SBS Biz

금융위원회가 금융회사들의 보안강화를 유도하기 위해 '경미한 전산장애'가 생기더라도 신속한 복구와 소비자보호조치가 이뤄졌다고 판단되면 제재나 과태료 부과 등을 하지 않기로 했습니다.

금융위원회는 지난달 30일 면책심의위원회를 열고 AI 보안테스트·보안패치 과정에서 발생하는 전산장애에 대한 면책조치를 심의하고 의결했다고 오늘(2일) 밝혔습니다.

또 금융회사들의 AI 보안위협에 효과적으로 대응하기 위한 행동요령을 담은 가이드라인도 배포했습니다.

이는 '미토스' 등 프런티어 AI의 보안위협에 금융권이 대응해 보안강화 조치를 취하도록 지원하기 위함입니다. 지난 5월22일 개최한 '고성능 AI 보안위협 대응간담회'의 후속조치이기도 합니다.

간담회 이후 금융위원회는 금융감독원, 금융보안원 등 유관기관과 함께 면책범외와 내용 및 가이드라인에 필요한 세부항목 등에 대해 금융업계의 의견수렴을 거쳤습니다.

AI·보안·법률 전문가로 구성된 '민간기술자문단'의 전문적 조언 등을 반영해 방안을 확정했습니다.

앞으로는 금융회사들이 보안목적 AI를 활용해 테스트를 진행하거나, 금융위·금감원·금보원 등에서 전파하는 보안취약점에 대한 보안패치를 실행하는 과정에서 경미한 전산장애가 생기더라도, 신속한 복구와 소비자보호조치가 이뤄졌다면 제재나 과태료 부과 등 제재조치가 면책됩니다.

먼저 면책대상은 보안목적의 AI를 통해 상시적인 취약점, 포트스캐닝, 자동화된 침투 시도 등 보안테스트를 시행하거나, 금융위·금감원·금보원에서 전파하는 보안 취약점에 대해 긴급 보안 패치 또는 이에 준하는 전산장비 변경 등을 포괄합니다.

면책요건은 경미한 전산장애에 대해 신속한 복구 수단 및 소비자 보호 조치 마련·이행 여부 등을 종합 고려할 예정입니다.

경미한 전산장애는 고의성이 없고, 금전피해가 1억원 미만이며, 시스템 장애시간이 최대 4시간 이내인 장애 등 일정 기준 이내에 해당하는 경우를 말합니다.

신속한 복구 수단이란 사전테스트, 피해확산 방지 및 서비스 연속성 확보를 위한 작업계획서를 마련해 실시한 경우입니다.

소비자 보호조치란 대고객 사전 안내 및 피해 구제 방안을 마련하고 이행하는 경우로서, 홈페이지·문자 등을 통해 보안테스트 등을 고객에게 사전에 안내하고 소비자 피해 발생 시 구제조치를 마련·실행한 경우입니다.

면책범위는 기관·임직원에 대한 제재·신분제재와 과태료를 포괄합니다. 

다만 '신용정보법'에 따른 개인신용정보 유출사고 발생시에는 금번 면책 조치와 관계없이 이 법에 따른 제재조치가 그대로 적용됩니다.

가이드라인에는 ▲경영진 책임 강화 ▲취약점 및 패치관리 ▲자산 및 공급망 관리 ▲AI 기반 방어 자동화 ▲금융권 공동대응 및 복원력 강화 ▲침해확산 방지 체계 등 6개 분야의 대응요령을 담은 가이드라인을 배포했습니다.

이는 1~3차에 걸친 보안목적 AI 테스트 결과 등을 반영해 지속적으로 업데이트 해 나갈 계획이며, 업데이트 내용 등은 금융보안원 홈페이지에서 확인할 수 있습니다.