금감원 감사 뒤 은행들, AI 벤더 사고 보고 체계 강화

국내 대형 은행들이 금융감독원 실사에서 AI 하청 보안 알림이 금요일 밤부터 월요일 아침까지 IT 티켓에 머물며 규제 보고 시한을 놓친 사례가 적발된 뒤, 인공지능 벤더 사고 보고 조항을 강화하고 있다.

실사에서 나온 내용

검토를 들은 관계자에 따르면 금감원은 올 분기 5개 전국은행의 클라우드 챗봇·문서 파서·자금세탁방지 모델을 샘플링했다. 고객 유출로 이어진 사례는 없었지만 3곳이 자체 정책상 4시간 내 에스컬레이션을 지키지 못했다. 헬프데스크가 벤더 메일을 점검 공지로만 처리했다고 조사관들은 말했다.

금감원은 은행 이름을 공개하지 않았다. 월요일 보도가 나온 뒤 준법 담당자들은 코어뱅킹 장애용 매뉴얼을 다시 돌렸는데, 그 매뉴얼은 장애 시스템에 은행 로고가 붙어 있다고 가정했다.

은행이 넣는 계약 문구

여의도에서 돌고 있는 템플릿은 자격 증명 노출·모델 가중치 무단 다운로드 시 웹 티켓뿐 아니라 당직 책임자에게 전화하도록 요구한다. 24시간 내 포렌식 이미지와 조사 중 로그 삭제 금지도 넣는다. 소형 핀테크는 24시간 SOC 있는 대형 벤더에 유리하다고 반발한다.

한 상위 은행 CISO는 ‘모델 인접성’—어떤 API가 계좌번호를 볼 수 있는지—지도를 만들고 있으며, 이는 금융위의 CEO 책임 가이드 입력이 된다고 했다.

규제 시계와 근무 문화

사고 규정은 평일 대응을 가정했지만 모니터링은 상시다. 금감원은 야간 IT 1명인 지방 은행에는 단계적 기준이 필요할 수 있다고 인정했지만, 대형 은행의 주말 공백은 용납하기 어렵다고 했다.

설 연휴 전 재실사에 나서 샌드박스 유출이 없어도 이사회 보고가 갔는지, 분기별 벤더 리스크를 다뤘는지를 본다.

시장·고객 영향

은행 주가는 거의 움직이지 않았다. 준법 비용은 상시 비용으로 본다. AI 모기지 상담 출시는 법무 검토로 늦어질 수 있다. 외국계 지점은 이중 기준을 피하려 국내 보고 시한에 맞춘다.

지능을 외주했어도 금감원 방문은 외주되지 않는다. 다음 주맠 벤더 오류가 나오면 월요일 관리회의 전에 당국에 전화하라는 메시지다.

감독 일정

금융감독원은 연말까지 시범 점검 결과를 모아 의원 질의에 제출할 계획이다. 은행들은 클라우드 AI 벤더와 계약서에 사고 통지 조항을 넣는 재협상을 시작했다.

서울 아침 독자에게는 같은 사안이 교통·금융·국방 일정과 맞물려 하루 안에 추가 보도가 나올 수 있다. 당국과 기업은 공식 발표 전까지 세부 수치를 제한하는 경우가 많아, 확인된 자료와 발표문을 기준으로 판단하는 것이 안전하다.