금융보안원, 오픈API 보안점검 가이드라인 발간

제공 및 이용사 필요 보안조치 담아

금융보안원이 개별 금융사의 오픈 애플리케이션프로그래밍인터페이스(API)의 보안점검 가이드라인 2종을 발간·배포한다고 3일 밝혔다.

오픈 API는 특별한 프로그래밍 기술 없이도 활용할 수 있는 공개 응용 프로그램 기술로, 핀테크 기업은 금융사의 오픈 API를 이용해 전자금융서비스를 개발할 수 있다.

현재 금융당국주도로 공동 오픈플랫폼을 구축해 은행권은 6개의 API를 금융투자회사는 105개의 API를 제공하고 있다. NH농협은행·신한은행·JB금융지주 등은 잔액·카드내역조회, 환전신청 등 개별 오픈 API를 외부에 제공하고 있다.

금융권 오픈API 이용 구조.(자료=금융보안원)

금융보안원이 이날 배포한 가이드라인에는 오픈 API 기술 도입 시 발생 가능한 위험을 사전에 이해하고 제거해야 하는 내용이 담겼다. 지도 등 외부 공개가 가능한 정보와 달리 금전 정보가 오가기 때문에 오픈 API 제공과 이용은 각별한 주의가 요구된다. 따라서 API 접근 권한과 관련한 이용자 인증, 정당한 핀테크사만이 API를 이용하도록 해야 한다는 것이다.

금융보안원은 오픈 API를 제공하는 금융사는 이용자 인증 방법의 적정성, 접근키 등 유출 위험 완화책 등을 수립할 것을 권고했다. 이용 기업은 정보보호 정책을 수립하고 설계 시 제공회사의 보안 요구 사항을 반영해야 한다고 조언했다.

앞서 금융보안원은 지난해 4월부터 금융사를 포함한 전담반을 구성해 오픈 API 제공 및 이용 시 필요한 보안점검 항목 등을 검토해왔다.

금융보안원 김영기 원장은 "국내 금융시장에서 오픈API 기술 도입이 촉진되고, 핀테크 혁신이 확산될 것으로 기대된다"며 "금융권 오픈API의 안전한 생태계 조성을 통한 핀테크서비스 발전을 위하여 관련 보안점검을 확대해나갈 것"이라고 말했다.