금융위, 프런티어 AI 보안 대응 면책·가이드라인 마련

금융위원회 보도자료에 따르면 금융회사가 프런티어 AI 보안위협에 대응하기 위해 AI 보안테스트와 보안패치를 수행하다가 일정 범위의 전산장애가 발생한 경우 제재를 면책받을 수 있는 조치가 마련됐다. 금융위는 이와 함께 금융회사가 참고할 수 있는 '프런티어 AI 보안위협 금융분야 대응요령'도 배포했다.

이번 조치는 2026년 6월 30일 금융위원회 면책심의위원회에서 심의·의결됐다. 금융위는 Anthropic의 고성능 모델 Mythos 등 프런티어 AI가 보안위협을 키울 수 있다는 우려 속에서 금융권이 공격표면 점검, 취약점 확인, 보안패치에 더 적극적으로 나서도록 하기 위한 후속 조치라고 설명했다.

면책 대상은 두 갈래다. 금융회사가 보안 목적 AI를 활용해 상시 취약점·포트 스캐닝이나 자동화된 침투 시도 등 보안테스트를 진행하는 경우, 또는 금융위·금융감독원·금융보안원 등이 전파한 보안취약점에 대해 긴급 보안패치나 이에 준하는 전산장비 변경을 수행하는 경우가 포함된다.

다만 모든 장애가 면책되는 것은 아니다. 금융위는 고의성이 없고 금전 피해가 1억원 미만이며 시스템 장애 시간이 최대 4시간 이내인 경우, 또 고객정보 유출이 개인신용정보를 제외하고 1만건 미만인 경우 등 일정 기준 안의 경미한 전산장애를 전제로 했다. 신속한 복구 수단과 소비자 보호조치 마련·이행 여부도 함께 본다.

면책 범위는 기관과 임직원에 대한 제재·신분제재, 과태료를 포괄한다. 그러나 신용정보법에 따른 개인신용정보 유출 사고는 이번 면책 조치와 관계없이 해당 법에 따른 제재가 적용된다. 금융권 보안 대응을 독려하되, 민감 정보 보호 책임까지 낮추는 조치는 아니라는 의미다.

가이드라인은 여섯 개 분야로 구성됐다. 금융위와 관계기관은 경영진 책임 강화, 취약점 및 패치 관리, 자산·공급망 관리, AI 기반 방어 자동화, 금융권 공동 대응 및 시스템 복원력 강화, 침해 확산 방지 체계를 대응요령으로 제시했다.

특히 취약점과 패치 관리에서는 취약점 제거 자체보다 공격 성공 가능성을 낮추는 방향으로 관리 중심을 옮길 필요가 있다고 봤다. 고위험 취약점을 일 단위로 관리하고, 패치가 지연되는 시스템에는 네트워크 임시 격리나 서비스 제한 같은 보완 조치를 검토하라는 내용도 포함됐다.

자산·공급망 관리에서는 시스템, 애플리케이션, API, 클라우드, 오픈소스, 위탁업체 등 모든 자산을 통합적으로 파악해야 한다고 안내했다. 오픈소스 소프트웨어에 대해서는 소프트웨어 구성명세서인 SBOM 작성과 소프트웨어 구성 분석 도구 활용도 고려 대상으로 제시됐다.

AI 기반 방어 자동화와 관련해서는 위험도에 따라 자동화 수준을 달리해야 한다고 했다. 단순 로그 분석이나 피싱 메일 격리 같은 저위험 업무는 자동화할 수 있지만, 코어 계정계나 실시간 결제·이체, 인증 데이터베이스처럼 고위험 자산과 관련된 조치는 보안 담당자나 CISO의 최종 승인이 필요하다는 식이다.

이번 조치는 금융권의 AI 보안 대응이 단순한 기술 도입을 넘어 경영진 책임, 복구 체계, 공동 대응, 제로트러스트 기반 접근통제까지 포함하는 운영 과제로 확장되고 있음을 보여준다. 프런티어 AI가 취약점 발견과 공격 자동화의 속도를 높일 수 있다는 전제 아래, 금융당국도 보안 강화 과정의 운영 리스크를 함께 다루기 시작한 셈이다.

출처: 금융위원회 보도자료 https://www.fsc.go.kr/no010101/87240?curPage=1&srchBeginDt=&srchCtgry=&srchEndDt=&srchKey=&srchText=
출처: 금융위원회 첨부 PDF https://www.fsc.go.kr/comm/getFile?fileNo=2&fileTy=ATTACH&srvcId=BBSTY1&upperNo=87240
출처: 금융보안원 '프런티어 AI 보안 위협 금융분야 대응 요령' https://www.fsc.go.kr/comm/getFile?fileNo=3&fileTy=ATTACH&srvcId=BBSTY1&upperNo=87240