[현장] 박상원號 금융보안원, 금융사 CEO와 AI 보안 해법 모색 [디지털 안전망 점검]

[한국금융신문 지다혜 기자] 이억원닫기이억원기사 모아보기 금융위원장이 "충분한 인공지능(AI)·보안역량을 갖춘 금융회사에 대한 망분리 전면 해제 방안을 조속히 구체화해 발표하겠다"고 밝혔다.

이 위원장은 지난 10일 서울 종로구 포시즌스호텔에서 금융보안원이 개최한 금융회사 최고경영자(CEO) 초청 '정보보호의 날 기념 행사'에 참석해 "지난 6월부터 시행 중인 망분리 긴급 완화조치에 따른 AI 보안 테스트를 차질 없이 이행하고, 향후 보다 많은 금융회사가 참여할 수 있도록 대상 기준과 내용을 유연하게 개선하겠다"며 이같이 말했다.

박상원 원장이 이끄는 금융보안원이 주최한 이번 행사는 AI 기반 사이버 공격이 지능화·자동화되는 상황에서 금융권 보안 대응 방향을 논의하기 위해 마련됐다. 행사에는 금융회사, 유관기관, 핀테크기업 대표 및 관계자 등 총 170여명이 참석했다.
이날 논의의 초점은 정보보호를 단순 기술 문제가 아닌 경영 리스크 차원에서 다뤄야 한다는 데 맞춰졌다. 특히 망분리 규제 완화, 생성형 AI 확산, 클라우드·서비스형 소프트웨어(SaaS) 활용 확대가 맞물리면서 금융권 보안 체계도 사후 대응 중심에서 선제 탐지·검증·거버넌스 중심으로 재편될 필요성이 강조됐다.

AI 보안체계 전환 속도

이 위원장은 이날 "우리는 지금 완전히 다른 차원의 디지털 위협을 마주하고 있다"며 "최근 논란이 된 미토스(Mythos) 사례와 같이 AI가 스스로 보안 취약점을 찾고 공격 경로를 설정하며 실행까지 시도하는 단계로 진화하고 있다"고 말했다.

그는 과거처럼 망을 닫고 접속을 제한한 뒤 사고가 발생하면 대응하는 방식으로는 AI 공격의 속도를 따라가기 어렵다고 진단했다. 공격자가 AI로 취약점을 찾고 공격 경로를 설정하는 만큼 금융권도 AI를 활용해 이상 징후를 더 빠르게 감지하고 취약점을 확인해 즉각 대응해야 한다는 설명이다.

정부는 AI 보안 테스트를 위한 망분리 긴급 완화조치를 시행 중이다. 이와 함께 금융회사들이 AI 보안 테스트와 보안 패치를 진행할 수 있도록 면책조치와 가이드라인도 마련했다. 이 위원장은 "망분리 규제 완화와 면책조치 등을 바탕으로 AI 보안체계 구축을 위한 새로운 시도와 적극적인 보안 강화를 당부한다"며 "그 과정에서 발생하는 애로사항은 주저하지 말고 정부에 알려달라"고 했다.
입법 과제도 언급됐다. 이 위원장은 해킹 사고에 대한 책임성 강화를 위한 징벌적 과징금과 이행강제금 도입, 상시적·자체적인 정보보호 관리와 투자 유도를 위한 정보보호최고책임자(CISO) 권한 강화, 소비자 공시 강화 등을 담은 전자금융거래법 개정안의 조속한 통과를 추진하겠다고 밝혔다.

아울러 고도로 지능화되는 해킹 범죄에 금융보안 사각지대가 생기지 않도록 '디지털금융 안전법안'도 준비하겠다고 했다.

그는 "꾸준하고 충분한 보안 투자와 인력 확보, 해킹에 대비한 상시 감시, 모의훈련 등 보안 업무 전반에 대한 CEO와 이사회 차원의 관심과 적극적 의사결정이 현장의 실질적 변화를 끌어내는 열쇠"라고 강조했다.

이날 행사에서는 금융보안과 정보보호 발전에 기여한 기관과 개인에 대한 금융위원장 표창도 수여됐다. 단체 부문에서는 삼성화재해상보험과 한국증권금융이, 개인 부문에서는 윤호영닫기윤호영기사 모아보기 카카오뱅크 대표(김근수닫기김근수기사 모아보기 부대표 대리 수상), 장은영 한국씨티은행 상무, 김대희 DB손해보험 본부장이 수상했다.

"보안은 CEO가 챙길 문제"

첫 번째 주제강연은 고학수 서울대 법학전문대학원 교수가 '금융 보안 거버넌스'를 주제로 진행했다. 고 교수는 개인정보보호위원장을 지낸 경험을 바탕으로 최근 정보유출·해킹 사고의 공통 원인을 짚고, 보안 리스크가 CEO와 이사회가 직접 판단해야 할 경영 현안으로 바뀌고 있다고 설명했다.

고 교수는 대형 사고가 발생한 뒤 원인을 살펴보면 암호화 미흡, 기술지원이 종료된 운영체제 사용, 로그인 시도 제한 미설정, 접근통제 부실, 보안 패치 지연 등 기본적인 조치가 제때 이뤄지지 않은 경우가 많다고 지적했다. 다만 현장에서는 이런 조치가 단순히 기술적으로 가능하다는 이유만으로 바로 실행되기 어렵다고 봤다.

예컨대 수천만명 규모의 고객 정보를 암호화하거나 오래된 운영체제를 교체하는 일은 시스템 안정성, 서비스 지연, 영업 부서 반발, 장애 발생 가능성 등과 맞물린다. 보안 부서는 필요성을 제기하지만 다른 조직에서 "지금 꼭 해야 하느냐"는 문제를 제기하면 의사결정이 지연될 수 있다는 것이다.

