금융당국, '망분리 개선' 보안대책 사전 컨설팅...9월 중 규제 특례 신청 접수

[파이낸셜뉴스] 지난 13일 '금융분야 망분리 개선 로드맵'이 발표되면서 금융회사들은 단계적으로 생성형 인공지능(AI) 활용 및 클라우드 기반의 소프트웨어(SaaS) 범위 확대가 가능해질 전망이다.

개인신용정보를 취급하지 않더라도 생성형 AI가 적용된 서비스라면 규제 샌드박스를 받아 서비스를 운영할 수 있다. 이미 SaaS 관련 규제 특례를 받은 기업은 기존에 허용된 범위 내에서 서비스를 영위할 경우 추가 샌드박스 신청이 필요하지 않으며 SaaS 이용 범위를 확대하고자 할 경우에는 별도 샌드박스 지정 신청이 필요하다.

금융당국은 조만간 네 차례 설명회를 통해 개별 금융회사가 수립한 보안대책의 적절성·취약점·보완 필요사항 등에 대한 사전 컨설팅을 진행한다는 계획이다. 이에 9월 중 금융회사가 규제 샌드박스 신청을 접수하면 이르면 연내 금융 혁신서비스를 지정 받을 수 있다.

다만 규제 샌드박스 신청은 일회성이 아니라 신청 수요를 고려해 추가 시기를 검토할 예정이다.

다음은 일문일답.

―생성형 AI 허용의 경우 특정 서비스(ChatGPT 등)만 허용하는 것인지? 아니면 생성형 AI 기술이 적용된 서비스라면 허용 가능한 것인지?
▲규제 샌드박스를 통한 생성형 AI 허용은 특정 서비스에 국한되지 않으며, 생성형 AI(Generative AI) 기술이 적용된 서비스라면 얼마든지 규제 샌드박스 신청 가능하다.

―PaaS 형태의 생성형 AI 서비스의 경우 로드맵과 상관없이 이용 가능한지?
▲생성형 AI의 운영 구조(SaaS 또는 PaaS)와 관계없이 망분리 규제 특례가 필요하면 규제 샌드박스 신청 및 승인이 필요하다.

―생성형AI 활용시 고객 개인신용정보를 취급하지 않는 경우에도 샌드박스 심사 및 승인이 필요한지?
▲망분리 관련 규제 샌드박스는 전자금융감독규정 제15조(해킹 등 방지대책) 제1항제3호 또는 제5호에 대한 특례를 허용하는 것으로 개인신용정보 취급 여부와 관계없이 해당 규정에 대한 특례허용이 필요한 경우 규제 샌드박스 심사 및 승인이 필요하다.

―가명처리된 개인신용정보에 대한 가명처리 적정성 평가, 반출 기준 등 필요 보호조치가 있는지?
▲로드맵에서 언급하고 있는 '가명처리'란 신용정보법상 가명처리를 의미하며, 관련 법령에서 정하고 있는 행위 규칙 등을 필히 준수해야 한다. 활용하고자 하는 업무에 따라 가명처리 수준 결정, 가명처리 방법, 적정성 검토 및 사후관리 등 규정 준수가 필요하다.

―생성형 AI 허용시 대량의 가명 정보가 국외에서 처리될 수도 있는데, 개인정보보호상의 문제는 없는지?
▲생성형 AI를 통한 가명정보의 국외 처리에 대해서는 개인정보보호위원회와 샌드박스 협업을 추진하기로 사전 협의했다. 샌드박스 지정시 개인정보보호법 특례 부여에 대해서는 개보위도 함께 참여할 예정이며 개인정보 처리·이전·보호 등에 필요한 각종 보안대책도 부가조건에 반영할 예정이다.

―샌드박스 과정에서의 보안 점검·컨설팅은 무엇인지?
▲샌드박스 지정시 리스크에 따른 보안대책을 부가조건으로 부과한다. 금감원·보안원은 개별 금융회사가 수립한 보안대책의 적절성, 취약점, 보완 필요사항 등을 사전 컨설팅하고, 서비스 개시 전 해당 보안조치 등을 제대로 갖췄는지 점검할 예정이다.

―기존 샌드박스를 통해 SaaS 이용 특례를 받은 기업의 경우, 금번 개선에 따라 추가 조치를 취해야 하는지?
▲금번 망분리 개선을 통해 SaaS 이용범위가 확대되며, 기존 샌드박스를 통해 허용한 SaaS와는 대상 및 범위, 부가 조건 등이 상이하다. 이에, 이미 규제특례를 받아 기존의 지정 범위 내에서 서비스를 영위하고자 할 경우 추가적인 조치가 필요하지 않으나, 금번 망분리 개선방안에 따라 SaaS 이용 범위를 새로 확대하고자 하는 경우에는 별도의 샌드박스 지정 신청이 필요하다,

―금번 로드맵 관련 규제샌드박스 향후 일정은 어떻게 되는지? 일회성 신청인지, 앞으로 지속적으로 신청할 수 있는지?
▲생성형AI 등 금번 로드맵 관련 규제 샌드박스는 금년 9월 중 첫 신청을 받을 예정이며, 상세 일정은 각 협회 및 금융규제 샌드박스 웹페이지를 통해 안내할 예정이다.로드맵 관련 규제샌드박스 신청은 일회성이 아니며, 신청 수요를 봐가며 추가 신청 시기를 검토할 예정이다.

―연구·개발망 활용 범위에 대한 기준이 있는지?
▲연구·개발망의 활용 범위는 원칙적으로 개별 금융회사의 물적·인적 요소 및 보안 요소(보안역량, 보호 필요성, 외부망 오픈 리스크 등)을 고려하여 자체 판단해야 한다.

금융회사 자체적으로 정보자산·시스템의 중요도·리스크를 식별하고 영향도를 분석 및 평가해 연구개발망 사용여부를 판단하고, 내부 정보보호위원회 승인 등을 거쳐 운영한다. 다만, 망분리 예외에 따른 대체 정보보호통제 등을 준수하고, 취약점을 정기적으로 점검하는 등 보안장치도 철저히 갖출 필요가 있다.

―연구·개발망 활용 상세지침 등의 안내서는 언제쯤 발간될 예정인지?
▲금년 말까지 연구·개발 분야 망분리 개선을 위한 '전자금융감독규정' 및 시행세칙을 개정할 예정이며, 업계 의견수렴 등을 거쳐 연구·개발망의 구체적인 활용 범위, 필요 보안대책, 모범사례 등을 담은 상세 지침을 함께 발간할 계획이다.

[e-mail] 이승연 기자