[나병문 칼럼] 지난 글에서는 AI 금융의 가능성과 위험을 살펴보았다. AI는 고객 상담, 대출 심사, 자산관리, 이상 거래 탐지, 금융 보안에 이르기까지 금융의 거의 모든 영역으로 들어오고 있다. 그러나 AI 금융이 제대로 작동하려면 기술만으로는 부족하다. 그것을 활용할 수 있는 디지털 환경이 뒷받침되어야 한다. 바로 이 지점에서 망분리 규제 문제가 대두된다.
금융회사가 다루는 정보는 민감하다. 고객의 예금, 대출, 신용정보, 거래 내역 등 모든 정보가 금융 시스템 안에 들어 있다. 한 번 사고가 나면 개인 피해를 넘어 금융회사 전체의 신뢰가 흔들린다. 망분리는 외부 인터넷망과 내부 업무망을 분리해 해킹과 악성코드 침투를 막아내는 시스템이다. 금융회사는 오랫동안 망분리를 금융 보안의 핵심 장치로 사용해왔다.
그러나 디지털 금융 환경은 빠르게 변화하고 있다. 이제는 금융회사도 클라우드와 생성형 AI, 외부 데이터 분석 도구를 활용해야 경쟁력을 유지할 수 있다. 보안 위협의 양상도 과거와 달라지고 있다. 공격자는 AI를 활용하여 실시간으로 취약점을 탐색하고, 글로벌 네트워크를 통해 공격한다. 금융회사가 그런 환경 변화에 적응하지 못하고 폐쇄된 환경에만 머물러 있다면, 혁신은커녕 보안 대응력도 떨어질 수밖에 없다.
망분리 완화는 철저하게 빗장을 닫아걸고 있는 현재 상황에서 벗어나 금융혁신의 문을 열면서도 새로운 보안 위험을 효과적으로 제어하려는 조치다. 하루가 달리 변화하는 상황에서 좌고우면하다가는 결정적 타이밍을 놓칠 수 있다. 물론 제도 시행 이전에 무엇을 들이고 무엇을 막을 것인지 충분히 검토하고, 구체적인 기준과 대책을 세워야 한다. 이제 금융 보안의 개념은 차단에서 효과적인 관리로 이동하고 있다.
망분리 규제의 전환점
과거에는 망분리 규제가 분명히 효과가 있었다. 외부 침입 가능성을 줄이고, 내부 시스템을 보호하는 데에도 상당 부분 기여했다. 특히 금융회사의 전산 시스템이 폐쇄적이고 정형화되어 있던 시절에는 물리적 분리가 강력한 보호 수단이 될 수 있었다. 금융회사 직원들이 내부망에서만 업무를 처리하고, 외부 인터넷 접속을 제한함으로써 일정 수준의 안정성을 보장할 수 있었다.
하지만 지금의 금융 업무는 내부망 안에서만 이루어지지 않는다. 고객은 모바일 앱을 통하여 거래하고, 금융회사는 외부 데이터와 실시간으로 연결되며, 클라우드 기반 서비스는 일상적인 업무 도구가 되었다. 생성형 AI를 활용하려면 외부 모델과 데이터를 활용해야 하는 경우가 많다. 연구·개발, 고객 분석, 보안 대응까지 모두 외부와의 연결을 전제로 한다. 이런 상황에서 과거의 망분리 체계를 고집하면 금융회사의 디지털 전환은 더뎌질 수밖에 없다.
더 중요한 문제는 보안 시스템 자체도 바뀌고 있다는 점이다. 보안은 이제 단순히 외부 접속을 막는 방식만으로 해결되지 않는다. 공격은 갈수록 정교해지고, 내부자 위험과 공급망 위험, 클라우드 환경의 취약점도 커진다. 외부망을 막는다고 모든 위험이 사라지는 것이 아니다. 최신 보안 도구와 위협 정보를 충분히 활용하지 못하면 방어 능력이 뒤처질 수밖에 없다.
망분리 완화의 핵심은 균형이다. 지나치게 막으면 혁신이 늦어지고, 성급하게 풀면 위험이 커진다. 금융당국이 제시한 방향도 이 지점에 맞닿아 있다.
과거처럼 일률적으로 막는 방식에서 벗어나, 금융회사의 보안 역량과 업무 특성을 고려해 차등적으로 허용하겠다는 흐름이다. 지금까지는 규정을 지키는 것이 보안의 중심이었으나 앞으로는 스스로 위험을 식별하고, 통제하며, 사고가 났을 때 책임질 수 있어야 한다.
망분리 완화, 금융 보안의 새 기준
망분리 완화 과정에서 금융회사 간 격차도 주시할 필요가 있다. 대형 금융회사는 보안 인력과 예산, 내부통제 체계를 비교적 잘 갖추고 있다. 그러나 중소형 금융회사나 일부 금융업권은 그만한 역량을 갖추지 못한 경우가 많다. 같은 규제 완화라도 준비된 회사에는 혁신의 기회가 되지만, 준비되지 않은 회사에는 사고의 통로가 될 수 있다. 이 격차를 어떻게 줄일 것인지도 중요한 과제다.
감독 체계도 달라져야 한다. 과거에는 망분리 규정을 제대로 지켰는지만 확인하면 됐다. 그러나 앞으로는 금융회사가 스스로 위험을 얼마나 잘 관리하는지를 평가해야 한다. 데이터 흐름, AI 활용 방식, 클라우드 보안, 외부 위탁 관리, 사고 대응 능력을 종합적으로 살펴봐야 한다. 금융감독 역시 기술 변화에 맞게 진화해야 한다는 말이다. 혁신을 막는 감독이 아니라, 신뢰를 지키는 감독이 필요하다.
소비자 보호도 빼놓을 수 없다. 금융 보안 사고의 최종 피해자는 결국 금융소비자다. 개인정보 유출, 계좌 탈취를 비롯한 각종 금융사기 피해가 발생하면 그 부담은 오롯이 고객에게 돌아간다. 금융회사가 아무리 혁신을 강조해도 소비자가 불안해하면 그 혁신은 오래가지 못한다. 금융혁신의 출발점은 편리함이지만, 그 완성은 신뢰다.
이제 망분리 완화는 피할 수 없는 흐름이다. AI 금융과 클라우드 활용이 확대되는 상황에서 과거의 폐쇄형 보안 체계만으로는 한계가 분명하다. 그러나 그 완화는 안전대책이 갖추어진 환경에서 시행되어야 한다. 결국 망분리 완화의 성패는 기술이 아니라 책임에 달려 있다. 얼마나 빨리 규제를 풀 것인가보다 더 중요한 것은, 얼마나 안전하게 연결할 것인가다. 기술은 문을 열지만, 신뢰는 그 문을 지키는 힘이다.
#외부 칼럼은 본지의 편집방향과 일치하지 않을 수 있습니다.
필자 소개
나병문(rabmna1958@naver.com)
-전국퇴직금융인협회 금융시장연구원 연구위원
-SN경영연구원장
-경영학박사, 전 우리은행 지점장
