금융위원회는 지난달 3일 ‘제2차 망 분리 규제 긴급 완화 조치’를 발표했다. 인공지능(AI)을 통한 보안 위협이 확대되다 보니 1차에 뽑은 신한은행과 하나은행·우리은행·한화생명·NH투자증권 등 10곳만으로는 대응이 어렵다고 봤기 때문이다. 금융위는 총자산 2조 원 이상, 종업원 수 300명 이상 금융사 가운데 약 15개사에 망 분리 규제 완화를 허용해준다고 밝혔다.
공교롭게도 2차 금융사 선정일은 7일이다. 지난달 말부터 이달 초까지 은행과 저축은행·캐피털사 등에 동시다발적으로 AI 해킹이 이뤄진 직후다.
전문가들은 2차 선정을 포함해 금융권의 AI 보안을 위한 망 분리 규제 완화를 서둘러야 한다고 입을 모은다. 최대 은행인 KB국민은행만 해도 1차 완화 대상에서 빠졌다. 보안 업계에서는 총자산 2조 원 이상과 300명 이상도 여전히 허들이 높다는 얘기가 나온다.
이 때문에 후속 선정과 상시 제도화를 서둘러 참여 기회를 넓혀야 한다는 지적이 제기된다. 보안 업계의 한 관계자는 5일 “AI를 구동해 AI 해킹을 막고 싶어도 금융권은 특유의 망 분리 규제 때문에 쉽지 않은 측면이 존재한다”며 “금융사별로 상황이 다르겠지만 AI를 활용한 방어를 위해서는 선정 작업에 속도를 내야 한다”고 강조했다.
개인정보 보호 검증과 AI 보안 점검의 범위를 함께 넓혀야 한다는 분석도 있다. 보안 투자를 늘려 업무 지원 사이트와 애플리케이션까지 면밀히 점검해야 한다는 것이다. 이날도 생명보험사 한두 곳에서 해킹을 위해 사전 정찰을 위한 스캔 작업이 이뤄진 것으로 알려졌다. 토스뱅크는 신한은행 공격자와 동일한 인터넷주소(IP)로부터 해킹 시도가 있었지만 이를 방어한 것으로 확인됐다.
보안 업계의 또 다른 관계자는 “금융 당국이 주요 부문 중심으로 AI 진단을 하면서 업무 지원 서비스까지는 충분히 살피지 못한 것으로 보인다”며 “해당 서비스의 취약점을 찾아 보완했다면 같은 경로의 유출을 막을 수 있었을 것”이라고 말했다. 외부에서 접근할 수 있고 개인정보를 보유한 서비스까지 진단 범위를 넓혀야 한다는 취지다.
금융사별로 투자 확대와 전문인력 확충이 대대적으로 이뤄져야 한다는 비판 또한 나온다. 한국인터넷진흥원(KISA) 정보 보호 공시 기준 신한은행의 지난해 투자액은 369억 원으로 전년보다 0.4%, 우리은행은 364억 원으로 18.1% 줄었다. KB국민은행은 433억 원으로 1.9% 늘었고 하나은행은 372억 원이었다. 금융계의 한 관계자는 “규제 완화와 함께 정보 보호 투자액을 대폭 늘릴 필요가 있다”고 말했다.
금융사들 사이에서 ‘정보 보호 및 개인정보 보호 관리 체계(ISMS-P)’ 인증 업체가 적은 것도 비슷한 맥락이다. 이상근 고려대 정보보호대학원 스마트보안학부 교수는 “금융권은 그동안 망 분리를 중심으로 보안 체계를 구축해왔다”며 “큰 해자를 만들어 적의 침입을 막는 방식인데, 외부와 차단돼 있다는 믿음 때문에 내부 방어 체계를 상대적으로 소홀히 한 측면이 있다”고 강조했다.
AI 해킹 대응을 금융 전산 전반으로 넓히려면 노후 시스템의 진단·보완 역량 역시 높여야 한다는 지적도 있다. 금융권의 한 고위 관계자는 “노후된 기존 전산 프로그램에 수십 년간 기능을 덧붙여온 경우가 많아 취약점을 알아도 손보기 어려운 경우가 많다”며 “시스템을 이해하고 개보수할 전문가를 구하기 어려울 뿐 아니라 오랜 시간 덧붙이기식으로 업데이트돼 연쇄적인 장애 우려도 배제할 수 없다”고 지적했다.
금융 당국과 금융보안원에 따르면 일부 금융사에서는 코볼(COBOL) 같은 오래된 프로그래밍언어를 아직도 쓰고 있는 것으로 알려졌다. 예전부터 써오던 업무 방식과 데이터의 연결 구조 때문에 언어를 바꾸는 게 쉽지 않아 과거 방식을 고수하고 있다는 얘기다. 국민은행만 해도 지난해 12월 AI를 활용해 코볼을 자바로 전환하는 작업을 자동화할 인력을 모집했을 정도다.
금융권에서는 인증과 AI 보안 도구의 활용을 실제 대응력 강화로 연결해야 한다는 목소리가 나온다. 개인정보를 다루는 시스템을 지속적으로 살피고 취약점을 보완하는 과정이 일상적인 관리로 자리 잡아야 한다는 뜻이다.