[논문]안전한 오픈뱅킹 구축을 위한 정책 및 B2B2C 모델에 관한 연구

최대현; 김인석

doi:10.13089/jkiisc.2019.29.6.1271

안전한 오픈뱅킹 구축을 위한 정책 및 B2B2C 모델에 관한 연구
A Study on the Policy Proposal and Model B2B2C for Safe Open Banking 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.29 no.6, 2019년, pp.1271 - 1283

최대현 (고려대학교 정보보호대학원) , 김인석 (고려대학교 정보보호대학원)

초록
AI-Helper

4차 산업혁명과 디지털 전환(digital transformation)은 국내 금융 생태계에도 큰 변화를 가져오고 있다. 이미 해외 글로벌 금융회사들은 금융시장을 개방하고 핀테크 기업들과 상생의 방안을 모색하여 새로운 금융 비즈니스를 발굴하고 있다. 하지만 국내 금융환경은 독점적이고 폐쇄적인 구조로 이러한 변화에 대응하지 못했던 것도 사실이다. 이에 정부는 2019년 12월 금융결제 시스템의 전면 개방을 목표로 오픈뱅킹의 도입을 추진하기 시작했다. 하지만 기존 단순한 금융거래 구조와 달리 오픈뱅킹은 금융회사, 핀테크 기업, 고객 등 거래의 연계 구조가 복잡하여 금융사고 발생 시 이해 당사자 간 책임 관계가 불명확하여 해소되지 못한 부분이 아직도 존재하고 있다. 본 연구는 오픈뱅킹의 보안위협을 심도 있게 분석하였다. 이를 통해 국내 오픈뱅킹의 안전성을 높이고 금융소비자 보호를 위해 정부와 금융회사가 개선해야 할 정책 제안과 기존 모델의 취약한 부분을 개선한 새로운 금융모델을 제시하고자 한다.

Abstract ▼ AI-Helper

The fourth industrial revolution and digital transformation are also bringing major changes to the financial ecosystem in Korea. Already, global financial firms overseas are opening their financial markets and exploring new financial businesses by seeking ways to co-prosperity with fintech firms. However, it is also true that the domestic financial environment has failed to respond to the changes due to its monopolistic and closed structure. In response, the government began pushing for the introduction of open banking in December 2019 with the aim of fully opening the financial settlement system. However, unlike the existing simple financial transaction structure, open banking still has an unresolved part due to the unclear relationship of responsibilities between interested parties in the event of financial accidents due to the complex linkage structure of transactions such as financial firms, fintech firms and customers. This study analyzed the security threat of open banking in depth. By doing so, the government and financial firms want to present policy proposals that need to be improved to enhance the safety of open banking in korea and protect financial consumers, as well as new financial models that have improved the vulnerable parts of existing models.

주제어

표/그림 (6)

그림 Fig. 1. Open Banking B2B Model Authentication Flow
표 Table 1. Open Banking security threat
그림 Fig. 2. Scenario of Open Banking Illegal Financial Transactions(expected)
그림 Fig. 3. Open Banking Financial Information Leak Scenario(expected)
그림 Fig. 4. Open Banking Type
그림 Fig. 5. Open Banking B2B2C Model Authentication Flow

