[녹색경제신문 = 박지안 기자] 금융당국이 인공지능(AI) 보안테스트, 긴급 보안패치 과정에서 발생한 경미한 전산장애는 제재하지 않기로 했다. 프런티어 AI발 보안위협이 커지는 가운데도 전산장애 부담 때문에 보안 강화에 소극적이었던 금융권의 대응을 적극적으로 유도하기 위해서다.

2일 녹색경제신문의 취재에 따르면 금융위원회는 지난달 30일 면책심의위원회를 열고 'AI 보안테스트, 보안패치 과정에서 발생하는 전산장애에 대한 면책조치'를 심의·의결했다. 이와 함께 금융회사의 대응을 돕기 위해 '프런티어 AI 보안위협 금융분야 대응요령'도 배포했다. 이번 조치는 지난 5월 22일 열린 '고성능 AI 보안위협 대응 간담회'에서 나온 업계 의견을 반영한 후속조치로, 금융위는 이후 금융감독원·금융보안원과 함께 면책 범위와 세부 가이드라인을 논의해왔다.

면책 대상은 크게 두 가지다. 하나는 금융회사가 보안 목적의 AI를 활용해 상시적으로 취약점·포트 스캐닝, 자동화된 침투 시도 등 보안테스트를 진행하는 경우다. 지난 5월 발표된 망분리 규제 완화 테스트 선정기관과 금융보안원의 AI 취약점 점검 대상기관만 해당된다. 다른 하나는 금융위·금감원·금융보안원이 전파한 보안 취약점에 대해 긴급 보안패치를 하거나 이에 준하는 전산장비 변경을 하는 경우다.

면책을 받으려면 발생한 사고가 '경미한 전산장애'에 해당해야 한다. 금융위는 '금융회사의 검사 및 제재에 관한 규정 시행세칙'상 경미한 IT사고 기준을 준용해, 고의성이 없고 금전 피해 1억원 미만, 시스템 장애 시간 4시간 이내, 개인신용정보를 제외한 고객정보 유출 1만건 미만에 해당하는 경우를 경미한 사고로 본다. 다만 개인신용정보 유출 사고는 이번 면책조치와 무관하게 신용정보법에 따른 제재가 그대로 적용된다. 복구 수단이 마련돼 있었는지, 소비자 보호조치를 마련하고 이행했는지, 사전테스트를 통해 피해 확산을 방지하고 서비스 연속성 확보를 위한 작업계획을 갖췄는지도 면책 여부 판단에 종합적으로 고려된다. 면책 범위는 기관 제재는 물론 임직원에 대한 신분제재와 과태료까지 포괄한다.

'프런티어 AI 보안위협 금융분야 대응요령'은 경영진 책임 강화, 취약점 및 패치 관리, 자산 및 공급망 관리, AI 기반 방어 자동화, 금융권 공동대응 및 복원력 강화, 침해확산 방지 체계 등 6개 분야로 구성됐다. 가이드라인은 강제사항이 아니어서 금융회사가 지키지 않아도 별도의 제재나 불이익은 없다. 금융위·금감원·금융보안원 홈페이지에서 확인할 수 있다.

금융위 관계자는 "프런티어 AI 보안위협 관련 국내외 상황이 빠르게 변화하고 있는 만큼 금융회사의 불안감을 낮추고 적극적인 보안강화 조치를 유도하는 데 방점을 두고 이번 방안을 마련했다"고 말했다. 이어 "앞으로도 프런티어 AI 관련 국내외 상황변화, 망분리규제 완화 등을 통한 AI 보안테스트 결과 등을 반영해 가이드라인을 유연하고 신속하게 보완해 나갈 계획"이라며 "망분리규제 전면해제 등을 포함해 금융권의 AI 대전환을 지원할 다양한 정책과제를 적극적으로 추진해 나갈 예정"이라고 덧붙였다.