“AI 공격은 AI로”… 금융권 보안 패러다임 전환
고성능 인공지능(AI)이 사이버 공격 수단으로 부상하면서 금융권 보안 체계도 빠르게 바뀌고 있다.
기존 사람 중심의 보안 대응만으로는 AI 기반 공격의 속도와 범위를 따라가기 어려워지자 금융당국과 금융회사들은 ‘AI 공격은 AI로 방어한다’는 방향 아래 선제적 보안 체계 구축에 나서고 있다.
■ 금융당국, 망분리 완화 추진
금융위원회는 지난달 22일 고성능 AI 관련 금융권 보안위협 대응 방안을 논의하고, 보안 목적의 AI 활용에 대해 망분리 규제를 한시적으로 허용하기로 했다. 금융회사가 AI를 활용해 내부 취약점을 점검하거나 보안 서비스형 소프트웨어(SaaS) 기반 방어체계를 구축할 수 있도록 길을 열겠다는 취지다. 일정 수준 이상의 보안·AI 역량을 갖춘 금융회사에 대해서는 향후 망분리 규제 전면 완화도 검토한다.
기존 망분리 체계는 금융회사의 내부망과 외부망을 분리해 외부 공격 표면을 줄이는 데 효과적이었다. 그러나 클라우드, SaaS, 생성형 AI 활용이 확대되면서 업무 효율성과 보안 대응 속도 측면에서 한계가 커졌다. 이에 금융당국은 혁신은 넓히되 보안 통제는 강화하는 방향으로 규제 체계를 조정하고 있으며, 금융회사에는 다중인증, 최소 권한 부여, 접속 로그 수집, 네트워크 암호화 등 보완 통제가 요구된다.
■ 포스트 망분리 시대, ‘제로트러스트’ 부상
망분리 규제 완화 흐름 속에서 핵심 보안 모델로 떠오른 것은 ‘제로트러스트(Zero Trust)’다. 제로트러스트는 ‘절대 신뢰하지 말고 항상 검증하라’는 원칙 아래 사용자, 단말, 네트워크 접근을 지속적으로 확인하는 보안 체계다.
금융보안원은 지난 4월 ‘금융분야 제로트러스트 보안 안내서’를 발간하고 재택근무, 업무 단말, SaaS, 연구·개발, 본·지점 간 통신 등 금융권 특화 5개 구간에 대한 구축 예시와 보안 진단 기준을 제시했다.
■ KB금융, AI 기반 실전형 보안체계 강화
금융회사들도 자체 보안 역량 강화에 속도를 내고 있다. KB금융그룹은 ‘AI 공격에는 AI로 대응한다’는 원칙 아래 AI 에이전트를 활용한 모의해킹과 보안업무 자동화 체계를 운영하고 있다.
자체 개발한 모의해킹 AI와 외부 전문기관 AI를 병행 활용해 실전형 점검 체계를 구축했으며, AI 에이전트와 로봇프로세스자동화(RPA)를 결합한 24시간 보안 모니터링 체계도 마련했다. 그룹 클라우드 환경에는 제로트러스트 체계를 확대 적용하고, AI 레드티밍(AI Red Teaming)을 통해 취약점 사전 식별도 강화하고 있다.
■ NH농협손보, 보험권 첫 제로트러스트 실증 참여
보험업계에서는 NH농협손해보험이 과학기술정보통신부와 한국인터넷진흥원(KISA)이 추진하는 ‘2026 제로트러스트 도입 시범사업’에 보험업계 최초 핵심 수요기관으로 참여했다. 농협손보는 보험 서비스 디지털화가 가속화되는 상황에서 고객 개인정보와 금융 데이터를 보호하기 위해서는 기존 망분리 중심 경계 보안이 내부 진입 이후 공격 확산을 막는 데 한계가 있다고 판단했다.
이에 이번 실증사업을 통해 데이터 중심의 ‘미세격리 모델’을 집중 검증할 계획이다. 미세격리는 서버 한 대, 사용자 한 명 단위로 네트워크를 세분화해 특정 PC가 해킹되더라도 다른 서버나 단말로 공격이 번지지 않도록 통제하는 구조다. 농협손보는 이번 실증을 통해 AI 기반 적응형 접근통제 시스템을 고도화하고 보험권에 적합한 제로트러스트 도입 로드맵을 제시하겠다고 밝혔다.
농협손보 관계자는 “향후 보험권 보안 경쟁의 핵심은 단순히 외부 침입을 막는 수준을 넘어 모든 접속과 행위를 지속적으로 의심하고 검증하는 체계를 구축하는 것”이라며 “고객의 민감한 금융 데이터를 얼마나 안전하게 보호하느냐가 핵심 경쟁력이 될 것”이라고 설명했다.
