금융위원회가 지난달 30일 면책심의위원회를 열어 프런티어 인공지능(AI) 보안테스트 및 보안패치 과정에서 발생하는 경미한 전산장애에 대해 금융회사와 임직원을 제재하지 않는 면책조치를 의결했다. 이는 미토스 등 고성능 AI 모델이 불러올 새로운 보안위협에 금융권이 적극 대응할 수 있도록 지원하기 위한 조치로, 지난 5월 개최된 ‘고성능 AI 보안위협 대응 간담회’의 후속이다. 금융위는 금융감독원·금융보안원과 협력해 업계 의견을 수렴하고 민간 기술자문단의 조언을 반영해 면책 범위와 기준을 확정했다.

그동안 금융업계는 AI 기반 보안 테스트나 긴급 패치 과정에서 발생할 수 있는 경미한 장애 때문에 적극적인 보안조치를 주저하는 문제가 있다고 지적해 왔다. 이에 따라 금융위는 보안목적 AI를 활용한 취약점 점검, 자동화된 침투 테스트, 그리고 금융당국이 전파한 취약점에 대한 긴급 패치 과정에서 발생한 경미한 장애에 대해 신속한 복구와 소비자 보호조치가 이행되면 제재를 면제하기로 했다. 경미한 장애의 기준은 △고의성 없음 △금전피해 1억원 미만 △장애시간 4시간 이내 △개인신용정보를 제외한 고객정보 유출 1만건 미만 등이다. 다만 개인신용정보 유출은 신용정보법에 따라 기존 제재가 그대로 적용된다.

금융위원회는 동시에 금융회사들이 프런티어 AI 보안위협에 대응할 수 있도록 ‘프런티어 AI 보안위협 금융분야 대응요령’ 가이드라인도 배포했다. 가이드라인은 경영진 책임 강화, 취약점·패치 관리, 자산·공급망 관리, AI 기반 방어 자동화, 금융권 공동대응 및 복원력 강화, 침해확산 방지 등 6개 분야로 구성된다. 이는 중소형 금융회사가 빠르게 변화하는 AI 기반 보안위협에 실무적으로 대응할 수 있도록 행동요령과 모범사례를 제시하는 데 목적이 있으며, 준수 여부가 제재로 이어지지는 않는다.

가이드라인은 이사회와 최고경영자(CEO)가 AI 보안위협을 핵심 의제로 다루고 CISO(Chief Information Security Officer, 정보보호 최고책임자)에게 실질적 권한을 부여할 것을 권고한다. 또한 취약점 증가에 대비해 패치 우선순위를 정교하게 설정하고, 패치 지연 시 임시격리 등 보완조치를 마련하도록 했다. 금융회사는 시스템·API·클라우드·오픈소스·위탁업체 등 모든 자산을 통합 관리하고, SBOM(Software Bill of Materials, 소프트웨어 부품 명세서) 작성과 SCA(Software Composition Analysis, 소프트웨어 구성 분석) 도구 활용을 통해 공급망 위험을 줄여야 한다. AI 기반 공격에 대비한 자동화된 방어체계 구축도 제시됐으며, 오탐지나 과잉대응을 방지하기 위해 자동화 수준을 업무 위험도에 따라 조정하도록 했다.

또 금융권 공동대응 체계를 강화해 위험정보 공유, 공동 탐지룰 마련, 공급망 공동 점검 등을 추진하고, 사고 발생 시 신속한 복원력을 확보하기 위한 실시간 대응체계를 마련하도록 했다. 내부 확산을 막기 위해 제로트러스트 기반 접근통제, 다중 인증, 최소 권한 부여, 네트워크 세분화 등도 강조됐다. 금융위는 향후 AI 보안테스트 결과와 국내외 동향을 반영해 가이드라인을 지속해서 보완할 계획이며, 망분리 규제 완화와 AI 활용 확대를 위한 정책도 적극 추진하겠다고 밝혔다.