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 연구에서는 국내외 금융회사의 오픈뱅킹 적용 현황과 서비스 및 연결모델을 살펴보고 인증에 대한 기반 기술을 분석하였다. 이 분석 결과를 바탕으로 금융회사, 핀테크 기업, 그리고 고객이라는 주체들의 관계에 적용할 수 있는 OAuth 2.
앞서 분석한 보안위협 중 모든 금융거래가 중계되어 금융거래를 변조할 수 있고 정보를 중간에 가로챌 수 있는 오픈뱅킹 구조에서 가장 취약한 부분인 이용 기관 영역에서 예상 가능한 해킹 시나리오를 상세 분석함으로써 오픈뱅킹의 개선점 도출에 참고자료로 이용하고자 한다. 첫 번째, 오픈뱅킹 불법 금융거래 시나리오다.
본 연구에서는 국내외 금융회사의 오픈뱅킹 적용 현황과 서비스 및 연결모델을 살펴보고 인증에 대한 기반 기술을 분석하였다. 이 분석 결과를 바탕으로 금융회사, 핀테크 기업, 그리고 고객이라는 주체들의 관계에 적용할 수 있는 OAuth 2.0 기반 B2B2(금융회사-핀테크 기업-고객) 오픈뱅킹을 구축하는데 요구되는 정책 및 모델을 제시하고자 한다.
그러나 개정 방향이 오픈뱅킹의 활성화에 주안점을 두고 있어 오픈뱅킹 B2B 연결모델에서의 금융사고 발생 시 책임소재 명확화와 금융소비자 피해 구제방안에 관한 내용은 담고 있지 않다. 이에 본장의 정책 제안을 통해 오픈뱅킹 금융사고 발생 시 당사자 간의 책임소재 명확화 방안과 소비자 보호를 위해 필요한 사항을 제시하고자 한다.

제안 방법

즉 오픈 API 연결구간은 API를 제공하는 운영기관과 그 API를 제공 받은 이용기관 간 연결구간뿐이다. 이러한 연결방식은 금융결제원의 은행권 공동 오픈뱅킹을 비롯해 국내 금융회사가 오픈뱅킹을 연결 하는데 널리 이용되는 방식으로 본 논문에서는 이를 B2B 연결모델이라 하겠다.
PSD2 시행에 따라 새로운 유형의 지급결제서비스 제공업자(Payment Service Provider), 계좌정보서비스(Account Information Service), 지급개시서비스(Payment Initiation Service) 그리고 계좌접근권(Right of Access to Account) 등의 새로운 개념들이 정립되어 현재의 오픈뱅킹 기반이 마련되었다. 추가적으로 PSD2의 후속 조치로서 고객 인증, 데이터 전송방식 등 지급결제서비스에 대한 보안 요구사항을 새로 규정한 규제기술표준(RTS, Regulatory Technical Standards)을 2019년 9 월 발효해 시행하였다. 이 규제기술표준은 금융거래를 위해 계좌에 접근할 경우 강화된 고객인증 요건에 따라 추가적인 고객확인절차를 진행토록 규정하고 있다 [12].

성능/효과

둘째, 통신 구간은 이용자와 이용기관, 이용기관과 운영기관 간 데이터를 전송하는 구간으로 이미 검증된 방식인 TLS 등의 암호화 통신과 데이터 암호화를 통해 충분한 보안체계가 유지된다고 볼 수 있다.
따라서 국내 오픈뱅킹에 B2B2C 모델을 추가 적용함으로써 B2B 연결모델의 약점을 보완하고 금융 사고에 대한 책임소재를 명확하여 금융사고 발생 시 고객정보 보호 및 금융소비자의 피해보상 등을 즉각 적으로 조치해 오픈뱅킹의 편리성과 금융사고 예방 등 안전성 확보를 위한 유연한 절차가 가능하다. 금융회사는 필요할 경우 금융거래의 성격과 중요도에 기존 B2B 연결모델 또는 본 논문에서 제시된 B2B2C 연결모델을 선택적으로 적용할 수 있을 것이다.
가트너 보고서는 오픈 API가 응용 프로그램을 서로 연계하여 많은 편의성을 제공하며 새로운 디지털 비즈니스 서비스를 제공하고 있지만, 데이터 유출 등의 API 보안사고가 발생하는 등 많은 취약점을 가지고 있다고 진단하였다. 또한, API 보안과 관련된 고객 문의가 전년 대비 30% 증가하였고 보안위협도 2019년 40%에서 2021년에는 90%까지 높아질 것으로 전망하였다. ‘API 사용 및 디지털 플랫폼 성장에서의 역할’에 대한 설문조사(2018년 3월) 결과, 응답자의 50% 이상이 API 보안을 오픈 API 전략을 세우는데 매우 주요 과제 중 하나로 꼽았다[3].
현재 오픈뱅킹의 유형은 2가지로 분류될 수 있다. 첫째, 금융결제원이 운영기관, 금융회사(은행)는 금융서비스를 제공하는 제공기관으로 구성되는 공동 API 방식과 둘째, 핀테크 기업이 이용기관, 금융회사는 오픈 API를 제공 하는 운영기관이면서 동시에 금융서비스를 제공하는 제공기관으로 구성되는 개별 API 방식이다. 참고로, 개별 API는 외환, 여신, 방카 등 금융회사의 특화된 서비스를 제공하기 위해 금융회사가 자체 오픈 API를 제공하는 것으로 오픈 API의 인증 등 운영 전반을 관리하고 통제하는 주체가 금융회사이다.
첫째, 이용기관은 금융결제원 은행권 공동 오픈뱅킹의 이용기관 승인 기준에 따라 사업자 중 금융위원회 분류기준의 핀테크 기업과 전자금융거래법상 전자 금융업자 또는 전자금융보조업자 그리고 오픈뱅킹 운영기관인 금융결제원에서 인정한 기업이다. 이용기관은 운영기관의 적합성 심사 및 승인 절차를 통해 지정된다.

