24시간도 길다…금융위, 해킹 신고 시간 단축 추진

해킹 속도 빠른 AI... 전자금융감독규정 손질

보안 취약점 점검 주기도 연 2회 이상 강화

인공지능(AI)을 활용한 해킹 공격이 잇따르자 금융당국이 금융사의 해킹 침해 보고 시간을 단축하는 방안을 추진한다. AI가 24시간 취약점을 탐색하고 공격을 자동화하는 시대에도 금융권 보안 규제는 정기 점검과 사후 보고에 무게를 두고 있다는 지적이 나오면서다.

8일 금융권에 따르면 금융위원회는 해킹 사고 발생 시 금융사가 금융위에 24시간 안에 보고하도록 한 전자금융감독규정을 손질하는 방안을 검토하고 있다. 이 규정상 금융회사와 전자금융업자가 침해 사고가 발생했을 때 '지체 없이' 사고 내용과 사고 영향을 금융위에 보고해야 하고, 정당한 사유가 없으면 보고는 24시간을 넘길 수 없다.

금융위가 보고시간 단축을 검토하는 건 AI를 활용한 해킹의 속도가 과거 해킹보다 훨씬 빠르다는 점을 감안한 것이라는 분석이 나온다. 금융당국이 해킹 피해 상황을 빠르게 업계에 전파할수록 다른 금융사도 해킹 여부를 확인하고 추가적인 피해를 차단하는 것이 효율적으로 이뤄질 수 있다.

특히 AI를 활용한 해킹이 보고된 사례가 많지 않은 만큼 정보 공유가 신속하게 이뤄지는 것이 대응에 유리하다. 다만 개별 금융회사가 해킹 여부를 파악하는 데에도 상당한 시간이 걸리는 만큼 보고 시한을 단축하는 것만으로는 신속한 사고 대응에 한계가 있다는 점은 금융위의 고민이다.

금융위는 앞서 금융회사의 보안 취약점 점검 주기를 단축하고 점검 대상을 확대하는 방침도 밝혔다. 현행 전자금융감독규정은 일반 정보처리시스템 등에 대해 연 1회 이상, 공개용 홈페이지에 대해서는 연 2회 이상 취약점 분석·평가를 의무화하고 있다. 금융위는 연 1회인 점검 주기를 연 2회 이상으로 늘리고, 기존 점검 대상에서 빠졌던 외부 업무시스템까지 관리 범위를 확대하는 방안을 검토하고 있다.

금융당국이 뒤늦게 규제 정비에 나서겠다는 방침을 밝혔지만, 해킹 사고가 잇따른 뒤에야 기존 보안체계의 허점을 손보기 시작했다는 점에서 '뒷북 대응'이라는 비판도 나온다.

박시온 기자 ushire908@hankyung.com