결론부터 말하면, 금융회사 보안 취약점 점검은 현재 일반 정보처리시스템 연 1회가 의무입니다. 공개용 홈페이지는 연 2회 이상 점검해야 합니다. 금융당국은 주기 단축과 점검범위 확대를 담은 보완 방안을 조속한 시일 내 발표할 계획이라고 밝혔습니다.
요약
- 현행 의무는 그대로이고, 주기 단축·이행강제금은 발표 전 검토 단계입니다.
- 망분리 규제 긴급완화 2차 테스트 신청은 9월 14일에 마감됐습니다.
- 발표 전이라도 외부접점 자산 목록과 패치 주기부터 점검해 두는 편이 좋습니다.
보안 취약점 점검, 지금 기준과 바뀌는 방향
지금 지켜야 할 기준은 현행 의무이고, 개편 내용은 아직 발표 전 검토 단계입니다.
아시아경제는 2026년 10월 6일 기사에서 금융당국의 개편 방향을 이렇게 보도했습니다.
- 점검 주기
현재 연 1회인 분석·평가 주기를 단축하는 방안이 검토됩니다. - 점검 범위
외부접점 등 관리 사각지대의 IT자산을 정기 평가 대상에 넣는 방침으로 보도됐으며 현행 의무에는 아직 들어 있지 않습니다. - 대상 선정
금융회사 자체 판단에 크게 의존해 온 선정 기준을 보완하는 방침으로 보도됐으며 현행 기준이 바뀐 것은 아닙니다. - 이행 강제
보완조치의 실효성을 높이려 이행강제금 도입도 검토합니다.
금융위원회는 같은 날 보도설명자료에서 보안취약점 관리 제도개선에 박차를 가하겠다고 밝혔습니다.
※ 위 개편 방향은 아직 확정이 아니며 발표 내용에 따라 달라질 수 있습니다. 적용 시점과 이행강제금 부과 대상은 금융위원회의 보완 방안 발표로 확인해야 합니다.
사이버보안 위협과 AI의 취약점 탐색 속도
프런티어 AI는 수백만에서 수천만 라인의 소스코드를 수시간 내 분석했습니다.
위 결과는 망분리 완화 1차 테스트 중간점검에서 나왔습니다. 차상길 KAIST 교수는 올초 앤트로픽이 공개한 '미토스' 이후 취약점 발견 속도와 규모가 차원이 다르게 커지고 있다고 설명했습니다.
AI는 연 1회 점검 주기와 비교할 수 없을 만큼 짧은 시간에 대량의 코드를 훑어볼 수 있습니다. 정부도 5월과 6월 간담회에서 금융회사의 취약점 관리 강화를 강조해 왔습니다.
그렇다고 당장 사고로 이어진다는 뜻은 아닙니다. 금융위는 발견된 취약점이 침입차단·방지시스템 등 보안조치 때문에 즉시 침해사고로 이어질 가능성은 크지 않다고 밝혔습니다.
망분리 규제 긴급완화 테스트 1차 vs 2차 비교표
2차 신청은 9월 14일에 이미 마감됐고, 3차 테스트의 시기와 선정 규모는 아직 정해지지 않았습니다.
금융위원회는 2026년 9월 3일 프런티어 AI 상황대응반 5차 회의에서 2차 완화 세부방안을 확정했습니다. 아래 표는 우리 회사 규모를 가늠하는 참고용으로 보시면 됩니다.
구분1차 테스트2차 테스트
| 신청대상 | 49개사 | 75개사 |
| 선정 규모 | 10개사 | 15개사(이내) |
| 금융회사 총자산 | 10조원 이상 | 2조원 이상 |
| 상시 종업원 수 | 1,000명 이상 | 300명 이상 |
| 선정일 | 2026년 6월 17일 | 2026년 10월 7일 예정(9월 3일 발표 당시 일정) |
2차 선정 결과는 금융위원회 발표로 확인해야 합니다.
신청대상은 26개사 늘었습니다. 선정 규모도 15개사(이내)로 커졌습니다. 규모 기준이 완화되면서 중견 금융회사까지 문턱이 내려온 셈입니다.
CISO 겸직 금지 조건의 뜻
보안 책임자가 다른 정보기술부문 업무를 함께 맡고 있으면 규모가 맞아도 신청할 수 없습니다. 이 기준을 충족하는 금융회사는 총 59개사입니다.
전자금융업 관련 매출액이 총 매출액의 10%를 초과하고 정보보호최고책임자 겸직이 없어야 하며 충족하는 곳은 16개사입니다. 두 업권을 합한 수가 2차 신청대상 전체입니다.
선정 이후 절차: 평가·비조치의견서·보고 의무
선정 회사는 1년 한시 비조치의견서를 받는 대신 결과 보고 의무를 집니다.
2차 테스트 절차는 아래 순서입니다.
