2013년 3월 전산망 마비 사태 이후 지난 10년간 한국 금융권의 핵심 보안 원칙은 '망분리'였다. 내부 업무망과 외부 인터넷을 끊어 외부 침입을 차단하는 방식은 내부 시스템을 보호하는 가장 직관적이고 강력한 해법이었다.
그러나 인공지능(AI), API, 모바일 금융이 금융산업의 기본 인프라가 되면서 보안 환경은 달라졌다. 금융보안의 무게중심이 '분리와 차단'에서 '연결과 통제'로 이동돼, 불가피한 연결을 어떻게 식별하고 책임 있게 관리할지가 핵심이다. 이는 단순한 망분리 완화가 아니라 AI시대에 맞는 금융보안 체계의 재설계다.
핀테크 업권은 이미 AI와 밀접하게 연결돼 있다. 간편결제, 송금, 마이데이터,정산 등 주요 서비스는 24시간 모바일 거래와 외부 API 연동을 기반으로 운영된다. 이 환경에서는 실시간 이상거래 탐지, 계정 탈취 대응, 개인정보 유출 방지가 곧 소비자 보호와 직결되는 등 보안을 고도화하는 핵심 인프라가 되고 있다.
현장 변화도 시작됐다. 주요 핀테크 사업자들은 AI 활용 협의체를 운영하고, 보안·개인정보·내부통제 거버넌스를 구축하고 있다. AI 시스템 개발·운영 지침 등 내규를 마련하는 사례도 늘고 있다. 실제로 AI를 활용해 거래 패턴을 분석하고, 이상거래와 계정 탈취 징후를 탐지하며, 비정형 데이터 속 신용정보 노출 여부를 점검하고, 모의해킹 등을 통해 정확도를 높이는 시도도 진행 중이다.
문제는 기존 망분리 체계가 변화에 대응하기 어렵다는 점이다. 최신 AI 보안 솔루션은 대부분 클라우드, 서비스형소프트웨어(SaaS), 외부 API 연동을 전제로한다. 그러나 망분리 환경에서는 내부 보안 로그와 외부 AI 분석 엔진을 실시간으로 연동하기 어렵다. 이상거래 징후를 포착해도 즉시 분석하고 대응하는 데 한계가 생긴다.
또 공격 탐지 모델 업데이트, 보안 패치, 장애 로그 분석 등은 보안 솔루션 제조사의 클라우드와 연동을 전제로 한다. 하지만 망분리 환경에서는 내부망에 도입한 보안 솔루션조차 제조사 클라우드와 통신하지 못해 자동 업데이트가 막히는 경우가 있다. 패치 파일을 수동 반입·업데이트하는 방식은 신속성이 떨어진다. AI 공격이 빨라지는 시대에 보안 운영만 과거 방식에 머물러서는 대응력이 약화될 수밖에 없다.
AI 활용 위험도 분명하다. 딥페이크를 활용한 사칭 사기, AI 기반 피싱, 외부 AI 서비스 이용 과정에서 내부 문서 유출은 이미 현실적 보안 과제다. 따라서 필요한 것은 무조건 허용이 아니다. 고객정보나 내부 기밀이 외부 AI 서비스에 입력되지 않도록 관리하고, 사고 발생 시 책임 소재도 명확해야 한다.
핀테크업권 특성도 제도 설계에 반영돼야 한다. 핀테크 서비스는 금융소비자와 가장 가까운 접점에 있다. 간편결제, 송금, 마이데이터 등은 이미 소비자와 금융시스템을 잇는 핵심 인프라다. 월간 활성 이용자, 데이터 처리 규모를 고려하면 핀테크업권은 금융보안 논의의 핵심 당사자다.
따라서 제도 논의도 금융회사 뿐만아닌 핀테크의 참여가 필요하며, 특히 인력과 예산의 한계로 AI 보안체계를 갖추기 어려운 중소형 핀테크에 대한 공통의 실무형 표준 가이드라인 등 공동 지원체계 마련이 시급하다.
최근 해외 주요국도 AI 시대에 맞춰 AI·디지털 위험관리 정책의 방향을 전환하고 있다. 미국은 NIST AI 위험관리프레임워크(AI RMF)와 같은 자율 가이드라인을 통해 기업이 스스로 AI 위험을 식별하고 관리하도록 유도하고 있다. 유럽은 AI법을 통해 AI 시스템을 위험 수준에 따라 규율하고, 금융권에는 디지털운영복원력법(DORA)을 적용해 접근통제, 로그관리, 지속적인 모니터링 등 정보통신기술(ICT) 운영·보안 체계를 강화하고 있다.
접근 방식에는 차이가 있지만, 디지털 기술 활용을 전제한 가운데 위험을 체계적으로 관리한다는 점에서는 공통적이다. 규제의 형태가 자율이든 의무든 핵심은 기업이 스스로 위험을 파악하고 통제할 수 있는 역량을 갖추도록 하는 데 있다. 이는 보안을 고정된 규제가 아니라 기술 변화에 맞춰 지속적으로 관리하고 개선해 나가는 체계로 바라보는 패러다임의 전환을 의미한다. 결국 중요한 것은 연결 자체를 제한하는 것이 아니라, 연결 과정에서 발생하는 위험을 얼마나 체계적으로 통제하고 책임 있게 관리하느냐다.
특히 AI 환경에서는 새로운 공격 기법이 기존 규제보다 빠르게 등장한다. 모든 기술 변화에 맞춰 세부 규정을 사전에 마련하는 방식에는 한계가 있다. 결국 금융회사와 핀테크가 각자의 서비스 특성과 위험 수준에 맞는 통제체계를 점검하고 개선하는 역량이 경쟁력이 된다. 규제는 최소한의 기준을 제시하고, 현장은 이를 바탕으로 자율적인 보안 수준을 높여가는 구조가 요구된다.
우리나라 역시 이러한 흐름에 맞춰 망분리 개선과 자율보안 체계로의 전환을 추진하고 있다.
금융당국은 망분리 개선과 자율보안 전환 방향을 제시하고 있다. 금융회사 등이 스스로 위험을 평가하고 통제하는 방향으로 제도가 바뀌고 있다. 이에 따라 업권의 책임 역시 중요하다. 사고 발생 시 “규정대로 했다”는 설명이 아닌, 어떤 위험을 인식했고, 어떤 통제 수단과 그 판단이 왜 합리적이었는지를 설명해야한다.
이제 보안은 IT부서 만의 기술 문제가 아니다. 경영진이 책임져야 할 전사적 리스크이며, 소비자 신뢰와 기업 지속가능성을 좌우하는 핵심 과제다. AI시대 금융보안의 경쟁력은 누가 더 안전하게 통제하고 책임 있게 활용하느냐에 달려 있다. 이를 위해 핀테크 업권의 보안 역량 강화 노력과 금융당국의 제도적 지원이 함께 필요하다.
김종현 한국핀테크산업협회장 korfin@korfin.kr
〈필자〉부산대 전자계산학과를 졸업한 뒤 동남은행과 주택은행에서 실무 경험을 이어 왔으며, 이후 웹케시에 합류해 기업자금관리 서비스의 성장 과정에 참여했다. 2006년부터 쿠콘 대표를 맡아 금융·공공 데이터를 연계하는 API 기반 비즈니스를 이끌고 있으며, 디지털플랫폼정부위원회 민간위원으로도 활동하며 한국핀테크산업협회장으로서 핀테크 산업 전반의 제도 개선과 생태계 확장에도 기여하고 있다.