이 부실하거나 중대한 취약점이 발견되면 금융감독원과 금융보안원이 직접 현장검사에 나선다.
고객의 금전적 피해나 개인정보 유출로 이어질 수 있는 중대한 취약점이 발견되면 해당 서비스를 즉시 중단하고 외부 접근을 차단해야 한다. 서비스 유지가 불가피한 경우에는 CEO 승인과 대체 보안통제를 전제로 제한적으로 재개할 수 있다.
조사 일정도 구체화했다. 관리대장에 등록된 외부접점은 11월 30일까지, 미등록 시스템과 경영진의 보안 내부통제 운영실태는 12월 31일까지 조사를 마칠 예정이다. 내년 1분기에는 조사 결과를 반영한 보안 내부통제 가이드라인을 마련한다.
금융당국은 금융회사가 자발적으로 취약점을 찾아 개선한 경우 이를 고려하되, 위험을 방치하거나 형식적인 대응으로 사고를 키운 경우에는 엄정하게 책임을 물을 방침이다.
이억원 위원장은 "보안은 특정 부서의 기술적인 문제가 아니라 최고경영자가 직접 책임져야 할 핵심 경영과제"라며 "중대한 관리 부실이나 대응 소홀에 대해서는 CEO를 포함한 경영진의 책임까지 관련 법령에 따라 엄정하게 묻겠다"고 밝혔다.
◊ 대형 금융사 보안평가 연 2회…위협정보 실시간 공유
금융당국은 금융회사의 보안 취약점 분석·평가 주기도 강화한다. 현재 연 1회 이상인 외부기관 평가를 대형 금융회사부터 연 2회 이상으로 확대하고, 2028년부터는 중소형사를 포함한 금융권 전체로 적용 범위를 넓힐 계획이다.
평가 대상에는 전자금융거래와 직간접적으로 연결된 모든 외부접점이 포함된다. 긴급한 보안위협이 발생하면 금융당국이 수시 평가를 요구할 수 있도록 관련 규정도 개정한다.
중요한 취약점을 장기간 방치한 금융회사에는 시정명령을 내리고, 이를 이행하지 않으면 이행강제금을 부과하는 방안도 추진한다. 금융위는 이달 중 전자금융감독규정 개정안을 예고하고 관련 법률 개정도 지원할 예정이다.
금융회사별로 분산된 해킹 관련 정보를 공동 활용하는 체계도 마련한다. 기존에는 금융감독원과 금융보안원이 수집한 위협정보를 중심으로 공유했지만, 앞으로는 개별 금융회사가 탐지한 공격정보까지 금융권 전체에 전달하는 방식으로 확대한다.
대형 금융회사가 탐지한 공격 방식과 인터넷주소(IP), 악성코드, 보안 취약점 등을 금융감독원의 통합관제시스템(FIRST)을 통해 공유한다. 오는 12월 시범운영을 시작해 2027년 1분기 전면 활용을 추진한다.
가상자산사업자 등 전자금융거래법이 적용되지 않는 업권에도 침해사고 발생 시 한국인터넷진흥원뿐 아니라 금융감독원과 금융보안원에 즉시 신고하도록 하는 지침을 마련한다.
중소형 금융회사를 위한 지원도 확대한다. 금융보안원이 AI로 외부접점과 취약요인을 상시 탐색하고 개선방안을 제시하는 '원스톱 AI 방어서비스'를 오는 12월부터 순차적으로 제공할 예정이다.
◊ 보이스피싱 AI 차단 강화…망분리 규제 개편 착수
금융당국은 개인정보 유출에 따른 2차 피해를 막기 위해 다크웹과 텔레그램 등 불법 유통 경로에 대한 감시도 강화한다.
유출된 금융정보의 거래 정황이 확인되면 해당 금융회사에 즉시 통보하고, 고객 안내와 피해 예방 조치가 이뤄지도록 할 계획이다. 국내 불법 유통 채널은 관계부처와 협력해 차단·폐쇄하고 범죄 수사도 추진한다.
보이스피싱 대응에는 AI를 적극 활용한다. 지난해 10월 출범한 금융권 공동 보이스피싱 정보공유·분석 플랫폼(ASAP)의 기능을 고도화해 범죄 의심거래를 신속하게 탐지하는 체계를 구축한다.
이달부터는 AI가 의심거래의 보이스피싱 연루 가능성을 0~100점으로 분석하는 '피싱지수'를 시범 도입한다. 금융회사는 이를 활용해 거래 위험도를 판단하고 필요하면 지급정지 등 조치를 취할 수 있다.
보이스피싱 피해금의 일정 부분을 금융회사가 배상하도록 하는 무과실책임 법제화도 추진한다. 다만 구체적인 보상 대상과 한도, 면책 범위 등은 향후 법률 개정과 하위규정 마련 과정에서 정해질 예정이다.
이번 대책의 또 다른 핵심은 기존 망분리 중심의 보안규제를 AI 기반의 능동적 방어체계로 전환하는 것이다.
금융위는 '망분리 규제 전면해제 태스크포스(TF)'를 본격 가동한다. 정부와 금융권, 민간 전문가가 참여해 데이터 보호체계와 제로트러스트 보안 원칙, 경영진의 책임, 사고 발생 시 핵심 금융서비스 유지 방안 등을 논의한다.
보안 목적의 AI 활용을 위해 한시적으로 완화한 망분리 규제는 상시 제도화하고, 생성형 AI와 블록체인 등 새로운 기술에 대한 규제 예외도 혁신금융서비스 제도를 통해 확대할 방침이다.
금융위는 가상자산사업자와 법인보험대리점(GA), 클라우드 사업자 등까지 보안규율을 확대하는 '디지털금융 안전법'도 추진한다. 2027년 1분기 법안 마련이 목표다.
금융당국의 이번 조치는 금융회사 내부 시스템에 집중됐던 보안관리 범위를 외부 연계업체와 가상자산업권까지 넓히고, 사고 발생 이후 대응보다 사전 탐지와 예방에 무게를 두는 방향이다.
이 위원장은 "전 금융권 CEO들은 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 달라"고 당부했다.
이어 "기존의 보안관리 방식과 관행에서 벗어나 보안체계를 전면적으로 쇄신해야 할 때"라며 금융권의 실질적인 개선조치를 강조했다.
금융권의 보안관리 책임이 IT 부서를 넘어 경영진과 이사회 차원으로 확대되는 가운데, 연말까지 진행될 전수조사와 후속 제도개편이 금융회사의 보안투자 및 내부통제 운영에 직접적인 영향을 미칠 것으로 보인다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
