금융분야 마이데이터 테스트베드 구축 및 마이데이터 서비스 기능적합성 심사 및 보안취약점 점검 추진 -

[둥글이]

■ 8.4일부터 마이데이터 사업이 원활히 시행될 수 있도록 마이데이터 준비상황 점검회의 개최(’21.4.1.)


ㅇ 마이데이터 지원센터 및 중계기관별 준비 현황, 주요 마이데이터 사업자 및 정보제공자 등의 준비 현황 및 향후계획 점검


■ 마이데이터 API 및 서비스의 개발·테스트를 체계적으로 지원하기 위해 마이데이터 테스트베드를 금융보안원 내 구축(’21.4.1. 오픈)


■ 안전하고 원활한 마이데이터 서비스 제공을 위해 마이데이터 서비스에 대한 보안취약점 점검 및 기능적합성 심사 추진


■「알고하는 동의」를 반영한 전송요구 양식 등 주요 쟁점들을 추가적으로 논의하기 위한 마이데이터 TF도 4월 중 신용정보원이 운영할 계획

1

개요

□ 금융위원회와 관계기관은 ’21.8.4일*부터 마이데이터 사업이 원활히 시행될 수 있도록 마이데이터 준비상황 점검회의를 ’21.4.1.(목) 14시에 영상으로 개최하였습니다.

* 8.4일부터 마이데이터 사업자는 스크래핑이 아닌 표준 API 방식으로 데이터 전송

ㅇ 중계기관, 업권별로 관련 시스템 개발 일정 등 준비상황을 점검하고 향후 계획 및 애로사항 등을 청취했습니다.

< 마이데이터 준비상황 점검회의 개요 >

▣ 일시/장소 : 2021.4.1.(목), 14:00 ~ 15:30 / 온라인 회의(Zoom)로 개최


▣ 참석자 : (금융위원회) 금융혁신기획단장, 금융데이터정책과장
              (관계기관) 금융감독원, 신용정보원, 금융보안원, 금융결제원, 코스콤,
                           한국정보통신진흥협회
              (참여기관) KB국민은행, 신한카드, 교보생명, 네이버파이낸셜


▣ 논의안건 : ➊ 금융분야 마이데이터 테스트베드 시행방안(금보원),
                 ➋ 마이데이터 기능적합성 심사 및 보안취약점 점검 추진방안(금보원),
                 ➌ 마이데이터 TF 구성·운영방안(신정원),
                 ➍ 기관별 마이데이터 준비상황 및 향후 추진계획

□ 아울러 마이데이터 사업자가 체계적으로 서비스를 준비할 수 있도록 금융보안원 내에 API* 및 서비스의 개발·테스트를 지원하는 마이데이터 테스트베드를 운영(’21.4.1.~)하기로 하였습니다.

* API(Application Programming Interface) : 특정 프로그램의 기능이나 데이터를 다른 프로그램이 접근할 수 있도록 미리 정한 규칙

※ 전용 홈페이지 주소 : https://developers.mydatakorea.org

□ 또한, 금융소비자가 마이데이터 서비스를 안심하고 이용할 수 있도록 마이데이터 사업 본격 시행(’21.8.4.) 이전 서비스에 대한 기능적합성 심사와 보안취약점 점검을 추진하기로 하였습니다.

□ 마지막으로, 「알고하는 동의」를 반영한 전송요구권 양식 마련 등 주요 이슈사항 등에 대해서는 마이데이터 TF와 마이데이터 자문단을 구성·운영하여 조속히 논의를 마무리할 계획입니다.

2

금융분야 마이데이터 테스트베드 운영(4.1.~)

◈ 표준 API 규격에 맞는 시스템 개발 여부, 시스템의 원활한 작동 등을 손쉽게 테스트할 수 있는 환경을 지원

[1] API별 상세 개발 규격을 제공합니다. 

ㅇ 최신 표준 API 규격을 편리하게 조회하고 샘플 코드를 활용하여 서비스를 효율적으로 개발할 수 있도록 API별 상세 규격 제공

[2] 마이데이터 사업자와 금융회사에 개발·테스트 환경을 제공합니다.

ㅇ 기본 샘플 및 자체 데이터를 이용하여 API의 정상동작 여부를 자동화된 방식으로 자체 검증할 수 있는 개발·테스트 환경 제공

[ 유형별 금융분야 마이데이터 테스트베드 지원 테스트 ]

① (마이데이터 서비스 테스트) 마이데이터 사업자가 개발한 마이데이터 서비스가 정상 작동하는지를 확인하기 위해 테스트베드(가상API서버)에 API를 호출


② (API서버 테스트) 금융회사(정보제공자)가 개발한 API서버가 정상 작동하는지를 확인하기 위해 테스트베드(가상의 마이데이터서비스)에 API를 호출


③ (연동 테스트) 마이데이터 서비스와 API 서버 간 상호 호출되는지를 확인하기 위해 금융회사와 마이데이터사업자 간 상호 연동 테스트 지원

[3] 각종 심사·평가에 대한 손쉬운 신청 및 관리를 지원합니다.