고 교수는 이런 상황이 반복되면 결국 보안 문제가 기술 부서의 과제가 아니라 회사 전체의 의사결정 구조, 즉 거버넌스 문제로 전환된다고 강조했다. 사고가 발생하면 단순한 시스템 장애가 아니라 고객 신뢰 훼손, 규제 리스크, 평판 리스크로 번지는 만큼 CEO가 보안 현황을 주기적으로 보고받고 판단할 수 있어야 한다는 것이다.

그는 "보안은 거버넌스 문제이고 CEO가 계속 관심을 가져야 하는 문제"라며 "CEO가 보안을 잘 모른다며 실무자에게만 맡기는 태도는 앞으로 더 통하지 않는 시대가 될 것"이라고 말했다. 이어 "이해도가 떨어진다고 생각하더라도 주기적으로 보고를 받으면서 이해도를 높이고 가치 판단을 해가는 자세가 요구된다"고 강조했다.

망분리 완화 이후의 관리 체계도 주요 과제로 제시됐다. 고 교수는 망분리 완화가 진행되면 데이터 이동 경로와 접근 지점이 늘어나는 만큼 추적, 모니터링, 인증, 방화벽 관리가 과거보다 정교해져야 한다고 봤다. 제로트러스트 관점에서 중요한 접점마다 재인증과 검증이 이뤄져야 하며, 이를 위한 투자와 전문 인력 확충이 함께 뒤따라야 한다는 설명이다.

"AI 자동화 역량이 경쟁력"

두 번째 주제강연은 이상근 고려대 정보보호대학원 교수가 'AI 혁신과 보안'을 주제로 진행했다. 이 교수는 AI가 사이버 공격 지형을 어떻게 바꾸고 있는지, 또 AI 자체가 어떤 새로운 공격 표면이 되는지를 중심으로 발표했다.

이 교수는 해킹 과정을 은행 침입에 비유해 설명했다. 정찰(취약점 스캐닝), 침투 도구 제작(취약점 맞춤형 익스플로잇 작성), 측면 이동(내부망 탐색·권한 탈취 및 상승·민감 데이터 접근), 정보 탈취(데이터 유출 및 다음 공격을 위한 보고서 작성) 등으로 이어지는 '사이버 킬 체인(Cyber Kill Chain)' 과정은 과거 고도의 전문지식과 경험을 가진 사람이 직접 수행해 왔지만, 최근에는 AI에 의해 자동화되는 단계로 접어들었다는 것이다.

특히 그는 취약점이 공개된 뒤 실제 공격에 활용되기까지 걸리는 시간이 급격히 줄어들고 있다고 강조했다. 과거에는 공개 취약점이 실제 공격으로 이어지기까지 상당한 시간이 있었지만, 코딩 AI와 에이전트형 AI 시스템 확산 이후 그 간격이 빠르게 축소되고 있다는 설명이다. 이 교수는 "공격에 필요한 지식이 없어도 토큰 비용만 낼 수 있으면 공격을 할 수 있는 시대가 열렸다"며 "AI가 사이버 보안의 패러다임을 바꾸고 있다"고 말했다.

그는 AI가 작성한 코드가 늘어나면서 보안 점검 대상도 폭증하고 있다고 봤다. 신규 코드의 상당 부분이 AI를 통해 만들어지는 환경에서는 사람이 모든 취약점을 검토하는 방식만으로는 한계가 커진다. 동시에 국가 취약점 데이터베이스의 분석 지연 등으로 외부 공개 정보에만 의존한 대응도 어려워지고 있다는 점을 지적했다.

대응 방향으로는 AI 기반 취약점 탐지, 자동 패치 생성, 자동 배포, AI 보안관제 체계가 제시됐다. 이 교수는 "자체적인 AI 보안 자동화 역량이 미래 경쟁력의 차이를 좌우한다"고 말했다. 금융회사가 외부 AI 모델에만 의존할 경우 소스코드 반출, 해외 서버 처리, 비용 상승, 특정 모델 종속 등의 문제가 생길 수 있는 만큼 자체 보안 자동화 역량을 확보해야 한다는 의미다.

AI 자체의 보안 위험도 거론됐다. 망분리 완화로 금융권의 AI 활용이 늘어나면 경영자료, 인수·합병(M&A) 자료, 고객 데이터 등을 AI에 입력하는 과정에서 데이터 유출과 학습 활용 문제가 발생할 수 있다. 이 교수는 기업용 AI 계약을 맺더라도 데이터 보존 제한, 기밀컴퓨팅, 접근통제 등 보호 조치를 함께 검토해야 한다고 설명했다.

그는 금융권이 직원에게 단순히 AI를 이렇게 쓰라는 지침만 줄 것이 아니라, 특정 데이터를 AI에 입력해도 되는지 판단할 수 있는 내부 체계를 마련해야 한다고 강조했다. 이어 "AI 거버넌스 체계는 필수"라며 "사이버 보안과 AI 보안은 이제 IT가 아니라 경영과 신뢰의 문제"라고 말했다.

금융보안원은 금융권 CEO들과 AI 시대 보안 대응 방향을 공유하며 공동 대응 필요성을 부각했다. 망분리 완화와 AI 활용 확대가 동시에 진행되는 만큼, 금융권 정보보호의 무게중심도 개별 기술 도입을 넘어 안전한 활용 체계와 경영진 차원의 거버넌스 구축으로 옮겨갈 전망이다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com