금감원 “AI 보안 역량을 갖춘 금융사부터 망분리 해제 검토”

“충분한 AI 보안 역량을 갖춘 금융사부터 망분리 규제를 전면 해제하는 방안을 검토하고 있습니다.”

26일 서울 여의도 콘래드서울에서 열린 ‘서울핀테크위크2026’에서 이석 금융감독원 디지털금융총괄국장은 이같이 밝혔다. 이번 행사는 ‘AX 기반 디지털금융의 전환 : 나를 아는 금융’을 주제로 열렸다.

이 국장은 “현재 대부분의 금융사는 전자금융거래법에 따라서 망분리 규제를 적용받고 있다”며 “외부 인터넷과의 접촉이 차단되는 만큼 강력하고 손쉬운 보안 수단”이라고 평가했다. 다만 “이는 AI 시대에 적합하지 않고 경쟁력을 하락시키는 원인으로 지적돼 왔다”고 설명했다.

그는 최근 금융권 해킹 사고를 언급하며 “망분리 환경에서도 업무상 인터넷 연결이 불가피한 시스템도 있다”며 “금융사들이 망분리에 의존해 외부 접근 관리를 소홀히 하면서 보안상 허점이 드러나기도 했다”고 지적했다.

금융당국은 2024년 8월 망분리 규제 개선 로드맵을 발표하고 규제를 단계적으로 완화하고 있다. 1단계에서는 금융 규제 샌드박스를 통해 외부 생성형 AI와 클라우드 기반 서비스형 소프트웨어(SaaS)를 사용할 수 있도록 허용했다. 인터넷 연결이 가능한 연구개발망과 내부 업무망사이에 유기적 연결을 허용하고 있다.

2단계에서는 1단계 규제 샌드박스를 통해 검증된 과제를 관련 규정 개정 등을 통해 정식 제도로 도입하고, 금융 보안 규제 체계를 개선하는 방안을 추진한다. 3단계에서는 금융사가 보안 결과에 책임을 지도록 하는 원칙을 바탕으로 중장기적인 금융 보안 체계를 구축하는 것을 목표로 한다.

이 국장은 “올해 4월 미토스 등장 이후 커진 AI 보안 위협에 대응하기 위해 생성형 AI와 사스를 대상으로 망분리 완화 테스트를 진행하고 있다”고 밝혔다. 이어 “지난 6월 보안 역량을 갖춘 금융사 49곳의 신청을 받아 10곳을 선정해 1차 테스트를 진행했다”며 “금융당국은 테스트 결과를 전 금융권에 공유하고 참여사를 단계적으로 늘려 2차와 3차 테스트를 추가로 진행할 계획”이라고 말했다.

금융사가 자체적으로 보안 인력과 자원을 확보하고 자율적인 보안 체계를 구축하는 것이 중요하다는 주장도 제기됐다. 규제 요건을 준수하는 데 그치지 않고 보안 위험을 미리 파악해 스스로 개선하는 노력이 필요하다는 설명이다.

그는 “금융 보안 규제를 따라가는 수준만으로는 현재 변화하는 AI 보안 위협을 감당할 수 없는 상황”이라며 “최근 수많은 해킹 사고가 발생하고 있는데, AI 기술이 고도화됐기 때문이라기보다는 기본적인 보안 장치를 마련하지 않았기 때문이라고 생각한다”고 말했다.

AI에 어느 수준까지 의사결정을 맡겨야 하는지도 논의됐다. AX 시대에는 AI가 단순한 업무 자동화 도구를 넘어 금융사의 의사결정에 관여할 수 있기 때문이다.

이 국장은 “금융 분야 AI 가이드라인은 보조 수단성 원칙을 제시하고 있다”며 “기본적으로 모든 의사결정과 업무 수행에 대한 책임은 사람이 져야 한다”고 말했다. 이어 “AI에 업무를 맡기려면 관련 체계를 충분히 갖춘 뒤 진행해야 한다”며 “금융사가 제공하는 AI 서비스에서 문제가 발생하면 어떤 상황에서도 금융회사가 책임을 져야 한다”고 밝혔다.

이날 이성복 자본시장연구원 금융산업실 선임연구위원은 세션 발표에서 금융사에 AI가 ‘새로운 고객 접점’이 될 수 있다고 말했다.

현재 온라인·모바일 채널은 고객과 대화가 불가능해 일방적인 지시에 시스템이 반응하는 수준에 머물러 있다는 설명이다. AI를 접목하면 오프라인에서 금융 서비스를 이용할 때처럼 자유롭게 대화를 주고받으며 서비스를 제공할 수 있을 것으로 기대된다고 밝혔다.

다만 이 위원은 비용 문제로 AI 활용이 기대만큼 발전하지 못하고 있다고 평가했다. 대부분의 금융사는 고객에게 직접 금융 서비스를 제공하기보다는 위험 관리나 대출 심사, 회계·정산 등 내부 업무에 AI를 활용하고 있다. 비용 절감과 업무 효율화에 초점을 맞추고 있다는 설명이다.

그는 금융 소비자의 AI 서비스에 대한 기대가 높아지면서 금융사도 차별화된 서비스를 내놓기 어려워졌다고 진단했다. 이 위원은 “일반 국민들의 기대 수준은 이미 높아졌기 때문에 금융사가 손쉽게 AI로 멋진 서비스를 선보인다고 말하기는 어려워졌다”며 “고객들의 기대 수준이 높아진 만큼 AI를 활용할 때 내부 업무에서 발생하는 위험보다 고객에게 서비스를 제공하는 과정에서 발생하는 위험이 더 크게 작용할 것”이라고 말했다.

<이수민 기자>Lsm@byline.network