금융당국, 금융사 보안 채점표에 ‘쪽문 대비 태세’ 항목 신설

입력 2026-10-13 10:20:33

금융권 AI 해킹 사태 후속 조치

업무지원시스템까지 보안점검 확대

보완조치 미이행땐 이행강제금 검토

현 年 1회 평가 주기도 앞당기기로

[헤럴드경제=서상혁·박혜림 기자] 금융당국이 금융권 인공지능(AI) 해킹 사태를 계기로 금융회사의 보안 평가 체계를 대대적으로 개편한다. 대고객 서비스뿐 아니라 은행 직원이나 대출 모집인 등이 사용하는 업무지원시스템까지 보안 점검 대상을 확대하는 것이 핵심이다. AI가 상대적으로 보안이 취약한 업무지원시스템을 집중적으로 공략했다는 지적에 따른 후속 조치로 풀이된다. 점검 결과에 따른 보완 조치를 이행하지 않을 경우 제재를 가하는 이행강제금 도입도 검토한다.

13일 금융권에 따르면 금융당국은 AI 해킹 후속 조치 차원에서 전자금융감독규정상 취약점 분석·평가 항목 개편 작업을 진행 중이다. 규정에 따르면 일정 요건을 갖춘 금융회사·전자금융업자·상호금융은 연 1회 이상 전자금융기반시설의 취약점 평가를 진행해야 한다. 관련법상 가장 기초적인 보안 점검 절차다.

금융당국은 평가표에 업무지원시스템 등 대고객 서비스를 보조하는 인프라에 대한 보안 점검 항목을 신설할 방침이다. 은행 직원이나 대출 모집인이 업무에 활용하는 시스템도 강도 높은 보안 점검을 받도록 하겠다는 것이다. 대고객 접점인 이른바 ‘코어 뱅킹’뿐 아니라 주변부 시스템에도 이에 준하는 보안 수준을 갖추도록 하겠다는 취지다.

현행 취약점 분석 평가표는 크게 관리적 보안·물리적 보안·기술적 보안 등 세 가지로 구성돼 있다. 물리적 보안 항목에는 전산설비나 전산 센터에 대한 보안 정도만 언급되어 있으며, 다른 부분에서도 업무지원시스템 등 보조 인프라는 직접적으로 명시돼 있지 않은 상태다.

이번 금융권 AI 해킹이 대고객 서비스가 아닌 업무지원서비스에 집중된 것을 두고 학계에선 “금융회사가 정문 보안에만 집중한 결과”라는 지적이 적지 않았다. 이에 금융당국도 신속하게 후속 조치에 나선 것으로 풀이된다.

금융당국은 이번 개편을 계기로 금융권의 보안 패러다임 자체를 바꾸겠다는 구상이다. AI를 활용한 해킹이 현실화한 만큼 시스템별 중요도를 따져 보안 수준을 차등화하는 기존 접근만으로는 한계가 있다는 판단이다. 그간 상대적으로 중요도가 낮다고 여겨졌던 시스템도 앞으로 AI의 공격 경로가 될 수 있고, 이를 통해 신용정보 등 민감한 정보가 유출될 수 있다는 우려도 반영됐다.

금융당국 관계자는 “주변부의 시스템이라고 중요하지 않은 게 아니다”라며 “AI의 등장으로 과거에는 비용 대비 편익이 크지 않아 뚫지 않았던 곳도 이제는 타깃이 된 만큼, 이제 금융회사들은 세세한 보안 사항까지 모두 챙기지 않을 수가 없게 됐다”고 말했다.

실제 헤럴드경제가 20개 은행의 정보보호 기본인증인 ISMS 현황을 조사한 결과 업무지원시스템에 대해 인증을 받은 곳은 없었다.

권태경 연세대 정보대학원 교수는 “이번 해킹은 커버리지의 문제였기 때문에 업무지원시스템을 포함하는 것 자체는 반가운 소식”이라며 “이번 기회로 금융권에서 여러가지 그간 체크되지 않았던 부분 다 살펴서 한꺼번에 같은 기준에서 평가해야 해야한다”고 말했다.

이밖에도 금융당국은 AI 관련 보안 점검 항목을 평가표에 반영할 예정이다. 당국은 이번 해킹 사태 직후 금융권에 IT 보안 자체 체크리스트를 전파했는데, 이 내용도 평가표에 담을 방침이다. 비정상적인 대량 호출이나 자동화 봇 공격을 예방하기 위한 통제 수단 적용 여부 등이다.

취약점 점검 이후 보완 사항을 시행하지 않을 경우 부과하는 ‘제재’의 일종인 이행강제금 제도 도입도 검토 중이다. 현재 국회엔 유동수 정무위원장 대표 발의로 전자금융거래법 개정안이 계류돼 있는데, 정부의 시정 명령을 이행하지 않은 회사에는 5000만원 이하의 이행강제금을 부과하는 벌칙 조항이 담겨 있다. 이외에 현 연 1회 평가 주기도 연 2회 이상 등으로 더 앞당기기로 했다.

금융당국은 점검 절차를 강화하는 한편, 보안 목적에 대해선 망분리 규제를 완화할 방침이다. AI를 활용한 해킹 수법이 발전하고 있는 만큼, 방어막 역시 AI 기반으로 만들어야 한다는 생각이다. 이억원 금융위원장은 지난 8일 금융위원회 국정감사에서 “AI를 막으려면 결국 AI를 쓸 수밖에 없다”며 망분리 규제 완화 의지를 밝힌 바 있다.