후속연구

오픈뱅킹은 편리한 금융서비스 제공과 금융소비자의 선택권 강화를 위한 새로운 금융혁신 모델로 기존 금융거래에서 발생할 수 있는 일반적인 보안위협뿐만 아니라 오픈뱅킹 고유의 보안위협이 발생될 수 있다. 따라서 정책 제안과 더불어 현재 금융권에서 채택하고 있는 B2B 연결모델이 갖는 구조적 약점을 보완 하고 오픈뱅킹 고유의 위협에 대응할 수 있는 기술 적, 정책적 새로운 보안 프로세스 마련이 필요하다. 특히 금융회사가 자체적으로 오픈 API를 운영하는 개별 API 방식에서는 API 운영 전반에 걸쳐 모든 책임이 금융회사에 있는 만큼 더욱 세분화된 안전한 장치가 필요로 하게 되었다.
이렇듯 국내 금융회사들은 오픈뱅킹 도입해 새로운 금융 생태계 조성과 금융혁신을 통해 새로운 먹거리 창출을 기대하고 있다. 또한, 다양한 외부 핀테크 기업과 유연한 관계를 유지함으로써 은행의 상품과 서비스에 대한 다양한 판매 채널로 활용할 수 있기를 기대하고 있다.
확인 하는 방법으로는 첫째, 핀테크 기업이 금융회사에 정보제공을 요청하는 API 전문에 고객의 동의 여부를 알 수 있게 API 전문항목을 추가하여 확인하거나 둘째, 핀테크 기업과 사전에 계약 또는 약정체결을 통해 핀테크 기업에서 정보제공 요청 시 고객 동의를 받은 것으로 간주하고 그에 따른 모든 책임을 핀테크 기업에 있다는 조건을 명문화하는 방법을 생각해 볼 수 있을 것이다. 마지막으로는 금융회사가 핀테크 기업에 고객의 금융정보를 제공할 때 금융회사가 고객으로부터 직접 제공에 관한 동의를 받을 수 있는 연결모델을 채택하는 것도 고려해 볼 수 있을 것이다. 참고로, 정부는 신용정보법 개정을 통해 이러한 문제를 해결하고자 하고 있다.
와 같이 이용기관 서버 및 애플리케이션 관리자/해커가 금융거래를 위해 이용자가 입력한 은행의 아이디/비밀번호 등의 인증정보, 출금 계좌번호, 계좌 비밀번호, 수취인 입금 계좌번호 등 모든 금융 정보와 기타 이용자의 개인정보를 수집할 수 있다. 수집한 다수 이용자의 모든 정보를 금융정보 불법 유통 브로커에게 직접 판매하거나 그 브로커가 중국 보이스피싱 조직이나 불법 사금융 조직, 해커 등에 재판매하게 되다면 정보 유출로 인한 이용자의 피해뿐만 아니라 이용자 본인이 인지하지 못한 불법 대출, 차명 휴대전화 개통 등의 2차 피해도 우려되는 상황이 발생할 것이다.
또한, 국내 오픈뱅킹 활성화는 글로벌 금융회사와 해외 핀테크 기업들과의 경쟁에서도 중요한 시장 변수가 될 것이다. 이러한 오픈뱅킹의 비약적인 성장이 예상됨에 따라 법률적 기반 마련과 함께 금융소비자 보호 및 금융사고 예방을 위해 금융거래에 대해서는 안전성과 유연성을 갖는 B2B2C 연결모델로 구현함으로써 공개 가능한 일반 정보와 구별 처리하는 방식이 구현 된다면 오픈뱅킹의 유연성과 보안성을 동시에 만족시킬 수 있을 것으로 기대한다.
