금융권 AI 보안망, 당국에 기대서만은 안 된다

금융권 37곳서 침해사고 40건···개인정보 47만3000건 유출

4대 은행 보안인력 92명 vs 저축은행 6명···중소형사 대응 역량 과제

금융권 해킹이 이어지는 가운데 금융당국이 망분리 규제 전면해제를 논의하기 위한 태스크포스(TF)를 가동했다. 인공지능(AI) 기반 공격에 대응하려면 금융회사도 AI를 활용한 방어체계를 갖춰야 한다는 판단에서다. 다만 외부 연결이 확대될수록 공격 경로도 넓어지는 만큼 당국의 규제 완화에 발맞춰 보안 역량을 높이려는 개별 금융회사의 노력이 더욱 중요하다.

금융위원회에 따르면 지난 9월 30일부터 11월 3일까지 금융회사 등 37곳에서 40건의 침해사고가 신고됐고 유출 정보는 약 47만3000건으로 파악됐다. 하루에 금융사 한 곳 꼴로 고객 정보를 해커의 손에 내어 준 것이다. 심지어 지난달 14일 전 금융권이 취약점(체크리스트) 점검을 마친 뒤에도 중소형 증권·보험사와 전자금융업자, 온투업자, 가상자산사업자 등에서 사고가 이어졌다. 그 어느 업권보다도 단단해야 할 금융회사의 보안이 '걸음마' 수준이었다는 방증이다.

보안 투자를 단순 비용으로 인식해 차일피일 미룬 결과일지도 모른다. 실제 국회 정무위원회 소속 한창민 사회민주당 의원실이 망분리 완화 특례를 받은 금융회사 10곳을 점검한 결과 12개의 대체 보안통제 수단 중 상당수가 계획 단계에 머물러 실제 이행되지 않은 것으로 드러났다. 일부 회사는 보안관리자 시스템에 외부 인터넷을 통한 접근을 허용하거나 보안 인증을 보유하지 않은 클라우드를 사용하기도 했다. 망 연결은 미흡 사항이 해결된 뒤 이뤄졌지만, 보안 계획을 실제 통제로 구현하는 금융회사 자체의 관리 역량, 혹은 의지가 부족하다는 점을 명확히 드러냈다.

금융당국은 앞으로 전 금융권의 보안과 내부통제 체계를 전면 점검할 계획이다. 회사 자체 점검을 우선하되 점검 내용이 부실하거나 중대한 취약점이 확인되면 금융감독원과 금융보안원이 직접 현장점검에 나설 방침이다. 중소형 금융회사에는 AI를 활용해 외부 접점과 취약요인을 탐색하고 위험 우선순위와 조치방안을 제공하는 '원스톱 AI방어서비스'를 12월부터 순차적으로 지원한다. 대형 금융회사가 자체 관제 과정에서 탐지한 공격정보를 전 금융권에 공유하는 공동 관제체계도 12월 시범운영을 거쳐 내년 1분기 전면 가동할 계획이다.

디민 금융권은 이런 당국의 지원에만 기대서는 안 된다. 망 분리 규제 완화로 외부 연결과 AI 활용이 확대되는 만큼 금융회사 역시 보안 투자를 늘리고 경영진 차원의 내부통제를 강화해야 한다. 특히 소규모 회사의 경우 상대적인 보안 역량 열위를 극복할 대안도 필요하다. 국정감사에서 공개된 자료를 보면 4대 은행의 보안 전담인력은 평균 92명인 반면, 저축은행은 6명 정도에 불과하다. AI 해커는 회사의 '규모'나 시스템과 데이터의 '중요도'를 가려 공격하지 않는다.