금융위원회가 오는 10월 15개 금융회사의 망분리 규제를 추가로 완화한다. 신청 기준도 완화한다. 총자산 10조원 이상 기준은 2조원으로, 상시 종업원수 1000명 이상 기준은 300명으로 낮춘다.
전자금융업자는 이보다 더욱 완화된 연간 전자금융거래 금액 2조원 이상 등의 기준을 적용한다. 10개 금융회사가 선정된 지난 1차 완화에서는 금융권의 인공지능(AI) 공격에 대한 취약점이 크지 않은 것으로 확인됐다.
3일 금융위원회는 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원 등과 프런티어 AI 상황대응반 5차 회의를 개최하고 이같은 방안을 확정했다.
망분리 완화 신청 기준 낮춘다
제2차 망분리 규제 긴급완화 조치(이하 테스트)에서는 제2금융권, 전자금융업자 등 보다 다양한 금융회사가 프런티어 AI를 활용한 테스트에 참여할 수 있도록 신청 자격과 선정 규모를 확대한다. 프런티어 AI란 현시점에서 가장 뛰어난 성능과 범용적 능력을 갖춘 최첨단 AI를 말한다.
제2차 테스트 신청대상 회사는 총 75개사다. 제1차 테스트 신청대상인 49개사 보다 26개사가 늘었다. 선정 규모도 기존 10개사에서 15개사로 확대된다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS 등을 활용해 보안 취약점을 탐지·개선할 수 있다.▷관련기사: 미토스 발 위협…금융위, 13년만에 금융사 망분리 완화(2026년 5월24일)
금융회사 신청 기준은 '총자산 10조원 이상, 상시 종업원 수 1000명 이상'에서 '총자산 2조원 이상, 상시 종업원 수 300명 이상'으로 완화된다. 다만 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다. 해당 기준을 충족하는 금융회사는 총 59개사다.
전자금융업자도 신청 가능
전자금융업자의 경우 별도의 기준을 적용한다. △연간 전자금융거래 금액 2조원 이상 △전자금융업 관련 매출액이 총 매출액의 10%를 초과 △CISO가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정된다.
업종 특성상 해킹 등 취약점 관리가 매우 중요하나 금융회사와 같은 자산·인력 기준을 적용해서는 충분한 신청기회를 부여하기 어려운 점을 감안한 조치다. 해당 기준을 충족하는 전자금융업자는 총 16개사다.
제2차 테스트 참여를 희망하는 금융회사와 전자금융업자는 이날부터 오는 14일까지 신청할 수 있다. 신청한 금융회사는 민간기술자문단 등에서 9월 중 신청 회사의 보안역량, AI활용능력 등을 평가할 예정이다.
평가 결과를 토대로 내달 7일 예정된 금융위 보고를 거쳐 1년 한시의 망분리 규제에 관한 비조치의견서가 발급된다. 선정될 시 제1차와 마찬가지로 보안 취약점 탐지·개선 등 목적으로 프런티어 AI, 보안 서비스형 소프트웨어(SaaS) 등을 활용할 수 있다. 다만 완화되는 만큼 대체 통제수단을 마련해야 한다.
또한 테스트 결과 확인된 △AI 보안 위험성의 특성 △공격용도 활용시 예상되는 위험성 △효과적인 방어를 위한 대응요령 등과 주요결과를 정부에 보고해야 한다. 정부는 제출된 정보를 AI 가이드라인 개정, 보안대책 마련 등에 적극 활용할 예정이다.
정부는 제2차 테스트 신청상황과 제1·제2차 테스트 진행 경과를 바탕으로 제3차 테스트의 시기와 선정 규모를 신속히 확정할 계획이다. 아울러 추가 신청 수요 등을 고려해 추가적인 망분리 규제 긴급 완화 조치 차수 운영, 상시 제도화 방안 등도 적극 검토해 나갈 방침이다.
금융권, AI 공격 취약점 크지 않아
회의에서는 현재 진행중인 제1차 테스트 경과와 정책적 함의에 대한 논의도 이뤄졌다. 프런티어 AI는 수백만에서 수천만 라인에 달하는 방대한 소스코드(Source code)등을 수시간 내 분석하는 등 취약점 탐색기능이 매우 우수한 것으로 나타났다.
특히 기존 취약점을 넓은 범위에서 일관되게 누락 없이 탐색하는데 강점을 가진 것으로 나타났다. 이에 침해위협 방어·공격 측면에서 이용자 경험·역량 등에 따른 실력 편차 없이 취약점을 신속히 찾아내는 수단으로 활용될 가능성이 있다는 점이 확인됐다.
발견된 취약점들을 분석한 결과 금융권은 침입차단·방지시스템 등 다양한 보안조치를 적용하고 있었다. 따라서 발견된 취약점이 즉시 침해사고로 이어질 가능성은 크지 않은 것으로 드러났다.
그러면서도 향후 AI를 활용한 침해위협이 본격화된 경우에 대비해 △외부에 노출되는 전산자산 등 공격표면 식별·관리 강화 △신속한 보안패치 등 대응속도 강화 △AI는 AI로 방어하는 대응체계 구축 등 다양한 측면의 대응력 강화가 필요하다는 의견이 제시됐다.
정부는 제1차 테스트가 종료되면 △발견된 취약점 유형 △AI 점검의 특징과 활용 노하우 △보안 대응요령 등 주요 결과를 전 금융권에 전파하고 AI 가이드라인 개정 조치 등을 신속히 추진할 계획이다.