따라서 사고에 대한 책임 소재가 구조적으로 불명확한 B2B 모델에서는 금융소비자 보호를 위한 법률적 개선이 우선적으로 필요하다. 즉 오픈뱅킹 금융사고에 대한 입증책임과 손해배상 책임을 금융회사와 핀테크 기업이 공동으로 책임지게 하고 현재 금융회사에만 주어진 손해배상 보험 가입 의무를 핀테크 기업까지 확대해 사고가 신속 히 처리될 수 있도록 전자금융 거래법의 개정이 필요할 것이다.
따라서 고객의 금융정보 제공에 대한 책임을 명확히 하기 위하여 금융회사는 대리 동의를 통해 핀테크 기업에 금융정보를 제공할 때 핀테크 기업이 고객으로 부터 금융정보 제공에 관한 명시적인 동의가 있었는지를 명확히 확인한 후 금융정보를 제공해야 한다. 확인 하는 방법으로는 첫째, 핀테크 기업이 금융회사에 정보제공을 요청하는 API 전문에 고객의 동의 여부를 알 수 있게 API 전문항목을 추가하여 확인하거나 둘째, 핀테크 기업과 사전에 계약 또는 약정체결을 통해 핀테크 기업에서 정보제공 요청 시 고객 동의를 받은 것으로 간주하고 그에 따른 모든 책임을 핀테크 기업에 있다는 조건을 명문화하는 방법을 생각해 볼 수 있을 것이다. 마지막으로는 금융회사가 핀테크 기업에 고객의 금융정보를 제공할 때 금융회사가 고객으로부터 직접 제공에 관한 동의를 받을 수 있는 연결모델을 채택하는 것도 고려해 볼 수 있을 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	디지털 전환이란 무엇인가?	최근 금융권에서의 최대 화두는 핀테크(fintech) 기술의*활성화로 비롯된 디지털 전환(digital tra-nsfo-rmation)으로 꼽을 수 있을 것이다. 디지털 전환은 디지털 기술을 사회 전반에 적용하여 전통적인 사회 구조를 혁신시키는 것*이다. 금융권에서의 디지털 전환도 크게 다르지 않으며 금융 서비스인 수신, 여신, 외환, 지급결제 등 금융업 본연의 기능을 전통적인 방식에서 벗어나 새로운 혁신적 방법을 통해 고객이 원하는 다양한 금융서비스를 경쟁사보다 빠르게 시장에 제공하는 것이다.
	오픈뱅킹의 도입으로 인한 우려점은?	이러한 변화는 금융회사와 외부 기관과의 협업을 가속 시킬 것으로 예상할 수 있으며 개방형 혁신 체제로의 전환과 다양한 형태의 영업 전략 등의 계기가 될 것으로 보인다. 다만 고객 정보의 관리 소홀, API 인증 우회 등 새로운 보안위협과 금융범죄 등의 부작용도 커질 것으로 우려된다.
	가트너 보고서에서 진단한 오픈 API의 특징	가트너 보고서는 오픈 API가 응용 프로그램을 서로 연계하여 많은 편의성을 제공하며 새로운 디지털 비즈니스 서비스를 제공하고 있지만, 데이터 유출 등의 API 보안사고가 발생하는 등 많은 취약점을 가지고 있다고 진단하였다. 또한, API 보안과 관련된 고객 문의가 전년 대비 30% 증가하였고 보안위협도 2019년 40%에서 2021년에는 90%까지 높아질 것으로 전망하였다.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증