[AI, 금융권 '약한 고리' 노린다]② 중소형사, 보안인력·예산 부족 금융보안원 활용한 공동 보안관제 대안 대형사·협력사 함께 공급망 보안 강화해야 인공지능(AI)을 활용한 해킹이 고도화하면서 금융권의 보안 대응도 AI 기반 방어체계로 전환해야 한다는 지적이 나온다. 특히 예산과 보안 인력이 부족한 중소형 금융회사는 고가 장비와 전문인력을 자체 확보하기 어려운 만큼 금융권 차원의 공동 대응체계를 마련해야 한다는 목소리가 커지고 있다. 금융보안 전문기관의 보안 점검과 공동 보안관제를 활용해 비용 부담을 낮추고, 대형 금융회사도 협력사의 보안 수준을 함께 높여야 한다는 것이다. AI 보안역량 격차 해소…당국, 취약점 정보 금융권에 공유 채상미 이화여대 경영학부 교수는 14일 "공격자는 이미 몇만 원 수준의 범용 AI API로 악성코드를 만들고 취약점을 파고드는데, 수비 측인 중소 금융사만 망분리에 묶여 범용 AI를 방어 도구로 쓰지 못하는 것은 '돌도끼로 총탄을 막으라는 격'"이라며 "고가 보안 장비를 살 여력이 없는 중소형사일수록 범용 AI를 통한 소스코드 분석과 취약점 점검이 절실하다"고 말했다. 생성형 AI로 공격 속도가 빨라지는 만큼 중소형 금융사가 AI·서비스형 소프트웨어(SaaS) 기반의 취약점 탐지와 소스코드 점검 등 외부 보안 서비스를 활용할 수 있도록 제도적 기반을 마련해야 한다는 지적이다. 그는 망분리 규제 완화 기준을 단순히 회사 규모(2조원이상)로 정하기보다 위험 및 연결성(데이터 보유량, API 트래픽), 실제 보안 역량 등을 중심으로 세분화할 필요가 있다고 지적했다. 채 교수는 "핵심 개인정보나 중요 자산이 유출되지 않도록 데이터 마스킹과 보안 게이트웨이 같은 최소한의 기술적 안전장치를 갖춘다면 중소형 금융사에도 AI 수비 도구 활용을 허용할 필요가 있다"며 "망분리 완화는 단순한 대형사의 업무 효율화가 아니라 중소형 금융사의 방어 역량을 높이는 차원에서 접근해야 한다"고 했다. 다만 외부 연결 확대가 보안 역량이 부족한 회사에는 새로운 공격 경로가 될 수 있다. 금융위원회 관계자는 "망분리 완화를 일률적으로 적용하기보다는 각 회사의 보안 역량과 위험 수준을 고려해야 한다"며 "보안 역량이나 기술적인 노하우가 충분하지 않은 회사는 외부의 취약점 분석이나 전문기관의 지원 등을 활용하는 방식이 필요하다"고 말했다. 당국은 현재 추진 중인 AI 보안 테스트에서 확인한 취약점과 공격 방식, 대응 방법 등을 가이드라인에 반영해 금융권 전체에 공유할 방침이다. 일정 수준 이상의 보안 역량을 갖춘 금융회사를 대상으로 AI 공격 가능성을 점검한 뒤 사례와 대응 경험을 공동 축적해 회사 간 보안 역량 격차를 줄이겠다는 취지다. 중소형사 각자도생 한계…금융권 '공동 보안관제' 필요 문제는 중소형 금융사의 보안 인력과 예산이 제한적이고 자체 대응 역량도 충분하지 않다는 점이다. 사이버보안 전문기업 씨큐비스타 전덕조 대표는 "중소형 금융사의 경우 고가의 보안 솔루션을 지원하거나 도입해도 이를 운영할 전문인력이 없거나, 최고경영자(CEO)나 실무자의 보안 인식이 낮아 자발적으로 보안 서비스를 강화하지 않는 경우가 많다"며 "개별 회사에 보안 장비나 바우처를 지원하는 방식만으로는 한계가 있고, 중소형사를 대상으로 보안관제와 취약점 대응 등을 공동으로 지원하는 시스템이 필요하다"고 말했다. 