- 신청
9월 3일부터 9월 14일까지 접수했고 이미 마감됐습니다. - 평가
민간기술자문단 등이 9월 중 보안역량과 AI활용능력 등을 평가할 예정이었습니다. - 발급
금융위원회 보고(10월 7일 잠정)를 거쳐 망분리 비조치의견서(1년 한시)가 발급됩니다. - 활용
망분리 대체 통제수단을 마련한 뒤 프런티어 AI와 보안 SaaS로 취약점을 탐지·개선합니다. - 보고
AI 보안 위험성의 특성, 공격용도 활용 시 위험성, 대응요령 등을 정부에 보고합니다.
보안 SaaS는 설치 없이 구독해 쓰는 보안 소프트웨어를 말합니다. 정부는 제출된 정보를 AI 가이드라인 개정과 보안대책 마련 등에 활용할 예정입니다.
정부는 1·2차 진행 경과를 바탕으로 3차 일정을 신속히 확정할 계획입니다. 3차 테스트에 관심이 있다면 향후 발표를 확인해야 합니다.
정보보안 점검에서 자주 막히는 지점: 공격표면·패치 속도·IoT
중간점검이 꼽은 과제는 공격표면 관리, 신속한 패치, AI 기반 방어입니다.
공격표면은 외부에서 공격이 들어올 수 있는 접점 전체를 말합니다. 정보보안 실무에서는 이 과제를 아래처럼 확인 목록으로 바꿔 볼 수 있습니다.
금융권 보안 담당자 확인 목록
- 외부접점 IT자산까지 포함한 자산 목록이 있는지 확인합니다.
- 보안패치를 적용하기까지 걸리는 기간을 재 봅니다.
- 'AI는 AI로 방어'하는 탐지 체계를 검토합니다.
- 3차 테스트를 고려한다면 정보보호최고책임자 겸직 여부를 미리 점검합니다.
금융권 밖 사각지대: 사물인터넷(IoT)
아래 내용은 금융권 규제와는 별개인 국회의 입법·정책 제안입니다. 국회입법조사처는 2026년 7월 14일 강은수 작성 보고서에서 사물인터넷(IoT) 보안을 다뤘습니다. 보고서는 현행 IoT 보안 정책이 자율인증 중심이라 실효성이 낮다고 평가합니다.
보고서가 제시한 과제는 최소 보안기준, 위험도 기반 인증 체계, 실태점검·후속조치 체계입니다. 일반 이용자에게도 남의 일이 아닙니다. 로봇청소기·IP카메라 같은 가정용 기기도 보안 위협이 커지고 있습니다. 해킹되면 영상·음성정보와 생활패턴까지 유출될 수 있습니다.
마무리: 보안 점검, 정기 행사에서 상시 관리로
보안 점검은 정해진 날 한 번 하는 일에서 상시 관리로 옮겨 가는 중입니다.
상황별로 지금 할 수 있는 일은 이렇습니다.
- 금융권 보안 담당자
보완 방안 발표 전이라도 외부접점 자산 목록과 패치 주기부터 점검합니다. - 3차 테스트를 노리는 회사
규모 기준과 정보보호최고책임자 겸직 여부를 먼저 확인합니다. - 일반 이용자
집 안에서 인터넷에 연결된 기기 목록을 정리한 뒤, 기기마다 보안 업데이트와 접근 설정을 확인합니다.
참고한 자료
- fsc.go.kr — 금융회사가 보안취약점을 면밀히 관리하도록 제도개선에 박차를 가하겠습니다.- 아시아경제, 10월 6일자… (2026.10.6)
- fsc.go.kr — 보다 다양한 금융회사들이 AI 보안위협에 철저히 대비할 수 있도록 제2차 망분리 규제 긴급 완화 조치를… (2026.9.3)
- lnp.nanet.go.kr — 국가경쟁력의 핵심은 보안...규제 넘어 보안역량·보안주권 키워야” > 의회정보 > 국회·국회의원 (2026.7.21)
- nars.go.kr — 사생활 훔쳐보는 로봇청소기를 그대로 둘 것인가? 사물인터넷 IoT 보안 강화를 위한 입법 및 정책 과제 (2026.7.14)
함께 보면 좋은 글
'IT' 카테고리의 다른 글
| 해킹에 쓰인 IP 28개｜금융기관 사고에서 확인된 사실과 추적 중인 경로 (0) | 2026.10.11 |
|---|---|
| 개인정보보호법 개정 2026년 9월 11일 시행｜유출 신고 범위·과징금·CPO 의무, 실무에서 바뀌는 지점 (0) | 2026.10.10 |
| AI추천이 엉뚱하게 나오는 이유｜작동 원리와 따르기 전 확인할 점 (0) | 2026.10.09 |
| AI에이전트 구조 정리｜공공기관 3종 사례로 본 작동 방식과 도입 전 검증 포인트 (1) | 2026.10.09 |
| 생성형AI 처음 쓰는 법｜검색과 다른 원리부터 프롬프트·답변 검증까지 (0) | 2026.10.08 |