한 달 새 40건 침해사고 나자 금융위가 망분리 전면 해제 카드를 꺼냈거든요 🗂️

망분리라는 규제, 이름은 딱딱한데 실은 아주 단순한 원리입니다. 은행 내부망과 외부 인터넷을 물리적으로 갈라놓는 거죠. 그런데 이 규제를, 정부가 스스로 걷어내겠다고 나섰습니다. 보안을 강화하겠다면서, 왜 보안 규제를 푸는 걸까요.

같은 뉴스, 네 가지 시선. AILENS입니다. 2026년 11월 5일, 서울 여의도 금융보안원에서 나온 발표를 오늘 이야기해보겠습니다.

그날 간담회장 분위기부터 그려보면, 꽤 무거웠을 겁니다. 금융위원회 이억원 위원장이 직접 주재했고, 국조실, 과기부, 행안부, 개인정보보호위원회까지 다 모였거든요. 금융사 혼자 풀 문제가 아니라는 뜻이죠.

왜 이렇게 다급했는지를 보면 답이 나옵니다. 9월 말부터 11월 초, 한 달여 사이에 서른일곱 개 금융사에서 마흔 건의 침해사고가 신고됐습니다. 은행이나 보험사만 당한 게 아니에요. 전자금융업자, 온라인투자연계금융업자, 가상자산 거래소까지 사실상 업권을 가리지 않고 뚫렸습니다. 그중 일부에서는 돈이 실제로 빠져나갔습니다. 약 10억 원 규모였습니다.

이 위원장의 말이 인상적인데요. 보안은 특정 부서의 기술 문제가 아니라 최고경영자가 직접 책임져야 할 경영 과제라고 했습니다. 관리 부실이나 대응 소홀이 확인되면 CEO를 포함한 경영진에게 법적 책임까지 묻겠다고도 밝혔습니다. 보안 담당자 몇 명의 일이 아니라, 회사 전체의 일로 끌어올린 셈입니다.

이게 한 금융사만의 사정이 아니라는 게 핵심입니다. 피해가 전 업권에 걸쳐 나타났다는 건, 지금 벌어지는 공격이 특정 시스템의 약점을 노린 게 아니라는 뜻이거든요. 금융위는 그 배경을 AI를 활용한 공격으로 보고 있습니다. 공격 쪽이 AI를 쓰기 시작하면서, 기존 방식의 방어로는 속도도 정교함도 따라가기 어려워졌다는 겁니다.

그래서 나온 해법이 망분리 규제의 단계적 전면 해제입니다. 다만 여기서 다른 측면도 있습니다. 규제를 푼다고 해서 아무 금융사나 다 풀어주는 건 아닙니다. AI와 보안 역량이 우수하다고 인정된 금융사에 한해서만 해제하고, 대신 그만큼의 대체 보안 수단을 마련하도록 한다는 조건이 붙었습니다. 규제를 없애는 게 아니라, 규제의 형태를 바꾸는 쪽에 더 가깝습니다. 과기부와 국정원, 민간 전문가, 금융사 임원들이 함께 참여하는 태스크포스가 이 기준을 정하게 됩니다.

여기서 아직 풀리지 않은 지점이 있습니다. AI로 공격하는 쪽과 AI로 방어하는 쪽, 둘 다 똑같이 AI를 쓰게 되는 상황인데요. 방어 기술이 공격 기술을 앞서갈 거라는 전제가 맞아야 이 정책이 성립합니다. 그 역량 검증을 누가, 어떤 기준으로 할 것인지는 아직 구체적으로 나온 바가 없습니다. 또 하나, 규제 적용 대상이 넓어졌다는 점도 짚을 만합니다. 가상자산사업자나 법인보험대리점, 대부업체처럼 직접 전자금융거래를 하지 않는 곳들에도 전자금융거래법에 준하는 보안규제가 적용될 예정인데요. 클라우드나 플랫폼 사업자처럼 금융업과 직접 관련 없는 외부 업체까지 규제 범위에 넣을지는 아직 검토 단계입니다.

연말까지는 금융사 오백팔십 곳을 대상으로 홈페이지, 직원관리 시스템 등 외부에서 접근 가능한 모든 영역을 점검할 계획이라고 합니다. CEO와 정보보호최고책임자, 그러니까 씨아이에스오의 역할과 내부통제 체계도 함께 들여다본다는 방침입니다.

정리하면, 오늘 핵심은 이겁니다. 금융위원회가 망분리라는 오래된 안전장치를 걷어내려는 건, 역설적으로 지금의 위협이 그 장치로는 막아지지 않는다고 판단했기 때문입니다. 규제를 푸는 쪽으로 가되, 그 자리를 무엇으로 채울지는 아직 태스크포스의 손에 달려 있습니다.

같은 뉴스, 네 가지 시선. AILENS였습니다.