금융회사, AI 보안패치 때 전산장애 발생해도 면책

[아이뉴스24 임우섭 기자] 금융회사가 인공지능(AI) 보안 테스트나 긴급 보안패치 과정에서 가벼운 전산장애를 일으켜도 신속히 복구하고 고객 보호조치를 하면 제재받지 않는다.

금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안 테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책 조치를 의결했다고 2일 밝혔다.

면책 대상은 보안 목적 AI를 활용한 취약점·포트 스캐닝, 자동화된 침투 시도 등 보안 테스트다. 금융위·금융감독원·금융 보안원이 전파한 보안취약점에 긴급 보안패치를 하거나 전산장비를 변경하는 과정에서 생긴 장애도 포함한다.

면책받으려면 고의성이 없고 금전 피해가 1억원 미만이어야 한다. 시스템 장애 시간은 최대 4시간 이내, 고객정보 유출은 1만건 미만이어야 한다. 개인신용정보 유출 사고는 신용정보법에 따라 제재받는다.

금융회사는 사전 테스트와 피해 확산 방지, 서비스 연속성 확보를 위한 작업계획서를 마련해야 한다. 홈페이지와 문자메시지(SMS) 등으로 보안 테스트나 패치 일시, 대상, 내용, 대체 서비스 경로를 고객에게 사전에 안내하고 피해 발생 시 구제 조치도 실행해야 한다.

금융위는 프론티어 AI 보안 위협에 대응하기 위한 6개 분야 가이드라인도 배포했다.

가이드라인은 이사회와 최고경영자(CEO)가 AI 보안 위협을 핵심 안건으로 다루고, 최고 정보보호 책임자(CISO)에게 예산과 인력 운영 권한을 부여하도록 했다. CISO 직속 대응반을 꾸려 보안, 인프라, 개발·배포, 데이터 담당자가 함께 모니터링한다.

취약점의 심각도와 악용 가능성, 핵심 업무 영향도, 대외 노출도, 법령 준수 여부 등을 따져 패치 관리의 우선순위를 정하도록 했다. 고위험 취약점은 일 단위로 관리하고, 패치가 늦어지는 시스템은 네트워크 임시 격리나 서비스 제한 등으로 조치해야 한다.

시스템, 애플리케이션, API, 클라우드, 오픈소스, 위탁업체 등 전산 자원을 통합 관리하도록 했다. AI 기반 방어 자동화는 업무 위험도에 따라 자동화 수준을 달리한다. 실시간 결제·이체 등 고위험 업무는 보안 담당자나 CISO 승인 뒤 조치하도록 했다.

금융위는 보안 목적 AI 테스트 결과와 국내외 상황 변화를 반영해 가이드라인을 계속 업데이트할 계획이다.