보안사고 계속되는 금융권, 망분리 완화 딜레마

연이은 금융권 침해사고로 망분리 규제 완화를 둘러싼 금융권의 고민이 깊어지고 있다. AI와 같은 신기술 활용을 확대하려면 외부 네트워크와의 연결을 넓혀야 하지만, 그만큼 사이버 공격과 정보 유출 위험도 커질 수 있기 때문이다. 금융당국이  망분리 규제 완화 기조를 유지하고 있는 가운데, 신기술 활용과 보안 수준 유지라는 이중 과제가 떨어졌다.

14일 관련업계에 따르면, 금융당국은  ‘AI 공격은 AI로 방어’하는 보안체계를 확립하겠다는 방침이다. 이를 위해 망분리 규제 완화 등 관련 제도 개선도 속도감 있게 추진하겠다는 입장을 금융위는 유지하고 있다. 다만 금융권 사고가 잇따르면서 구체적인 규제 완화 절차에는 제동이 걸렸다. 금융당국은 지난 6일 보안 목적의 AI 활용을 위한 2차 망분리 규제 완화 대상 기관 선정을 잠정 연기했다.

망분리 완화, 금융 보안에 실일까 득일까

망분리 완화는 금융사가 클라우드와 AI 등 신기술을 업무에 활용할 수 있는 범위를 넓힌다는 점에서 의미가 있다. 금융 서비스 혁신과 업무 자동화를 통해 효율성을 높일 수 있으며, AI를 보안 업무에 활용해 사이버 위협을 탐지하고 대응하는 역량도 강화할 수 있다. 고성능 AI를 활용한 사이버 공격이 고도화하면서 기존 방어체계만으로는 진화하는 위협에 대응하기 어렵다는 점에서도 보안 분야의 AI 활용 필요성이 커지고 있다.

반면 외부 네트워크와 시스템의 연결이 확대되면 사이버 공격에 노출되는 접점도 늘어난다. 보안체계의 고도화가 공격자의 신기술 도입 속도를 따라가지 못하면 공급망 취약점 악용, AI를 활용한 지능형 사이버 공격 등 새로운 위협에 노출될 수 있다. 신기술 활용 범위를 넓히는 것만큼 이를 안전하게 관리할 보안 역량을 확보하는 것이 중요하다.

이에 망분리 완화를 보안 수준을 낮추는 조치가 아니라 보안 방식 자체를 전환하는 계기로 삼아야 한다는 지적이 나온다.

은행권의 한 최고보안책임자(CISO)는 “기존의 네트워크 경계 중심 보안에서 벗어나 사용자와 기기, 애플리케이션, 데이터에 대한 접근을 지속적으로 검증하고 통제하는 제로트러스트 보안체계로 전환해야 한다”며 “외부망 연결을 일률적으로 차단하기보다 업무 중요도와 데이터 민감도에 따라 보안 통제를 정교하게 적용해야 한다”고 밝혔다.

망분리 완화 시대, 보안 대응하려면

망분리 완화에 대비한 금융권의 보안 대응은 취약점 관리와 접근 통제, AI 기반 위협 탐지·대응 체계 강화에 초점이 맞춰지고 있다. 외부 시스템과의 연결이 늘어나는 만큼 기존 보안체계를 정비하는 동시에 AI를 활용해 방어 역량을 높이려는 움직임이다.

우선 IT 자산과 취약점 관리체계가 주요 대응 과제로 꼽힌다. 긴급한 보안 취약점에 신속하게 대응할 수 있도록 패치 승인 절차를 간소화하고, AI 기반 탐지 환경에 맞춰 패치 승인·검증 기준을 정비하는 방식이다. 외부 시스템 연결에 앞선 위험평가와 다중요소 인증, 최소 권한 부여 등을 통해 접근을 통제하고, 중요정보 유출 방지와 이상행위 탐지, 사고 발생 시 차단·복구 체계를 연계하는 방안도 거론된다.

은행권 관계자는 “AI 활용이 확대되면서 관련 데이터 관리도 주요 보안 과제로 떠오르고 있다”며 “생성형 AI에 고객정보나 내부 기밀정보가 입력되지 않도록 통제하고, 외부 AI 서비스의 데이터 처리·저장 방식과 입력 데이터의 재학습 활용 여부도 확인해야 한다”고 말했다. 이어 “AI 기반 관제를 통해 이상징후 탐지와 대응 역량을 높이는 등 AI를 활용한 공격에 대응하기 위한 방어 기술도 고도화하고 있다”고 설명했다.

금융사 내부의 위험관리 체계도 변화하고 있다. 일부 금융사는 생성형 AI 활용 확대와 망분리 규제 개선에 대비해 소관 부서 중심으로 위험관리 체계를 운영하고 있으며, 사전 보안성 검토와 위험평가, 접근권한 관리를 강화하고 있다. 금융당국의 보안 기준에 맞춰 AI 기반 보안기술을 단계적으로 도입한다는 계획이다. 보안 조직 역시 사후 점검에서 나아가 AI 전환(AX) 초기부터 사업과 시스템 설계에 참여해 위험 요인을 검토하는 역할을 맡는 방향으로 바뀌고 있다.

보안체계 구축에 따른 비용과 인력 부담을 줄이기 위한 제도 개선 논의도 이어지고 있다. 망분리 완화와 제로트러스트 전환 과정에서 발생하는 중복 투자를 줄일 수 있도록 단계적인 전환 로드맵을 마련하고, 내부통제를 충실히 이행한 금융사에 합리적인 면책 기준을 적용하는 방안 등이 거론된다.

보안 서비스형 소프트웨어(SaaS) 활용 확대도 대응 방안 중 하나다. 전문 인력과 보안 시스템 구축·운영 자원이 부족한 중소형 금융사는 자체적으로 보안체계를 구축하는 대신 외부 보안 서비스를 활용해 관련 역량을 보완할 수 있다. 서비스 도입 과정에서는 금융정보 처리 범위와 접근권한, 데이터 처리 방식, 서비스 제공업체의 보안 수준 등이 주요 검토 대상이다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network