금감원, 금융권 CISO 소집…“통제 미흡 대형사고 엄중조치”

IT 기본통제 미흡 고위험사 현장점검

자율시정 충실하면 경미한 사고 제재 감면

AI 활용 해킹 확산에 경영진 책임 강화

금융감독원은 9일 이종오 디지털·IT 부문 부원장보 주재로 전 금융권 정보보호 최고책임자(CISO) 간담회를 열고 이 같은 금융권 보안 대응 방향을 공유했다. ⓒ연합뉴스

금융감독원이 인공지능(AI)을 활용한 사이버 공격 확산에 대응해 금융회사의 IT 기본통제 점검을 강화한다.

자율시정을 충실히 이행한 금융회사에는 경미한 사고 발생 시 제재 감면을 검토하는 반면, 형식적인 시정에 그쳐 대규모 사고가 발생하면 엄중 조치한다는 방침이다.

금감원은 9일 이종오 디지털·IT 부문 부원장보 주재로 전 금융권 정보보호 최고책임자(CISO) 간담회를 열고 이 같은 금융권 보안 대응 방향을 공유했다.

최근 AI를 이용해 취약점을 탐색하고 공격 코드를 작성하는 등 사이버 공격이 자동화·고도화되면서 금융권의 기존 보안 체계만으로 대응하기 어려워지고 있다는 판단에서다.

실제 미국 국립표준기술연구소(NIST)가 공개한 신규 취약점은 지난해 상반기 2만3664건에서 올해 상반기 3만5872건으로 51.6% 증가했다.

한국인터넷진흥원(KISA)의 보안 공지도 같은 기간 136건에서 199건으로 46.3% 늘었다.

AI가 해킹에 활용될 경우 취약점을 빠르게 찾아내는 데 그치지 않고 여러 금융회사를 상대로 자동화된 대량 공격을 할 수 있다는 게 금감원의 설명이다.

해외에서는 생성형 AI가 공격 방법과 전략을 결정하고 취약점 탐색부터 공격 코드 작성, 내부망 이동, 정보 유출까지 상당 부분을 자율적으로 수행한 사례도 나타났다.

이에 금감원은 금융회사 경영진이 직접 IT 위험 관리에 관여하도록 요구했다.

시스템·프로그램·클라우드·오픈소스 등 IT 자산을 식별해 통합 관리하고, 취약점이 대량 발견됐을 때 중요도와 위험 노출도에 따라 패치 우선순위를 정하는 체계도 갖추도록 했다.

침해사고 발생 시 서비스 복구와 고객 피해 통지·보상 등 소비자 보호 방안도 사전에 마련하도록 주문했다.

특히 금감원은 첨단 보안 기술 도입보다 기본적인 IT 통제를 지키는 것이 우선이라고 강조했다.

최근 발생한 주요 IT 사고 상당수가 중요 보안 패치 미적용이나 퇴직자 계정 방치, 이용자 정보 암호화 미흡, 프로그램 변경 테스트 부실 등 기본통제 미흡에서 비롯됐다는 판단이다.

금감원은 지난 7월부터 전 금융권을 대상으로 자가진단 도구를 활용한 IT 기본통제 '자율시정'을 진행하고 있다.

정보처리시스템 보호와 전산자료 보호, 해킹 방지, 공개용 웹서버 관리, 프로그램 변경 통제 등 5개 부문이 점검 대상이며 오는 11월까지 진행된다.

향후 검사에서도 기본통제 운영 실태를 중점적으로 살피고 통제가 미흡한 고위험 금융회사에는 현장점검을 실시한다.

자율시정 결과에 따라 제재에도 차등을 둘 계획이다. 금감원은 적극적인 자율시정을 통해 미흡 사항을 보완한 금융회사에서 경미한 사고가 발생할 경우 제재 감면을 적극 검토한다.

반면 형식적·소극적으로 시정해 IT 기본통제 미흡을 원인으로 대규모 IT·침해사고가 발생한 경우 최대한 엄중하게 조치할 예정이다.

이종오 부원장보는 "프런티어 AI 기반 보안 위협은 막연한 우려가 아니라 금융회사의 생존과 직결되는 현실의 문제"라며 대표이사를 비롯한 경영진이 조직·인력·예산을 확충하고 전사적인 IT 보안 강화에 나서야 한다고 당부했다.