[이데일리 이재운 기자] 핀테크 기업이 은행 등 금융권의 오픈 API(응용 프로그램 사용환경)를 활용할 때 주의해야 할 사항에 대한 가이드라인이 나왔다. 위험도가 높은 거래에는 접근 키(key) 유효기간을 최소화하고, 각종 점검항목을 잘 챙겨봐야 한다. 지난 3일 금융권 정보보안 주무기관인 금융보안원이 발간한 금융권 오픈API에 대한 자체 보안점검 가이드 2종의 주요 내용을 살펴보자. ◇어디가 위험한가, 위험에는 어떻게 대응하나 다뤄 오픈API는 데이터나 서비스를 외부에서 쉽게 접근하여 활용할 수 있도록 제공하는 공개 응용 프로그램 기술이다. 가령 카카오맵의 API를 이용하면 회사 위치를 카카오맵에 표시해서 보여주고, 현재 위치에서 어떤 방법으로 올 수 있는지 바로 찾아볼 수 있도록 지원하는 식이다. 가이드라인은 △금융회사가 오픈API시스템 구축·운영 시 참고할 수 있는 가이드 △핀테크 기업이 금융회사의 오픈API를 이용하는 경우 참고할 수 있는 가이드 등 두 가지다. 금융권 오픈API의 특성을 반영하여 오픈API 기술 도입 시 발생 가능한 위험을 사전에 이해하고 이를 완화 또는 제거할 수 있도록 하는데 초점을 맞추고 있다. 오픈API 이용 구조에서 각 영역별(이용자, 이용기관, 운영기관) 발생 가능한 위험과 해당 위험에 대응하기 위한 보안대책 예시를 서술하고, 오픈API 운영기관과 이용기관이 각각 자체 보안점검 시 참고할 수 있는 점검항목 예시도 포함하고 있다. ◇금융회사-핀테크 기업 각자 역할 나눠 정리 금융권의 데이터는 아무래도 민감하고 중요한 경우가 많다. 금융거래나 신용 정보는 자칫 노출·유출될 경우 상상하기 어려운 수준의 피해를 유발할 수 있기 때문이다. 금융사 대상 가이드라인은 '거래 당사자 인증', '거래정보의 기밀성 및 무결성' 등 8개 점검 분야와 '이용자 인증 방법의 적정성', '접근키 등 유출 위험 완화 대책', '이용기관 정보유출 방지대책' 등 36개 점검항목을 담고 있다. 금융사의 데이터가 외부로 나가는데 따른 조치필요사항을 명시했다. 핀테크 기업 대상 가이드라인은 '정보보호 정책·조직', '외부자 관리', '접근통제' 등 15개 점검분야와 '정보보호 정책 수립 및 공표', '설계 시 보안 요구사항 도출 및 반영', '중요 정보 암호화 정책 수립 및 이행' 등 38개 점검항목을 명시했다. 이를 통해 가져온 데이터를 어떻게 안전하고 다루고 보관해야하는지에 대해 전달하고 있다. 김영기 금융보안원장은 "전 세계적으로 금융산업의 개방성이 높아지고 있는 시점에서 이번 가이드 발간을 계기로 국내 금융시장에서 오픈API 기술 도입이 촉진되고, 핀테크 혁신이 더욱 확산될 것으로 기대된다"면서 "앞으로도 금융권 오픈API의 안전한 생태계 조성을 통한 핀테크서비스 발전을 위하여 관련 보안점검을 확대해나갈 것"이라고 밝혔다.
지나 3일 금융보안원이 오픈 API에 대한 자체 보안점검 가이드 2종을 내놓으며 고위험 거래의 접근키 유효기간 최소화와 각종 점검 사항에 대해 정리했다.