망분리 규제 완화 기준과 중소형사 AI 보안 대응 방법

인공지능(AI)을 활용한 금융권 해킹 위협이 현실화되면서 보안 패러다임이 급변하고 있습니다. 대형 금융회사들이 방어벽을 높이는 사이, 상대적으로 보안이 취약한 중소형사들이 해커들의 새로운 표적이 되고 있습니다.

네트워크가 촘촘히 연결된 금융 생태계에서는 단 한 곳의 취약점만 노출되어도 전체 시스템이 위협받을 수 있습니다. 이에 따라 내 기업이 망분리 규제 완화 대상에 해당하는지 확인하고, 선제적인 보안 대책을 마련하는 것이 시급합니다.

금융권 망분리 규제 완화 대상과 기업 해당 여부 확인

금융당국은 지난 5월 보안 목적의 AI 활용에 대해 망분리 예외를 허용하며 규제 완화의 물꼬를 텄습니다.

규제 완화 대상은 기존 대형사에서 최근 2금융권과 전자금융업자까지 확대되었습니다. 금융당국은 적용 기준 자산을 기존 10조 원 이상에서 2조 원 이상으로 낮추어 완화 범위를 넓혔습니다.

따라서 현재 자산 규모가 2조 원 미만인 중소·영세 금융회사 및 PG사는 여전히 망분리 규제 완화 혜택을 받지 못하고 내부망과 외부망이 분리된 기존 규제를 적용받습니다.

AI 해킹 위협 속에서 중소 금융사가 받는 영향과 대비책

최근 토스페이먼츠, 코엠페이먼츠 등 전자지급결제대행(PG)사를 겨냥한 해킹 공격으로 신용카드 정보를 포함한 결제 정보 수만 건이 유출되는 사고가 발생했습니다.

해커들은 AI를 활용해 애플리케이션과 인프라의 취약점을 탐색하고 공격 코드를 작성하는 등 기술적 문턱을 크게 낮추고 있습니다. 이에 대응하기 위해 카스퍼스키 조사에 따르면 글로벌 기업의 41%가 AI 도입에 맞춰 보안 투자를 늘리는 추세입니다.

예시: 자산 2조 원 미만의 영세 PG사는 외부 AI 보안 도구를 직접 도입하지 못해, AI를 활용한 초 단위의 취약점 탐색 공격에 무방비로 노출될 위험이 있습니다.

경제돋보기 판단: 대형 금융사만 규제를 완화하는 것은 금융망의 ‘약한 고리’를 방치하는 결과를 초래하므로, 자산 규모가 아닌 외부 시스템과의 연결성과 다루는 데이터의 민감도를 기준으로 규제 완화 대상을 재정의할 필요가 있습니다.

중소형 금융사가 활용 가능한 외부 AI 보안 검토 사항

자체적인 보안 장비와 전문 인력을 갖추기 어려운 중소·영세 금융회사는 통제된 외부 인프라를 적극적으로 활용해야 합니다.

금융보안원과 같은 전문 기관이 통제된 환경을 제공하고, 중소형사의 금융 시스템 구동 프로그램(소스 코드)을 외부 AI로 분석하여 해킹 취약점을 미리 찾아내는 ‘공동 방어’ 체계 도입이 대안으로 제시되고 있습니다.

또한, 사람이 직접 대응하는 사후 방식으로는 AI의 동시다발적인 공격 속도를 따라잡을 수 없으므로, 향후 기계적 속도로 공격을 감지하고 조치하는 ‘에이전틱 보안운영센터(SOC)’ 기술의 도입 가능성을 장기적으로 검토해야 합니다.

자주 묻는 질문(FAQ)

Q1. 망분리 규제 완화의 구체적인 자산 기준은 어떻게 되나요?
A1. 금융당국은 규제 완화 대상을 자산 10조 원 이상에서 최근 2조 원 이상으로 낮추어 2금융권과 전자금융업자까지 확대 적용하고 있습니다.

Q2. 최근 발생한 PG사 해킹 사고의 주요 피해 규모는 어느 정도인가요?
A2. 토스페이먼츠와 코엠페이먼츠 등 PG사를 노린 해킹 공격으로 인해 신용카드 정보를 비롯한 결제 정보 수만 건이 유출되었습니다.

Q3. 규제 완화 대상에서 제외된 중소기업은 AI 보안을 어떻게 준비해야 하나요?
A3. 금융보안원 등 전문 기관이 통제된 환경에서 중소형사의 금융 시스템 구동 프로그램을 외부 AI로 분석해 취약점을 막아주는 공동 방어 인프라 지원책 마련 여부를 지속적으로 확인하고 대비해야 합니다.

중소 금융사 및 PG사 실무자는 금융당국의 추가적인 규제 완화 기준 발표 여부와 금융보안원의 공동 방어 인프라 지원 사업 일정을 주기적으로 확인하시기 바랍니다.