GITSN, INC

금융권에서 인공지능(AI)을 활용한 해킹 사고가 잇따르면서 금융회사의 AI 보안 도구 활용을 확대하려던 일정도 늦춰졌다. 금융당국이 사고 수습과 긴급 점검에 집중하면서 망 분리 규제의 예외를 인정할 회사를 추가로 선정하는 작업이 밀린 것이다. 공격자는 AI로 시스템의 허점을 빠르게 찾아내는데, 방어자인 금융회사는 외부 고성능 AI 활용에 제약을 받는 상황이다. 망 분리를 중심으로 구축해온 보안 체계에 AI를 활용한 취약점 점검과 보완을 접목해야 한다는 지적이 나온다.

이억원 금융위원장이 4일 오후 서울 종로구 정부서울청사에서 열린 금융권 침해사고 관련 긴급 점검회의에서 모두 발언을 하고 있다. /뉴스1

◇사고 수습에 밀린 AI 보안 활용 확대

7일 금융위원회에 따르면 이날 예정됐던 제2차 망 분리 규제 긴급 완화 대상 선정이 미뤄졌다. 금융위는 보안 역량과 AI 활용 능력을 심사해 최대 15곳에 1년간 규제 예외를 인정할 계획이었다. 그러나 금융위와 금융감독원 등이 해킹 사고 대응에 집중하면서 안건을 충분히 검토할 시간을 확보하지 못했다는 설명이다. 금융위 관계자는 망 분리 규제 완화 대상의 추가 선정이 늦어진 데 대해 “정책 후퇴가 아니고, 일정을 살짝 조정한 것”이라며 “최대한 빨리 진행할 것”이라고 말했다.

망 분리는 금융회사의 내부 업무용 전산망을 인터넷 등 외부망과 분리하는 조치다. 외부 침입이나 악성 프로그램 감염이 핵심 전산망으로 번지는 것을 막는 장치지만, 인터넷으로 제공되는 최신 AI와 보안 서비스를 활용하는 데도 제약이 된다. 보안 업체 스틸리언의 박찬암 대표는 “해외 보안 제품들은 클라우드 기반으로 많이 돌아가다 보니 엄격한 망 분리가 되어있는 우리나라 환경에 적용하기 힘들다”며 “엄격한 망 분리 정책을 유지할 경우 우리나라의 보안 역량도 세계적 수준에 미치지 못할 수 있다”고 말했다.

금융위는 올해 6월부터 금융회사 10곳을 대상으로 보안 목적의 AI 활용을 허용하는 1차 시험을 진행하고 있다. 외부 고성능 AI와 인터넷으로 제공되는 보안 소프트웨어를 이용해 취약점을 찾아 개선하도록 한 것이다. 선정된 회사에는 정해진 조건과 범위 안에서 망 분리 규정을 적용하지 않더라도 제재하지 않겠다는 ‘비조치 의견서’를 발급했다.

1차 시험에서는 AI가 수백만~수천만 줄에 이르는 소스 코드, 즉 프로그램을 구성하는 명령문을 수시간 안에 분석해 취약점을 폭넓게 찾아낼 수 있는 것으로 나타났다. 금융위는 참여 기회를 넓히기 위해 2차 시험의 신청 가능 대상을 49곳에서 금융회사 59곳과 전자금융업자 16곳 등 75곳으로 늘렸지만, 일정이 미뤄지게 됐다.

◇외부 서비스가 공격 통로…망 차단만으로는 한계

이번 금융권 해킹 사고는 내부 전산망을 인터넷과 분리해 놓더라도 외부 업무 지원 서비스에 허점이 있으면 개인정보가 유출될 수 있다는 점을 보여줬다. 신한·하나·우리은행은 모두 1차 시험에 참여해 보안용 AI 활용을 허용받았다. 이 가운데 신한·하나은행에서는 고객정보가 유출됐고, 우리은행에서는 공격 시도가 있었지만 현재까지 정보 유출은 확인되지 않았다. 신한은행의 공격 통로는 대출모집인이 이용하는 서비스였다. 다만 이번 유출이 망 분리 규제 완화 때문이라는 근거는 확인되지 않았다. AI로 취약점을 찾는 것과 함께, 외부 서비스에 누가 접속하고 어떤 정보를 볼 수 있는지도 철저히 관리해야 한다는 것이다.

해외 금융당국도 망을 나눠 보호하지만, 내부망과 인터넷의 연결을 완전히 끊는 방식만 요구하지는 않는다. 일본 금융청은 망을 물리적으로 떼어 놓거나, 연결 지점에서 허용된 통신만 오가도록 관리하는 방식 등을 인정한다. 미국 금융감독 당국은 정보 자산의 종류와 위험에 따라 망을 나누고, 접속자의 신원을 여러 수단으로 확인하며 업무에 필요한 정보에만 접근 권한을 주도록 안내한다. 싱가포르 통화청은 업무용 기기에서 인터넷 웹 이용을 따로 분리하는 방법과, 이를 대신할 보안 장치를 갖추는 방법을 함께 제시한다. 인터넷 이용을 분리하지 않더라도 그에 준하는 보호 효과를 확보하도록 권고하는 것이다. 시스템의 중요도와 정보의 민감도에 따라 망을 나누고, 허가받지 않은 기기의 접속을 차단하는 조치도 제시한다.

금융위는 한시적으로 허용한 AI 보안 활용을 이어갈 방안도 검토하고 있다. 비조치 의견서의 적용 기간을 연장하거나 감독 규정을 개정해 상시 제도화하는 방안 등이다. 금융위 관계자는 “시험 과정에서 나타나는 어려움과 금융회사가 마련한 보완 장치 등을 종합해 규정 개정 같은 추가 조치를 할 것”이라고 말했다.

한국정보보호학회장을 지낸 류재철 충남대 교수는 “AI라는 거센 파도 속에서 외부 연결을 막아놓기만 할 수는 없다”며 “AI를 활용할 수 있도록 망 분리를 완화하면서 다른 보안 대책을 강화해야 한다”고 말했다.

출처 : 조선일보