"보안은 이제 AI 기술 등 혁신에 뒤따르는 것이 아니라 혁신을 지속하고 나아가기 위해 가장 먼저 전제돼야 할 핵심 과제입니다."
지난달 30일 서울 여의도 금융보안원 서울사무소에서 만난 박상원 금융보안원장은 향후 금융사 자체의 보안 역량이 AI 시대 경쟁력으로 이어질 것이라고 강조했다.
금융권은 생성형 인공지능(AI)을 넘어 스스로 판단해 여러 업무를 수행하는 '에이전틱 AI(Agentic AI)' 도입을 본격화하고 있다. AI가 고객 상담부터 상품을 비교·가입·결제하는 과정을 거치고 자산관리, 대출 심사, 이상거래 탐지까지 다양한 업무를 수행하는 시대가 올 전망이다.
금융당국은 최근 이같은 AI 전환의 가장 큰 걸림돌인 망분리 규제 완화를 추진하고 있다. 문제는 AI의 본격적인 도입과 AX로 인해 발생할 수 있는 각종 문제들을 막을수 있는 '보안' 역량을 갖출 수 있느냐다.
AI 시대 경쟁력…자율보안체계 구축이 핵심
박상원 원장은 "국내 금융사들은 망분리 중심 보안에 의존해 온 탓에 지속적인 보안투자로 역량을 키워온 글로벌 금융사들에 비해 상대적으로 보안 역량이 뒤처져있다"면서 보안 역량 강화를 강조했다.
그는 "자산 식별, 취약점 관리, 위협 탐지, 대응 자동화 등 AI 신기술을 안전하고 적극적으로 활용할 수 있는 유연하고 고도화된 보안체계를 조속히 마련할 필요가 있다"고 말했다.
당국의 망분리 규제 완화는 이러한 보안체계를 금융사들이 자율적으로 갖추도록 요구하고 있다는게 박상원 원장의 설명이다. 박 원장은 이번 망분리 완화의 핵심을 '규제 완화'가 아닌 '보안 체계의 전환'을 위한 과정으로 보고 있다. 그는 "망분리는 지난 십수 년간 금융권의 사이버보안 수준을 높여왔지만 AI와 클라우드 환경에서는 경계 중심 보안만으로 대응하기 어려워졌다"며 "이제는 규제에 의존하기보다 금융사가 스스로 위험을 식별하고 관리하는 자율보안 체계가 정착돼야 한다"고 강조했다.
그는 또 "AI를 이용한 해킹 공격을 사람이 막아내기란 어렵다"면서 "AI 공격에 대응하기 위해서는 해킹이 들어오기 전에 AI를 활용해 스스로 취약점을 찾고 보안성을 높여야 하는 구조로, 결국 AI는 AI로 막아야 한다"고 설명했다.
AI가 일하는 시대…보안도 달라져야
망분리는 금융사 내부 전산망과 외부 인터넷망을 분리해 해킹을 차단하는 대표적인 보안 정책이다. 금융권 사이버보안 수준을 높이는 데 기여했지만, 외부 AI를 금융 시스템 내에 할용하려면 당국 승인을 받기까지 6개월 이상을 기다려야 했다. 빠른 속도로 변화하는 AI 기술 환경 속에서 금융 AI 서비스가 뒤쳐져온 이유다.
특히 보안 취약점을 찾아내는 능력이 뛰어난 고성능 인공지능 '미토스'의 등장은 이같은 망분리 규제 완화 움직임에 불을 지폈다. 현재 보안 목적 AI와 SaaS 도입에 한해 10개 금융사의 망분리 규제를 완화했으며, 연내 전면 완화 추진도 고려 중이다.
규제가 완화될수록 금융사의 자율보안 책임은 더 강화될 것으로 보인다. 최근 보안사고가 잇따르며 정부도 전자금융거래법, 정보통신망법, 개인정보보호법 등 보안 관련 법령을 정비해 중대 침해사고에 대한 과징금 수준을 높이는 한편 기업 경영진의 책임도 강화하고 있다.
박상원 원장은 '자율보안'은 규제를 풀어 보안 수준을 낮추는 것이 아니라 금융회사가 위험을 스스로 식별하고 통제하는 책임을 강화하는 개념이라고 설명했다. 박 원장은 "법 개정을 통한 정부의 책임성 강화 목적 역시 처벌을 강화하는데 있는 것이 아니라 금융회사가 평상시 보안투자를 확대하고 자율보안 체계를 고도화해 사고를 예방하도록 유도하는 데 있다"고 분석했다.
