금보원의 AI 해킹 대비 가이드라인, 은행들이 제대로 따르지 않았나

금융보안원이 지난 7월 최고성능 인공지능 해킹 공격에 대비하기 위해 전 금융권에 배포한 가이드라인이 실제로는 제대로 이행되지 않았을 가능성이 제기되고 있다. 금보원은 미국 앤트로픽의 AI '미토스'가 기존 보안 시스템을 무력화하는 능력을 보인 4월 이후, 금융권의 체계적인 대응을 촉구하는 '프런티어 AI 보안 위협 금융분야 대응 요령' 가이드라인을 마련했다. 그러나 최근 발생한 금융권 해킹 사고에서 여러 금융사들이 취약점에 노출되면서, 해당 가이드라인이 형식적으로만 전달되었을 가능성이 커지고 있다.

금보원이 제시한 가이드라인의 핵심은 AI 보안 위협을 이사회와 최고경영자(CEO) 중심의 전사적 대응으로 격상하는 것이었다. 금보원은 미국과 영국 등 주요국들이 경영 최고위층에서 AI 보안 위협에 직접 대응하고 있는 사례를 강조하며, 국내 금융사들도 같은 수준의 대응을 요구했다. 특히 다수의 심각한 보안 사고가 동시에 발생하는 상황을 대비해 정기적인 모의훈련을 실시할 것을 주문했으며, 이를 '매주 또는 매월' 진행하면서 '취약점 대응'이 안정화될 때까지 지속할 것을 명시했다. 모의훈련 결과는 반드시 취약점 관리에 반영해야 한다는 조항도 포함되어 있었다.

가이드라인에서 특히 강조된 부분은 취약점 관리의 중요성이다. 금보원은 앞으로 '취약점 발견이 급증할 것'이라며 미국의 사례를 제시했다. 미국은 발견되는 취약점을 하루 단위로 관리하며, 외부 시스템에 대한 '패치'(차단 조치)를 적극적으로 시행하고 있다. 더욱 주목할 점은 미국이 취약점 '백로그'(미조치 취약점)를 단순한 IT 업무 차원이 아닌 '운영 리스크'로 규정한다는 것이다. 이는 회사의 운명을 좌우할 수 있는 위험 요인으로 간주하고 CEO부터 전사적으로 대응해야 한다는 의미다. 금보원이 이러한 국제 사례를 강조한 것은 국내 금융사들도 취약점 관리를 경영 전략 차원에서 접근해야 한다는 메시지였다.

그럼에도 불구하고 최근 발생한 금융권 해킹 사고는 이 가이드라인이 제대로 작동하지 않았음을 보여준다. 금융당국 관계자들은 이번 해킹이 정문이 아닌 뒷문에서 발생했다는 점에 주목하며, 금융사들이 취약점 대응에 상대적으로 소홀했을 가능성을 지적했다. 금감원 관계자는 "당국은 이 가이드라인 전에도 지난 2월부터 AI 해킹 공격에 대응하기 위한 가이드라인을 수차례 전파했다"고 밝혔다. 즉, 금보원과 금감원이 여러 차례에 걸쳐 경고와 지침을 제공했음에도 불구하고, 금융사들이 이를 충분히 반영하지 못했다는 뜻이다.

현재 금감원은 고객정보를 제대로 보호하지 못한 금융사들을 상대로 전자금융감독규정 8~36조 준수 여부를 전방위적으로 조사할 계획이다. 해당 규정은 인력·조직·예산 기준, 전산실 등 시설 부문, 정보기술 부문, 해킹 방지대책 등 정보보호 부문에 대한 금융사의 이행 의무사항을 포괄적으로 규정하고 있다. 조사 결과에 따라 금감원은 위반 금융사에 대해 경영개선명령을 내리거나 최고 6개월까지 영업정지(전자금융 부문)를 조치할 수 있다. 다만 금보원의 가이드라인은 법적 규제가 아닌 권고 사항이기 때문에, 이를 준수하지 않았다는 이유만으로는 직접적인 책임을 물을 수 없다는 점이 문제로 지적되고 있다.

이번 사건은 금융권의 보안 대응이 여전히 형식적 수준에 머물러 있을 가능성을 드러냈다. 금보원과 금감원이 제시한 지침들이 실제 업무에 충분히 반영되려면 단순한 권고를 넘어 법적 강제성을 갖춘 규제로 전환하거나, 금융사들의 경영진이 보안을 경영 최우선 과제로 인식하는 문화 변화가 필요하다는 지적이 나오고 있다. 특히 AI 기술의 발전으로 해킹 위협이 더욱 고도화되고 있는 상황에서, 금융사들의 자발적 대응만으로는 고객정보 보호가 어려울 수 있다는 우려가 커지고 있다.