[기고] AI 보안 위협과 금융 망분리 제도의 딜레마

챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. [편집자주]

금융 분야는 의도적으로 대내외 전산 시스템을 분리하는 망분리 제도에 매우 익숙하다. 금융 분야 망분리 제도는 2013년 대규모 금융 전산 사고를 계기로 2014년 말부터 도입됐다.

이 제도는 해킹 등 외부 사이버 위협으로부터 금융사의 내부 전산자원을 보호하기 위해 내부 업무망과 외부 인터넷망을 물리적 또는 논리적으로 분리하는 네트워크 보안 규제를 지칭한다. 10년이 넘도록 유지되고 있는 금융 분야 망분리 제도는 금융 시스템과 고객의 신용에 대한 정보를 잘 보호해 온 제도지만, 오픈 네트워크 기반에서 외부 전문가들이 제안하는 복잡 다단한 기법과 기술들을 응용, 적용해야만 하는 최근 트렌드의 관점에서 보면 뭔가 혁신을 가로막는 장벽으로 작동하였던 것도 현실이다.

금융 분야 망분리 제도가 야기해 온 여러 가지 문제점들에 대한 지적이 많았고 이를 해결하기 위한 많은 논의도 있어 왔지만, 망분리 제도가 각종 위협이 존재하는 정글인 인터넷으로부터 우리 국민 신용정보를 안전하게 보호한 장성과 같은 역할을 했다는 주장도 수긍할 만하다.

AI 기술 발전에 따라 금융 산업 내에서 외부에 개발, 구축, 운용되는 AI 기술 내지 서비스를 잘 활용하기에는 기존 망분리 제도가 경직됐다는 주장 역시 무시할 수 없는 상황이다. 특히 대형 파운데이션 모델에 기반한 생성형 AI가 가져오는 생산성 향상과 새로운 가치 창출 기회는 금융 산업에 있어서도 중요한 모멘템이 될 기회를 여실히 보여주고 있다.

마찬가지로 클라우드 기반 AI-SaaS(AI Software as a Service)가 금융 산업에 있어서도 더 이상 선택이 아닌 필수 인프라로 자리잡아야 한다는 점에서도 별다른 이론의 여지가 없다. 단순히 문서작성, 화상회의, 가상 업무공간, 인사·성과관리과 같은 일반화된 이슈들뿐만 아니라 금융 분야의 핵심적인 계정 거래, FDS, 고객정보 보호와 같은 업무들 역시 AI 도움을 받지 않으면 경쟁력 강화를 도모할 수 없다.

이런 상황에서 금융 업계에 더 충격을 가져온 것은 미토스로 대변되는 소위 AI 보안 이슈일 것이다. 아주 단순화한다면 AI를 이용한 보안 위협은 기존 인간 해커들에 의한 공격에 비해 훨씬 더 많은 취약점이 엄청나게 짧은 시간에 노출되도록 하는 상황을 야기했다. AI로 인하여 과거에는 상상하기 어려운던 수준의 보안 이슈들이 미리 대비책을 마련하기 어려운 제로데이 공격에 가까운 수준의 리스크에 노출되게 된 것이다.

이와 같이 심각하고도 급박한 위협에 대하여 다양한 대응책들이 논의되고 있지만, 신속한 대응이 그 무엇보다 필요한 금융 산업 분야에서는 기존 구축했던 망분리 체계가 그 대응 전략 마련에 큰 허들로 작용하고 점이 유력하게 지적되고 있다. 아이러니하게도 보안 위협에 대응하기 위한 가장 안전한 방벽이었던 망분리 제도가 AI 보안위협이라는 강대한 쓰나미에 대응하기 위한 장벽 구축을 위한 대안 마련에 대해서도 장애물로 작동하고 있는 것이다.

다행히도 감독 당국도 이런 상황을 적절히 인식하고 그 장벽을 낮춰 신속한 보안 대책을 마련하기 위한 방편으로 망분리 제도 개선에 고민하고 있는 것으로 보인다. 지난 상반기 동안 금융위원회는 여러 차례의 논의를 거쳐 AI 보안 위협에 대응해 고성능 AI를 방어시스템 구축으로 활용하기 위해 허들이 되고 있는 망분리 제도를 완화하기 위한 대책을 마련한 바 있다.

또 AI 보안 위협에 대비한 다양한 관리 체계를 갖춘 금융 회사에 대하여는 좀더 과감한 망분리 규제 완화를 통한 선도적인 규제 완화 사례를 축적하고자 하는 노력을 보였다. 지난달 30일에는 금융위원회가 면책심의위원회를 열어 AI 보안테스트, 보안 패치 과정에서 발생한 전잔 상애에 대해선 면책 방안을 의결함으로 다양한 수준의 보안 사고에 대응하기 위한 여러 적극적인 정책 방안이 도입, 실행될 수 있도록 하겠다는 신호를 시장에 보냈다.