정부의 취약점 진단·모의해킹 바우처나 매칭펀드 방식의 장비 지원과 함께 여러 중소형 금융사의 보안을 공동 관제하고 사고 대응까지 지원하는 체계가 필요하다는 것이다. 방안 중 하나로 금융보안 전문기관을 활용하는 방식이 거론된다. 중소형 금융사가 고가 장비를 도입하거나 전문인력을 채용하기보다 금융보안원이 여러 회사를 대상으로 보안 점검과 기술 지원을 제공하는 식이다. 금융보안원은 올해 종합점검·단독점검·공개용 홈페이지 점검 등 178개 금융회사를 대상으로 취약점 분석·평가를 진행하고 있다. 모의해킹 전담조직도 기존 6명에서 20명으로 확대했다. 대형 금융회사와 PG사·가맹점 등 협력사가 연결되는 위탁·제휴 과정의 보안 강화도 과제다. 공격자가 보안이 취약한 협력사를 먼저 침투한 뒤 대형사의 시스템이나 고객정보에 접근할 수 있기 때문이다. 토스페이먼츠의 경우 PG 서비스를 이용하는 특정 가맹점의 결제연동플랫폼 인증정보(연동키)가 외부에 노출돼 제3자가 결제내역을 조회했다. 결제내역 4131건, 정보주체 2671명의 정보가 노출됐다. 염흥열 순천향대 정보보호학과 교수는 "공격자는 상대적으로 보안이 취약한 협력사를 침해한 뒤 대형사의 시스템이나 고객정보에 접근할 수 있다"며 "접근권한 최소화, 다중인증, 망분리·격리, 이상행위 탐지와 정기적인 공급망 보안점검이 필요하다"고 말했다. 대형사도 예외 아니다…협력사까지 '공동 방패' 구축 대형 금융사와 중소형 금융사가 함께 방어망을 구축하는 '공동 방패'가 필요하다는 제언도 나온다. 대형사가 업권 차원의 공동 재원을 마련해 중소형 회원사의 보안 점검과 인프라 구축을 지원하는 방안이다. 금융회사들이 카드사·보험사·PG사 등 여러 사업자와 데이터를 주고받는 만큼 한 곳의 사고가 다른 회사나 고객정보로 확산할 가능성이 있어서다. 염 교수는 "중소형 금융사가 자체적으로 보안 역량을 높이기 어려운 만큼 공동 보안관제와 보안 솔루션 도입 비용, 전문인력과 교육, 침해사고 대응훈련 등을 지원해야 한다"며 "대형 금융사도 협력사의 보안 수준을 함께 높이는 상생 지원을 확대하고, 정부는 중소형 금융사에 적합한 최소 보안기준과 공동 대응체계를 마련해야 한다"고 했다. 업권별 협회가 회원사의 보안 점검을 금융보안원에 위탁하는 방안도 거론된다. 저축은행·카드사·대부업권·핀테크 등 협회가 비용을 일부 분담하고 금융보안 전문기관이 웹사이트와 소스코드 등을 점검해 취약점을 사전에 탐지·조치하는 방식이다. 금융보안원 관계자는 "개별 금융회사가 고가의 보안 솔루션이나 전문인력을 각각 확보하지 않고도 전문기관의 AI 기반 점검 서비스를 공동으로 활용하면 비용과 인력 부담을 낮추면서 보안 수준을 높일 수 있다"고 했다. 꼭 봐야 할 주요 뉴스 "이번 추석 너무 짧아, 월요일도 쉬자"…28일 임시...해외에서도 공동 대응이 시도되고 있다. 국제은행간통신협회(SWIFT)는 13개 글로벌 은행과 연합학습을 활용해 각 은행의 데이터를 외부로 이전하지 않고 사기 탐지 모델을 공동 고도화하는 방식을 실증했다. 문채석 기자 [email protected] 이은주 기자 [email protected] <ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제. 무단전재 배포금지, AI 학습 및 활용 금지>