11월 5일, 580곳이 동시에 "점검 중"이 되었다
금융위원회는 11월 5일 全금융권 간담회에서 「AI 시대 침해위협에 대응하기 위한 全금융권 보안체계 혁신방안」을 발표했다. [외부 공식자료] 9월 30일부터 11월 3일까지 37개사에서 40건의 침해사고가 신고되고 약 47.3만 건의 정보유출이 확인된 뒤에 나온 조치다.
날짜가 박힌 것만 추리면 이렇다.
| 시점 | 무슨 일 |
|---|---|
| 11월 30일 | 관리대장 등재 외부접점 점검 마감 |
| 12월 31일 | 미등재 시스템·내부통제 전수조사 마감 |
| 11월 중 | 망분리 규제 전면해제 TF 발족 |
| 2027년 1분기 | 「보안 내부통제 가이드라인」 시행, 전면해제 방안 확정 |
대상은 금융회사·전자금융업자에 가상자산사업자까지 약 580여 개사. 국내에서 "AI 도구에 예산이 있고 결정권자가 있는 조직" 명단과 상당 부분 겹친다.
신규 도구를 들일 수 없는 7주
전수점검은 자체점검이 원칙이다. 그런데 조건이 하나 붙었다. 취약점이 발견되지 않은 경우에도 점검 내용·방식·판단 사유를 상세히 적시해야 하고, 전수점검 이후 사고가 나면 그 점검이 실질적으로 이루어졌는지까지 따져 책임을 묻는다. [외부 공식자료]
이 문장을 받은 보안 담당자가 12월에 할 수 없는 일이 하나 있다. 관리대장에 새 줄을 추가하는 것. 우리 제품은 데스크톱 설치본에 계정·공유자료·협업 상태를 맡는 서버가 붙는 구조다. [제품 정본] 점검표 용어로 옮기면 신규 외부접점이다. 2월에 도입 검토를 받을 물건을 12월에 들이밀면, 거절이 아니라 무응답이 돌아온다.
반대로 1분기는 비어 있는 칸이 생기는 시점이다. 가이드라인이 새로 서고, 망분리 해제 심사 기준이 공개되고, 담당자는 "대체통제를 어떻게 적어낼지"를 찾는다.
우리가 제출할 수 없는 서류
혁신방안은 망분리 완화를 적용받으려면 외부접점 관리, 인증·접근통제, 보안사고·장애대응 등 대체통제 방안을 마련해야 한다고 적었다. [외부 공식자료] 심의에 들어가는 것은 데모 영상이 아니라 이 세 칸이다.
세 칸을 채울 문서가 우리에겐 없다. [구현 확인 안 됨] 서버가 무엇을 보관하고 무엇을 안 하는지, 기기 실행분의 로그가 어디 남는지, 사고 시 누가 몇 시간 안에 응답하는지 — 정본에도 없다.
여기서 "로컬이라 안전하다"로 도망가면 안 된다. 심의자가 보려는 건 안심 문구가 아니라 접근통제가 어떻게 걸려 있는지다.
반대 의견
금융권은 우리 첫 고객이 아니다. 맞다. 정본의 1차 고객은 업종 무제한이고, 규제 산업은 가장 느린 입구다. 다만 이 서식은 금융에서 시작해 공공·의료로 복제된다. 한 번 쓰면 재사용된다.
기획 단계에 규제 문서는 이르다. 일리 있다. 개발 순서를 바꾸자는 말이 아니다. 지금 있는 사실로 답할 수 있는 질문 목록만 만들자는 것이다. 전수점검 결과가 내년 가이드라인의 입력값이라, 서식은 지금 만들어지고 있다.
이번 주에 할 일
- 보안 질의서 초안 1장. 외부접점 / 인증·접근통제 / 사고대응 세 칸만. 각 줄 옆에
구현확인·미구현·미결정중 하나를 적는다. 영업자료가 아니라 내부 현황표다. 빈칸이 많아도 그대로 둔다. - 파일럿 일정표를 1분기로 옮긴다. 12월 접촉 목표를 "도입 검토"에서 "질의서 피드백 받기"로 바꾼다. 결정권을 요구하지 않는 요청은 점검 기간에도 답장을 받는다.
- 아웃바운드 1통. 금융권 보안 조직 지인에게 질의서를 보내 "이 서식으로 심의에 올릴 수 있냐"만 묻는다. 제품 소개는 넣지 않는다. [제안] 돌아온 수정 요구가 우리의 첫 외부 검증 데이터가 된다.
사실은 하나다. 국내에서 가장 돈 있는 고객군이 연말까지 새 소프트웨어를 등재할 수 없는 상태로 들어갔고, 2027년 1분기에 서식을 들고 다시 열린다. 지금 준비할 수 있는 건 제품이 아니라 그 서식에 들어갈 답이다.