API 경제에서 금융 기관의 사이버보안 전략

API 경제에서 금융 기관의 사이버보안 전략

API 경제에서 금융 기관의 사이버보안 전략

 

• API 경제의 성장과 금융 기관의 역할
  • 금융 서비스 기업은 API를 통해 고객 맞춤형 디지털 서비스 제공
  • API 사용 확대에 따라 사이버 공격자의 진입 지점도 증가
  • 아카마이(Akamai) 인터넷 현황 보고서에 따르면 API를 통한 레이어 7 DDoS 공격이 급증
  • 주요 위협 요소: 섀도우 API(Shadow API)의 미인지로 인한 방어 실패
• 금융 기관을 위한 API 보안의 중요성
  • 단순 웹 애플리케이션 및 API 보호(WAAP)를 넘어선 보안 필요
  • OWASP(Open Web Application Security Project)는 API 보안 위협 상위 10가지를 2023년에 업데이트
  • 금융 업계의 주요 과제
    • API 생태계 가시성 부족
    • 전사적 API 인벤토리 부재
    • 기존의 노스-사우스(north-south) 트래픽 보호 방식만으로는 부족
• 금융 기관이 고려해야 할 API 보안 전략
  • API 가시성 확보
    • 섀도우 API 및 좀비 API의 위협 탐지
    • 회피형 API 데이터 유출 공격 대응 가능
  • 클라우드 기반 API 보안 활용
    • 데이터 암호화 및 토큰화 서비스 제공
    • 온프레미스 및 클라우드 모두에서 활용 가능
  • 비즈니스 맥락을 중심으로 한 보안 전략 수립
    • API 자격 증명 도용 탐지
    • 데이터 스크래핑 및 계정 데이터 도용 식별
  • 알림 및 대응 체계 강화
    • API 사용에 대한 장기적인 행동 분석 필요
    • WAF(Web Application Firewall)을 통한 자동화된 위협 차단
  • 부서 간 협업
    • 설계, 개발, 배포 전 과정에서의 협력 필수
    • API 사용 가시성을 API팀에 제공
  • 서드파티 API 보안 강화
    • 자체 API뿐 아니라 서드파티 API 취약점도 고려
    • 중앙 집중식 API 게이트웨이에만 의존하지 않도록 주의
  • 선제적 위협 탐지
    • 데이터 레이크(Data Lake)를 통한 과거 데이터 저장 및 분석
    • 강력한 쿼리 기능을 통해 잠재적 위협 사전 탐지
  • 지속적인 API 라이프사이클 관리
    • API 테스트를 개발 및 배포 초기 단계부터 수행
    • 잘못 구성된 API가 프로덕션 환경에 도달하지 않도록 방지
• 결론
  • API 경제의 확장과 함께 금융 기관은 사이버 위협 대응 역량 강화 필요
  • 주요 접근 방식
    • 완전한 API 가시성 확보
    • 클라우드 기반 보안 플랫폼 활용
    • 부서 간 협업 및 통합된 보안 전략 수립
  • 아카마이(Akamai)는 금융 기관의 API 보안 강화를 위한 기술적 지원 및 협업을 지속