AI 보안 강화하다 장애 나도…금융당국 "제재 면책"

고의 없고 피해 1억원 미만·장애 4시간 이내면 과태료 등 면책

서울 종로구 소재 금융위원회 전경 [사진=금융위]

금융당국이 금융회사의 인공지능(AI) 보안위협 대응 과정에서 발생하는 경미한 전산장애에 대해 제재 면책을 적용한다. 고성능 AI를 활용한 사이버 공격 가능성이 커지는 만큼 금융회사들이 제재 부담 때문에 보안테스트나 긴급 패치를 미루지 않도록 하겠다는 취지다.

2일 금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책조치를 심의·의결했다고 밝혔다. 금융회사들의 대응 요령을 담은 ‘프런티어 AI 보안위협 금융분야 대응요령’도 마련해 배포했다.

앞으로 금융회사가 보안 목적의 AI를 활용해 취약점 점검이나 포트 스캐닝, 자동화된 침투 시도 등 보안테스트를 하거나 금융위·금감원·금융보안원이 전파한 보안 취약점에 대해 긴급 보안패치를 실행하는 과정에서 경미한 전산장애가 발생해도 일정 요건을 충족하면 기관·임직원 제재와 과태료 부과가 면책된다.

면책 요건은 고의성이 없고 금전피해가 1억원 미만이며, 시스템 장애 시간이 최대 4시간 이내인 경우 등이다. 개인신용정보를 제외한 고객정보 유출도 1만건 미만이어야 한다. 다만 신용정보법상 개인신용정보 유출 사고가 발생하면 이번 면책과 관계없이 관련 제재가 적용된다.

금융당국은 신속한 복구 수단과 소비자 보호조치도 함께 보겠다는 방침이다. 금융회사는 사전 테스트와 롤백, 킬스위치, 서비스 격리 등 피해 확산 방지 방안을 마련해야 한다. 또 홈페이지나 문자메시지 등을 통해 보안테스트·패치 일시와 대상, 대체 서비스 경로 등을 사전에 안내하고 피해 발생 시 구제조치를 이행해야 한다.

이번에 배포된 가이드라인은 △경영진 책임 강화 △취약점 및 패치 관리 △자산·공급망 관리 △AI 기반 방어 자동화 △금융권 공동대응 및 복원력 강화 △침해확산 방지 등 6개 분야로 구성됐다. 금융회사 이사회와 최고경영자(CEO)가 AI 보안위협을 핵심 안건으로 다루고, 최고정보보호책임자(CISO)에게 예산과 인력 운영 권한을 실질적으로 부여하는 내용도 포함됐다.