[IT동아 강형석 기자] 4월 23일 금융보안원은 금융투자센터 불스홀에서 ‘10년 후 금융의 미래와 금융보안 전망’을 주제로 세미나를 진행했다. 금융보안원 창립 10주년을 기념해 마련한 자리에서 박상원 금융보안원 원장은 “현재 금융보안원은 국내 금융 시스템을 지키는 수문장 역할을 자처하고 있다”며 “디지털 금융 뉴노멀 시대 속에서 새로운 가치를 창출하는 데 노력할 것”이라고 말했다.

금융보안원은 목표 달성을 위한 역할을 제시했다. 먼저 인공지능 시대에 맞춘 보안 기술 구축 및 클라우드, 데이터를 안전하게 활용하도록 지원한다.

인공지능 기술은 빠르게 발전하고 있지만, 잘못된 결정을 내리거나 금융거래 정보를 유출하고, 사기에 악용되는 위험 사례 또한 늘고 있다. 금융보안원은 인공지능 시대 위험 대응을 위한 전문 서비스를 제공한다는 방침이다. 금융보안원 전문가들이 인공지능 모델 모의해킹을 수행해 보안성을 평가하고, 정보보호 성능검증 지표를 제공하는 방식이다. 연합학습 기술로 인공지능 모델 간 결합을 지원하고, 인공지능 모델 테스트 환경과 활용 가이드도 제공한다. 연합학습은 여러 장치에 분산된 데이터로 인공지능을 학습, 활용하는 기술이다.

금융권의 클라우드 및 데이터 활용 안정성 확보에도 힘을 쏟는다. 클라우드 기반 서비스에 대한 혁신금융서비스 평가를 수행하고, 공동 재해복구훈련 협의체를 운영해 금융사와 서비스 공급자(CSP) 협력을 강화한다. 데이터 허브와 인공지능 에이전트 간 연계로 데이터 유통 플랫폼 고도화에 나설 예정이다. 금융권 디지털 지갑에 특화된 보안 프레임워크 및 맞춤형 보안 서비스를 제공해 모바일 환경 집중화에 따른 위험에도 적극 대처한다.

금융보안원 내부 경쟁력 확보에도 적극 나선다. 금융보안원 내 조직원이 최고의 금융보안 전문가로 성장 가능한 환경을 조성한다. 조직원 스스로 인공지능, 디지털자산 등 신기술 연구에 자원 가능하고 민첩한 대응이 필요한 업무에는 애자일 방식 조직 구성을 진행한다. 국내외 논문 공모, 콘퍼런스 발표도 적극 지원한다. 화이트해커 양성하고, 전문 기술직군 신설도 추진한다. 금융보안원은 2027년까지 전 조직원의 10%를 인공지능 전문가로 육성한다는 청사진을 제시했다.

박상원 원장은 “보안으로 디지털 혁신 견인 및 미래를 이끌겠다. 새로운 디지털 금융 시대에도 금융 보안의 길잡이로서 역할을 수행하겠다”고 말했다.

전문가들이 말한 금융의 미래와 금융 보안

금융보안원 창립 10주년 기자간담회 이후, 금융 분야의 디지털 혁신과 보안 문제를 다룬 패널 토론이 진행됐다. 패널 토론에는 ▲윤준호 신한은행 최고정보책임자(CIO) ▲민경표 카카오뱅크 최고정보보안책임자(CISO) ▲강현정 김앤장법률사무소 변호사 ▲강형우 고려대 교수 ▲윤명근 국민대 교수 ▲허세경 금융보안원 팀장 등이 자리했다. 이들은 금융업계의 사이버 보안, 제3자 리스크, 인공지능 기술 활용에 대한 다양한 의견을 제시했다.

패널들은 인공지능 기술의 발전이 금융 서비스에 미치는 영향과 오픈소스 소프트웨어의 보안 취약성에 대해 우려를 표하며, 인공지능 기반 실시간 모니터링과 이상 행위 탐지 기술의 필요성을 강조했다.

민경표 카카오뱅크 CISO는 “클라우드 기술과 인공지능의 도입이 보안 위험(리스크)을 증가시키고 있다”며 제3자 리스크 관리의 중요성을 언급했다. 공급자의 클라우드 서비스가 중단될 경우, 피해는 고스란히 금융사로 전가될 수밖에 없다. 이에 단일 클라우드 사업자가 아닌 다수의 클라우드 제공자와 계약하는 멀티 클라우드 정책 기반 위험 요소 완화 설루션을 제안했다.

정책의 유연성과 자율 보안 체계 구축의 중요성도 강조됐다. 강현정 변호사는 “법령은 세부적인 내용까지 정할 경우, 규제 목적이나 취지와 관계없이 규정 준수에만 매몰될 가능성이 있다. 촘촘한 규제는 기술 발전이나 환경의 변화가 매우 빠른 상황에 즉각 대처하기 어렵다”고 말했다. 이어 데이터 규제를 인공지능 시대에 맞춰 유연하게 다듬을 필요가 있으며, 기술적 요소가 중요한 금융 보안 영역은 규제 중심보다 자율 규제와 원칙 규제로 전환하는 게 중요해 보인다고 덧붙였다.

다만, 자율 기준의 원칙을 강조하려면 다른 제도도 함께 다듬어야 한다는 게 강현정 변호의 설명이다. 예로 금융회사 내에서 최고정보보안책임자의 위상 강화, 보안 체계 규칙을 위한 최고경영자ㆍ이사회의 역할과 의무 부여 등 거버넌스(관리 구조)의 변화가 필요하다는 것이다.

허세경 팀장은 금융기업의 IT 기술 의존도 확대를 경고했다. 기술 의존도가 높아질수록 금융 사고에 대한 위험이 기술적 문제로 끝나는 게 아니라 전사적 경영 위험으로 확대될 가능성이 높기 때문이다. 허세경 팀장은 유럽연합의 디지털 운영 복원력 법(DORA – Digital Operational Resilience Act) 사례를 예로 들었다.

DORA는 금융 서비스 부문의 정보통신기술(ICT) 위험 관리를 포괄적으로 다룬다. 모든 유럽연합 내 금융 기관에 적용되며, 클라우드 및 데이터 센터를 운영하는 제3자 서비스 기업도 이 법을 따라야 한다. 정보통신기술 위험 요소 관리 및 관리 구조를 갖추고, 정기적으로 디지털 운영 복원력 테스트를 실시해야 된다.

허세경 팀장은 우리나라 감독규정이 있지만, 체크리스트만 준수하면 된다는 식의 소극적 대응 문화가 자리 잡은 부분을 꼬집었다. 소극적인 보안 문화가 지속된다면 고도화 중인 보안 위협에 제대로 대응하지 못한다고 강조했다. 허세경 팀장은 “금융사 스스로 각자 환경에 맞는 보안 체계를 수립하고 운영하는 자율 보안 체계로 변화해야 될 시점”이라고 말했다.

금융보안원은 자율 보안 체계의 성공적인 안착을 위한 서비스를 준비 중이다. 2025년 내에 금융사와 같이 작업반을 구성, 자율 보안 프레임워크를 개발할 예정이다. 자율 보안 프레임워크 내에는 금융사의 보안 수준 진단이 가능한 항목이 담기며, 완성 즉시 시험 운영을 통해 작동 여부를 검증한다. 금융사 경영진의 보안 의식 제고를 위해 금융보안 거버넌스 가이드를 발간하고, 사외이사 대상으로 온ㆍ오프라인 교육도 제공할 예정이다.

IT동아 강형석 기자 (redbk@itdonga.com)