금융당국이 인공지능(AI) 기반 보안 역량을 강화하기 위해 망분리 규제 완화 테스트를 대폭 확대한다. 올해 6월 1차 테스트를 통해 기본적인 운영 경험과 안전성 검증이 이뤄지면서, 2차 테스트에서는 대상 업권을 넓혀 금융권 전반에 AI 활용 기반을 마련하겠다는 취지다.

망분리 규제란 업무용 내부망과 인터넷망을 서로 직접 연결되지 않도록 ‘강제로 분리’하는 보안 규제다. 이는 외부 불특정 침입과 내부 정보 유출을 원천적으로 차단하기 위한 제도적 요구사항이다. 우리나라에서는 금융위원회, 국가정보원 등 규제기관이 의무적으로 망분리를 적용하도록 법·지침·규정을 마련해 요구해 왔다. 이는 2010년대 초 국내에서 대형 보안 사고가 잇따르자, 공공기관·금융권은 업무망을 인터넷과 완전히 분리하는 것이 필요하다는 원칙 하에 강력한 규제가 도입됐다.

금융당국의 망분리 규제 완화 조치는 금융위원회가 3일 금융감독원, 금융보안원 등과 함께 ‘프런티어 AI 상황대응반’ 5차 회의를 열어 확정했다. 2차 망분리 규제 긴급완화 조치의 핵심은 신청 자격 완화, 선정 규모 확대, 업권 범위 확장이다. 기존 망분리 규제는 2013년 도입 이후 금융권의 기본 보안 체계로 자리 잡았다. 그러나 생성형 AI 등 신기술을 내부망에서 활용하기 어렵다는 점이 혁신 저해 요소로 지적되면서, 금융당국은 올해부터 단계적 완화 테스트를 추진해 왔다.

2차 테스트 신청 대상은 총 75개사로, 1차 때보다 26개사가 늘었다. 선정 규모도 기존 10개사에서 15개사로 확대된다. 금융회사 신청 기준은 ‘총자산 10조원 이상, 상시 종업원 1000명 이상’에서 ‘총자산 2조원 이상, 상시 종업원 300명 이상’으로 크게 완화됐다. 이 기준을 충족하는 금융회사는 59개사로 확인됐다.

전자금융업자는 별도 기준을 적용한다. 연간 전자금융거래 금액 2조원 이상, 전자금융업 관련 매출 비중 10% 초과가 조건이며, 금융회사와 같게 정보보호최고책임자(CISO)가 다른 IT 업무를 겸직하지 않아야 한다. 해당 기준을 충족하는 전자금융업자는 16개사다.

참여 희망사는 오늘부터 14일까지 신청할 수 있으며, 민간기술자문단 등이 보안 역량과 AI 활용 능력을 평가해 다음 달 7일 최종 선정한다. 선정된 회사에는 1년 한시의 ‘망분리 규제 비조치의견서’가 발급된다.

◇AI 기반 보안 취약점 점검 위해 15개사 추가 선정 추진

선정된 금융사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS(서비스형 소프트웨어)를 활용해 보안 취약점을 탐지·개선할 수 있다. 망분리 규제가 완화되는 만큼 데이터 유출, 외부 침해 등 위험을 최소화하기 위한 보안 대체 장치 마련이 필수다.

테스트 과정에서 확인된 △AI 보안 위험성의 특성 △AI가 공격 용도로 활용될 경우 예상되는 위험 △효과적인 방어 요령 등 주요 결과는 정부에 보고해야 한다. 금융당국은 이를 AI 가이드라인 개정과 보안대책 마련에 적극 반영할 계획이다.

현재 진행 중인 1차 테스트에서는 프런티어 AI의 보안 분석 능력이 기대 이상이라는 평가가 나왔다. AI는 수백만~수천만 라인에 달하는 방대한 소스코드를 수시간 내 분석하고, 기존 취약점을 누락 없이 일관되게 탐색하는 데 강점을 보였다.

금융권은 이미 다양한 보안 시스템을 운영하고 있어 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않지만, 향후 AI 기반 공격이 본격화될 경우를 대비해 △공격표면 식별·관리 강화 △신속한 보안패치 체계 구축 △‘AI는 AI로 방어하는’ 대응체계 마련 등이 필요하다는 의견을 제시했다.

1차 테스트 종료 후에는 취약점 유형, AI 점검 특징, 활용 노하우, 대응 요령 등이 금융권 전체에 공유되고, 관련 가이드라인 개정도 추진된다.

금융당국은 1·2차 테스트 결과와 추가 수요를 반영해 3차 테스트 시기와 규모를 확정할 예정이다. 이와 함께 고도의 AI·보안 역량을 갖춘 금융사부터 망분리 규제를 전면 해제하는 방안도 관계기관과 논의 중이다. 이는 보안 목적을 넘어 AI를 상시적·다각적으로 활용할 수 있는 환경을 조성하기 위한 중장기 전략으로 풀이된다.

금융당국의 이번 조치는 금융권의 AI 활용을 촉진하면서도 보안 위험을 최소화하기 위한 균형점을 찾는 과정이다. 향후 금융권의 디지털 전환 속도와 보안 체계 변화에 중요한 분기점이 될 전망이다.