금융사, AI 공격 대비 비상 계획 사전 수립해야
호주 증권투자위원회(ASIC)와 호주 건전성 감독청(APRA)은 최근 금융업계 전반에 걸쳐 인공지능(AI) 기반 사이버 공격에 대한 대비 태세를 점검하고, 이에 대한 금융사들의 구체적인 대응 방안 마련을 촉구했습니다. 이는 AI 기술이 급격히 발전하면서 사이버 공격의 속도와 정교함이 비약적으로 증가할 가능성에 대비하기 위한 선제적 조치입니다. 감독 당국은 지난 6월과 7월 동안 업계 관계자들과 9차례의 간담회를 진행했으며, 380개 이상의 금융기관에서 600명 이상이 참석한 이 자리를 통해 금융 시스템의 복원력 강화를 위한 다양한 논의를 진행했습니다.
이번 점검의 핵심은 예상치 못한 위기 상황 발생 시, 누가 신속하게 의사결정을 내리고 비상 계획을 실행할 수 있는지 명확히 하는 것입니다. ASIC의 시몬 콘스탄트 위원은 “호주 금융 시스템은 가장 취약한 연결고리만큼만 강하다”고 강조하며, 각 금융기관 이사회는 잠재적인 사이버 공격으로 인해 의사결정 시간이 압축될 수 있다는 점을 인지하고, 실제 위기 상황 발생 전에 비상 사태 발생 시 최고 책임자가 누구인지, 어떤 절차에 따라 업무를 중단하거나 복구 계획을 우선순위화할지, 그리고 어떻게 대외 소통을 진행할지에 대한 구체적인 방안을 사전에 확정해야 한다고 지적했습니다. 또한, 규제 당국은 이러한 준비 상태를 입증할 수 있는 자료로 명확한 의사결정 권한, 검증된 비상 연락망, 그리고 실제 위기 대응 훈련 실시 여부 등을 제시했습니다.
AI, 금융 거래 시스템까지 침투…책임 소재 및 관리 방안 중요
AI 기술은 이제 단순한 정보 분석을 넘어 실제 금융 거래 시스템에 직접적인 영향을 미치는 수준까지 발전했습니다. 최근 일부 핀테크 기업들은 AI 에이전트를 실제 거래 시스템에 연동하여, 고객의 승인을 거쳐 자동으로 투자를 실행하거나 포지션 관리를 하도록 하는 서비스를 선보이고 있습니다. 이러한 시스템은 AI가 계좌 정보를 읽고 거래 지시를 생성할 수 있지만, 최종적인 거래 실행은 반드시 고객의 최종 확인을 거치도록 설계되어 있습니다. 하지만 이러한 기술 발전은 AI 시스템 자체의 오작동이나 해킹, 혹은 연동된 외부 서비스 제공업체의 문제 발생 시, 누가 어떻게 책임을 지고 해당 상황을 관리할 것인가에 대한 새로운 고민거리를 안겨주고 있습니다.
AI가 더욱 발전함에 따라, 금융기관들은 AI 도구나 연계된 시스템, 혹은 외부 공급업체가 예기치 않게 작동하는 경우를 대비한 명확한 관리 방안을 수립해야 합니다. 이는 단순히 기술적인 문제 해결을 넘어, AI 시스템의 오작동으로 인해 고객의 자산이나 보유 포지션에 문제가 발생했을 때, 이를 책임지고 해결할 수 있는 내부 규정과 절차 마련의 중요성을 시사합니다. 금융당국은 이러한 AI 연동 시스템의 잠재적 위험성을 인지하고, 금융기관들이 책임 소재를 분명히 하며, AI의 잘못된 판단으로 인한 금융 사고를 예방할 수 있는 다각적인 대비책을 갖추도록 지도하고 있습니다.
클라우드, 소프트웨어 등 공유 인프라의 위험성도 부각
ASIC과 APRA는 금융기관들이 공통적으로 의존하는 클라우드 서비스, 소프트웨어 공급업체, AI 모델 개발사, 오픈소스 소프트웨어, 결제 인프라, 통신망 등 공유 인프라의 위험성 또한 강조했습니다. 이러한 외부 서비스 제공업체 중 한 곳에서라도 문제가 발생하면, 수많은 금융기관과 시장 전체가 동시에 운영에 차질을 겪을 수 있다는 점을 지적한 것입니다. 실제로 유럽의 일부 증권사들을 대상으로 한 조사에서는 응답 기관의 41%가 단일 상용 공급업체에 대한 높은 의존도를 보인 것으로 나타났습니다. 이는 특정 공급업체에 대한 과도한 의존이 단일 실패 지점(Single Point of Failure)으로 작용할 수 있음을 보여줍니다.
이러한 문제에 대해 프랑스 금융시장청(AMF)과 같은 다른 국가의 규제 당국 역시 AI 관련 위협과 제3자 서비스 제공업체에 대한 감독을 강화하는 추세입니다. 많은 금융기관들이 위협 탐지, 취약점 분석, 코드 검토, 사고 대응 등 방어적인 목적으로 AI 활용에 관심을 보이고 있지만, 현재까지는 이러한 AI 기술이 기존의 기본적인 사이버 보안 체계를 대체할 만큼 성숙하지는 못하다는 것이 감독 당국의 판단입니다. 따라서 ASIC과 APRA는 금융기관들이 AI 기술 도입과 더불어, 기본적인 사이버 보안 통제 및 위험 관리 역량을 더욱 강화해야 할 필요성을 제기하며, 관련 논의를 지속할 방침입니다. 이 사안은 새로운 규정이나 의무 마감일을 제시하지는 않았으나, 금융기관의 거버넌스, 비상 대응 절차, 복구 프로세스가 단축된 사고 대응 시간 하에서도 효과적으로 작동함을 입증하는 것이 향후 감독 당국의 주요 관심사가 될 것임을 분명히 했습니다.