핀테크 앱이 급증하는 오늘날, 오픈 뱅킹은 금융 기관이 제3자 제공업체(TPP)와 데이터를 공유하는 데 선호되는 방식으로 자리 잡았습니다. 최신 오픈 뱅킹 프로토콜은 성능을 높이고 지연 시간을 줄이기 위해 애플리케이션 프로그래밍 인터페이스(API)를 활용하는 방식을 선호하지만, 모든 디지털 데이터 공유 과정과 마찬가지로 보안과 소비자 개인정보 보호가 무엇보다 중요합니다.
The Clearing House의 2018년 설문조사에 따르면 소비자들은 금융 데이터 보호를 매우 중요하게 여기는 것으로 나타났습니다. 설문 응답자의 약 3분의 2는 핀테크 앱을 사용할 때 데이터 개인정보 보호에 대해 매우 또는 극도로 우려한다고 답했으며, 대다수는 제3자가 접근할 수 있는 금융 계좌와 데이터 유형을 직접 관리하기를 원한다고 답했습니다.
API 평가
소비자의 데이터 보안 및 개인정보 보호에 대한 우려는 오픈 뱅킹 솔루션으로서 API의 효과를 평가하는 타당한 기준입니다. 분명 API는 여러 가지 이점을 제공합니다. 소비자는 자신의 금융 데이터를 제3자 제공업체(TPP)와 공유할 때 더 폭넓은 선택권과 통제권, 편의성을 누릴 수 있습니다. 금융기관 역시 데이터 공유의 효율성을 높일 수 있을 뿐만 아니라 고객의 전반적인 금융 생활을 더욱 종합적으로 파악할 수 있다는 이점을 얻습니다.
그러나 보안의 필요성은 모든 오픈 뱅킹 프로토콜의 핵심이며, 바로 이 점에서 API는 다른 데이터 공유 기술보다 뛰어납니다. 올해 초 미국 통화감독청(OCC)은 보충 지침을 OCC 공보 2013-29: 제3자 관계에 추가로 발표했으며, 이 지침에서는 은행이 민감한 고객 데이터를 데이터 수집업체와 공유할 수 있는 효율적이고 안전한 통로로 API를 언급합니다. OCC에 따르면 데이터 수집업체와 양자 협약을 체결한 은행은 API를 활용해 스크린 스크래핑과 같이 효율성이 떨어지는 방식의 사용을 줄이는 동시에, 고객이 공유하려는 데이터를 더욱 명확하게 지정하고 관리할 수 있도록 지원할 수 있습니다.
화면 스크래핑과 달리 API는 소비자가 제3자 기관에 계정 로그인 정보를 제공할 필요가 없습니다. 개인정보를 안전하게 보호할 수 있다는 점은 Venmo, Mint 등의 인기 금융 앱이 제공하는 편리함을 누리면서도 개인정보 보호에 대한 우려로 주거래 은행 이용 외에는 사용자 이름과 비밀번호를 공유하고 싶지 않은 소비자에게 한층 더 큰 안도감을 줍니다.
규제 전망
미국은 아직 오픈 뱅킹 표준의 사용을 규율하는 규정을 시행하지 않았지만, 미국 통화감독청(OCC)이 규칙 제정 사전 공고(ANPR)를 발표한 만큼 관련 규정이 조만간 마련될 것으로 보입니다. 미국 소비자금융보호국도 소비자가 승인한 금융 기록 접근 분야에 관한 ANPR을 준비하고 있습니다. 다만 지금까지 소비자금융보호국은 직접적인 규제 개입 없이 업계가 이 분야의 표준을 개발하도록 허용하는 방식을 취해 왔습니다.
미국에서는 아직 오픈 뱅킹 분야에 규제 당국이 개입하지 않았지만, 세계 다른 지역에서는 이미 이러한 정책을 시행하고 있습니다. 유럽에서는 EU가 제2차 지급결제서비스지침(PSD2)을 제정했습니다. 이 지침은 은행이 고객의 동의를 받아 제3자 제공업체(TPP)에 데이터를 신속하고 안전하며 안정적으로 제공할 수 있는 수단(주로 API)을 마련하도록 요구합니다. 영국, 캐나다, 홍콩, 일본, 멕시코, 호주 등의 다른 국가에서도 마찬가지로 오픈 뱅킹 표준 도입이 진전되고 있습니다.
미국에서는 관련 규제가 마련되지 않은 상황에서도 은행 업계가 API 프로토콜 활용을 확대하기 위해 적극적으로 나서고 있습니다. 경쟁이 심화되면서 Wells Fargo와 Bank of America 같은 대형 은행들은 자체 API 솔루션 도입을 우선 과제로 추진하고 있습니다. 업계 차원의 공동 노력도 진행 중이며, 이는 향후 API 사용을 규정할 규제 표준의 토대가 될 수 있습니다.
업계 표준화 달성
연방 금융 규제 기관과 기타 정부 기관이 보안, 개인정보 보호 및 혁신을 강화하기 위한 수단으로 업계 주도의 노력을 장려하고 있다는 징후가 있습니다. 가장 주목할 만한 업계 차원의 노력은 금융서비스 정보공유분석센터(FS-ISAC)에서 이루어졌으며, 이 기관은 2018년에 금융 서비스 기관들이 협력하여 데이터 전송 방식을 정의하고 표준화하며 보안을 강화하기 위한 컨소시엄인 금융 데이터 거래소(FDX)를 출범시켰습니다.
FDX의 사명은 소비자가 자신의 금융 데이터를 통제하고 공유하는 방식에 있어 “주도권을 쥐도록” 하는 API 프레임워크를 정의하는 것입니다. 이러한 목표를 향한 큰 진전은 올해 초 컨소시엄이 FDX API 4.0을 발표하면서 이루어졌습니다. 이는 지원되는 모든 사용 사례에서 상호 운용성과 성능을 향상하도록 설계된 최신 API 표준으로, 소비자가 저축, 투자, 디지털 결제 및 세금 내역을 더욱 효과적으로 관리할 수 있도록 합니다.
한발 앞서 나가기
경쟁 압력과 규제 조치가 임박했을 가능성으로 인해 은행들은 API에 대한 보다 정교한 접근 방식을 시급히 모색해야 합니다. 발전된 API 전략을 효율적으로 수립하려면 외부 전문가의 도움을 받는 것도 한 가지 방법입니다.
F5는 규모에 관계없이 모든 은행과 협력하여 시장 상황에 가장 적합한 맞춤형 오픈 뱅킹 계획을 수립할 수 있도록 지원할 준비가 되어 있습니다. 당사는 고성능·저지연 API 관리 솔루션과 안전한 API 게이트웨이 솔루션을 제공하여 전 세계 금융 기관이 최신 보안 프로토콜을 활용해 마이크로서비스 기반 앱을 지원할 수 있도록 합니다.
오픈 뱅킹은 핀테크 앱 시대에 금융 산업이 나아가야 할 방향입니다. 금융 기관은 오픈 뱅킹 이니셔티브를 선제적으로 추진함으로써 변화에 앞서 나갈 수 있습니다.
F5가 도와드리겠습니다. 개방형 보안 API를 통해 비즈니스를 성장시키는 방법을 알아보려면 F5의 오픈 뱅킹 웹페이지를 방문하세요.
F5 북미 금융 서비스 솔루션 엔지니어링 부문 수석 디렉터 Andy Franklin 작성
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.