특히 이같은 고도화된 예방체계를 정착하게 하기 위해서는 보안 노력에 따른 베네핏도 줘야 한다고 강조했다. 박 원장은 "아무리 많은 투자를 한다고 해도 공격기법이 빠르게 진화하는 만큼 사이버 보안사고를 100% 차단하는 것은 현실적으로 어렵다"면서 "사고가 발생하지 않는 것보다 사고에 얼마나 잘 대비했고 얼마나 신속하게 복구했느냐 하는 '운영복원력'이 보안 부분에 있어 핵심적인 경쟁력이 될 것"이라고 말했다.
아울러 그는 "평소 보안투자에 노력하며 지속적으로 위험을 관리하고 신속히 보고·복구한 곳과 보안 조치에 소홀한 곳을 동일한 기준으로 처벌하는 것은 바람직하지 않다"며 "제재의 목적이 처벌이 아닌 금융권 전체 보안 수준을 높이는 데 있는 만큼, 금융사들이 사고시 투명하게 공개해 2·3차 사고를 방지하고 빠르게 복구할 수 있는 환경을 만드는 것이 중요하다"고 말했다.
금융보안원 "AI 시대 보안 기준 세운다"
금융보안원은 금융사가 이러한 체계를 구축할 수 있도록 보안기술 지원을 확대할 계획이다. 대표적으로 AI 안전성·신뢰성 평가와 AI 레드티밍(의도적으로 공격자가 돼 취약점을 테스트하는 보안 방식)을 통해 AI 시스템의 취약점을 사전에 점검하고, 자율보안 체계 구축을 위한 기술과 가이드라인을 지원한다.
금융보안원은 최근 이러한 지원 확대를 위해 원장 직속으로 AI보안총괄부를 조직하고 산하에 '금융AI보안연구소'와 'AI보안지원센터'를 신설했다. 박 원장은 "이번 조직개편은 고성능 AI 위협에 맞서 금융권 공동의 방어체계를 구축하기 위한 것"이라며 "신설 조직들을 통해 연구·평가·대응·지원의 원스톱 통합 체계를 수행할 것"이라고 밝혔다.
금융AI보안연구소는 단순 가이드라인 제공이나 보안평가에서 벗어나 AI 위협정보를 분석, 제공하는 역할을 수행한다. 그동안 연구·평가·대응 등 분산됐던 업무를 묶어 시너지를 낼 방침이다. 금융AI보안지원센터에서는 상대적으로 보안이 취약한 중소금융회사의 고성능 AI 위협 대응을 무료로 지원한다. 금융보안원이 보유한 화이트해커를 통해 AI 레드티밍을 전면 확대하고, AI 관련 교육과 정보 공유도 추진한다.
박 원장은 "금융권 전체 보안 사각지대를 없애는 안전망 역할을 할 것"이라며 "중소 금융사들의 AI 위협 대응은 현재 수요조사를 진행 중으로 하반기 본격적인 지원이 이뤄질 것"이라고 말했다.
아울러 박 원장은 AI 에이전트 도입 등으로 발생할 새로운 위협에도 대비해야 한다고 덧붙였다. 그는 "AI의 오답(할루시네이션)이나 모델 내부 교란 등 기존 전산시스템에 없던 심각한 위험요인이 발생할 수 있는 만큼, 이를 안전하게 활용하기 위한 새로운 보안 기준과 대응 체계를 갖춰야 한다"고 제언했다.
박상원 금융보안원장은 1991년 한국은행 입행 후 2000년 금융감독원으로 자리를 옮겼다. 금감원에서 금융그룹감독실장, 은행리스크업무실장, 비서실장, 기획경영·중소서민금융 부원장보를 거친 후 지난해 1월 2일 금융보안원장에 취임했다.
* 비즈워치 연중기획[AX 인사이트 3.0] 금융 시리즈는 박상원 금융보안원 원장 인터뷰로 포문을 연다. 이어 △김주식 NH농협은행 AI데이터부문 부행장(이하 가나다순) △박형주 KB금융 AIDT추진본부장 △엄태성 하나은행 AI디지털혁신그룹장 △최용민 우리금융 AI전략센터장 △최혁재 신한금융지주 AX·디지털부문 부사장(신한은행 AX혁신그룹장 겸임) 등 금융권 AI 리더들의 생생한 인터뷰를 담을 예정이다.
