[금융위원회]보다 다양한 금융회사들이 AI 보안위협에 철저히 대비할 수 있도록 제2차 망분리 규제 긴급 완화 조치를 추진합니다.

금융위원회는 2026년 9월 3일 '프런티어 AI 상황대응반' 5차 회의를 열어 보안 목적의 AI 활용을 위한 제2차 망분리 규제 긴급완화 조치 세부방안을 확정하였습니다. 이번 조치는 제1차 테스트(2026년 6월~)에서 대형 금융회사 위주로 운영하던 신청 자격을 중소 금융회사와 전자금융업자까지 넓혀, 신청 대상을 49개사에서 75개사로 확대하고 선정 규모도 10개사에서 15개사 이내로 늘리는 것이 핵심입니다. 선정된 회사에는 망분리 규제에 관한 비조치의견서(1년 한시)가 발급되어, 프런티어 AI와 보안 SaaS 등을 활용한 보안 취약점 탐지·개선이 허용됩니다.

기존 제1차 테스트는 신청 기준을 '총자산 10조원 이상, 상시 종업원 수 1,000명 이상'으로 설정하여 대형 금융회사 49개사만 신청 대상이 되었고, 전자금융업자는 해당 기준을 충족하는 곳이 없어 사실상 참여가 불가능하였습니다. 전자금융업자는 전자금융거래를 매개하는 업종 특성상 해킹 등 취약점 관리가 매우 중요함에도 불구하고, 자산·인력 기준이 동일하게 적용되어 충분한 신청 기회를 부여하기 어려운 구조였습니다. 이에 따라 제2금융권과 전자금융업자는 AI를 활용한 보안 취약점 탐지 역량을 갖출 기회를 얻지 못한 채 AI 기반 침해위협에 노출될 우려가 있었습니다.

금융회사의 신청 기준이 '총자산 10조원 이상, 상시 종업원 수 1,000명 이상'에서 '총자산 2조원 이상, 상시 종업원 수 300명 이상'으로 완화됩니다. 다만 정보보호의 책임성·독립성 확보를 위해 정보보호최고책임자(CISO)가 다른 정보기술부문 업무를 겸직하지 않는 회사로 한정되며, 이 기준을 충족하는 금융회사는 59개사입니다. 전자금융업자에 대해서는 별도 신청 기준이 신설됩니다. 연간 전자금융거래 금액이 2조원 이상이고, 전자금융업 관련 매출액이 총 매출액의 10%를 초과해야 하며, CISO 미겸직 요건도 동일하게 적용됩니다. 이 기준을 충족하는 전자금융업자는 16개사입니다. 선정된 회사는 망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS 등을 활용하여 보안 취약점을 탐지·개선할 수 있습니다. 테스트 결과로 확인된 AI 보안 위험성의 특성, 공격 용도 활용 시 예상되는 위험성, 효과적인 방어를 위한 대응요령 등은 정부에 보고하여야 합니다. 신청은 2026년 9월 3일부터 9월 14일까지 접수되며, '민간기술자문단' 등의 평가를 거쳐 2026년 10월 7일(잠정) 금융위원회 보고 후 비조치의견서(1년 한시)가 발급될 예정입니다.

이번 제2차 조치로 제2금융권과 전자금융업자를 포함한 더 많은 금융회사가 프런티어 AI를 활용한 보안 테스트에 참여할 수 있게 됩니다. 비조치의견서는 1년 한시로 발급되므로, 선정된 회사는 해당 기간 동안 망분리 규제 위반 우려 없이 프런티어 AI와 보안 SaaS를 운용할 수 있습니다. 기업 관점에서 주목할 점은 두 가지입니다. 첫째, 신청 자격을 갖춘 회사는 이번 기회를 통해 AI 기반 보안 역량을 선제적으로 구축할 수 있습니다. 프런티어 AI가 수백만에서 수천만 라인에 달하는 소스코드를 수시간 내 분석할 수 있다는 제1차 테스트 중간 결과는, AI 보안 도구의 실효성이 상당한 수준임을 보여줍니다. 둘째, 선정되지 않은 회사라도 정부가 테스트 종료 후 발견된 취약점 유형, AI 점검 활용 노하우, 보안 대응요령 등을 전 금융권에 전파할 계획이므로, 이를 자사 보안 체계 점검에 활용할 수 있습니다. 주의해야 할 부분도 있습니다. 선정된 회사는 망분리 대체 통제수단 마련 의무와 테스트 결과 보고 의무를 동시에 이행해야 합니다. 대체 통제수단의 적정성이 사후 감독의 기준이 될 수 있으므로, 참여를 검토하는 회사는 내부 보안 체계와 CISO 겸직 여부를 사전에 점검할 필요가 있습니다. 중장기적으로는 정부가 고도의 AI·보안 역량을 갖춘 회사부터 망분리 규제를 전면 해제하는 방안을 관계기관과 논의 중이라고 밝힌 만큼, 이번 테스트 참여 실적과 보안 역량 입증이 향후 전면 해제 대상 선정에 영향을 미칠 가능성이 있습니다. 테스트 참여 여부와 무관하게 AI 보안 위협 대응 체계 전반을 점검하고 준비하는 것이 바람직합니다.