ㅇ 기능적합성 심사, 보안취약점 점검 등 심사·평가절차를 테스트베드를 통해 편리하게 신청하고 사후관리 가능

3

기능적합성 심사 및 보안취약점 점검 추진

□ (기능적합성 심사) 안정적 서비스에 요구되는 신용정보법령상 행위규칙 준수여부, 표준API 규격 적합성 등을 서비스 출시 전 확인

ㅇ (대상) 마이데이터사업자가 개발한 마이데이터 서비스프로그램

ㅇ (심사기준) 신용정보법령상 행위규칙, 표준 API 규격적합성 등을 토대로 금융보안원이 개발한 심사기준* 활용 (☞[붙임1] 참고)

* 회원가입, 정보전송요구, 정보조회 등 총 4개 분야 19개 심사항목으로 구성예정

ㅇ (심사방법) 개발이 완료된 서비스를 금융보안원 내 전문인력이 IT 단말기에 설치한 후 각 심사항목별 적합성 확인

* 마이데이터 테스트베드 상의 가상서버 및 가상의 개인신용정보 활용

ㅇ (심사주기) 서비스프로그램 최초개발시 전체 항목 심사, 이후 주요기능 변경시 수시 심사 

□ (보안취약점 점검) 마이데이터 서비스의 보안성 강화를 위해 연 1회 이상 마이데이터 서비스에 대한 보안취약점 점검 수행

ㅇ (대상) 마이데이터사업자의 마이데이터 서비스 시스템 일체

* 고객에게 웹·앱 형태로 제공되는 응용프로그램과 DB, 웹서버, 정보보호시스템, 네트워크 구간 등 전산설비

ㅇ (점검기준) 금융보안원 점검기준* 활용 (☞[붙임2] 참고)

* 응용프로그램, DB, 웹서버, 정보보호시스템, 네트워크 등 5대 분야 375개 항목으로 구성

ㅇ (점검방법) 마이데이터사업자가 평가전문기관*, 자체전담반** 중 택일하여 금융보안원 점검기준에 따라 점검

* 전자금융감독규정 제37조의3①의 정보보호전문서비스기업(☞[붙임3] 참고)및 금보원

** 전자금융감독규정 제37조의2②에 따른 취약점점검 자체전담반

ㅇ (점검주기) 연 1회 점검하되, 올해는 서비스 출시 전* 점검을 완료하고, 점검결과를 매년 11월 말까지 금융보안원 제출

* 단, ’21년도는 서비스 출시지연 우려 등을 감안, 응용프로그램 이외 DB 등 전산설비에 대해서는 11월말까지 점검유예

① 마이데이터 사업자는 금융보안원 테스트베드를 이용하여 개발 및 테스트 수행
② 개발 완료시 기능적합성 심사를 완료하고, 보안취약점 점검 실시 후 결과 제출
③ 위 단계 완료시 신정원 종합포털 내 등록된 기관 연락망을 통해 API담당자와 연동확인
④ 연동테스트가 완료되면 마이데이터 서비스 제공

4

마이데이터 TF 구성·운영방안

□ 마이데이터 시행 전 지속적인 이슈 점검 및 협의 등을 위해 신용정보원에 마이데이터 TF 및 자문단을 구성·운영

ㅇ (마이데이터TF) 효과적인 TF 운영 등을 위해 마이데이터 사업자TF와 정보제공자 TF를 별도운영하여 의견 수렴 후 각 TF별 대표기관 등이 참여하는 마이데이터 TF에서 주요 쟁점 협의

ㅇ (마이데이터 자문단) TF 논의사항 중 개인정보 보호(예: 알고하는 동의를 반영한 전송요구 양식), 업권 간 이견 조정 등 심층 검토가 필요한 사항은 외부전문가로 구성된 자문단을 통해 논의

* 소비자단체, 학계, 법조계, 업권 대표자 등으로 구성

□ 마이데이터 TF 및 자문단을 통해 논의된 주요 쟁점사항 등은 마이데이터 가이드라인 수시개정을 통해 반영예정

5

향후 계획

□ 금융분야 마이데이터 테스트베드 운영(’21.4.1~) 

□ 마이데이터 서비스 기능적합성 심사 및 보안취약점 점검 추진(’21.4월~)

※ 금융분야 마이데이터 테스트베드 및 기능적합성 심사·보안취약점 점검 관련 세부 내용 문의 :

금융보안원 데이터혁신센터 (전화)02-3495-9995, (이메일)mydata@fsec.or.kr

□ 마이데이터 TF 및 자문단 구성·운영(4월 중)

□ 마이데이터 표준API 시스템 구축(~8.4.)