API 보안, 인증만으로는 부족하다 — 피앤피시큐어가 강조한 API 접근통제 3요소

API(응용프로그램 인터페이스)를 통한 개인정보 유출이 잇따르면서, "로그인했는가"만 확인하는 API 보안으로는 부족하다는 지적이 커지고 있습니다. 피앤피시큐어는 11월 5일 언론을 통해, API 보안 사고를 막으려면 호출 주체별 접근권한·정보 조회 범위·실제 작업 이력을 함께 관리해야 한다고 강조했습니다. 이 글에서는 핵심 내용과 함께, 같은 원칙을 웹 업무시스템과 관리 콘솔에 적용하는 방법, 보안 담당자가 지금 점검할 항목을 정리했습니다.

핵심 요약

API 접근통제의 핵심은 인증(누구인가) 다음 단계인 권한 확인(이 정보를 볼 수 있는가)입니다. 최근 API 개인정보 유출 사고에서 로그인 여부만 확인하고 조회 권한은 검증하지 않거나, 응답에 불필요한 개인정보가 담기거나, 보안조치가 빠진 기존 API가 남아 있던 문제가 드러났습니다. 이 원칙은 웹 업무시스템과 클라우드 관리 콘솔에도 똑같이 적용돼야 하며, 피앤피시큐어는 웹 접근제어 솔루션 '디비세이퍼 WAC(DBSAFER WAC)'를 통해 접근통제와 작업 이력 기록을 지원합니다.

"인증 여부를 넘어 권한·범위·이력까지"

API 보안 사고를 예방하려면 인증 확인에 그치지 않고 세 가지를 종합적으로 관리하는 보안체계가 필요합니다.

1. 호출 주체별 접근권한: 정상 인증을 거쳤더라도, 요청한 정보에 접근할 권한이 있는지 별도로 확인해야 합니다.
2. 정보 조회 범위: 업무에 필요한 만큼만 조회되도록 범위를 정하고, API 응답에 불필요한 개인정보가 담기지 않게 해야 합니다.
3. 실제 작업 이력: 누가 어떤 권한으로 접근해 무엇을 했는지 기록해야 사고가 났을 때 원인을 추적하고 대응할 수 있습니다.

최근 API 보안 사고는 인증 여부뿐 아니라 접근권한과 정보 처리 범위를 함께 점검해야 한다는 점을 보여주며 웹 기반 업무 환경에서도 누가 어떤 권한으로 접근하고 어떤 작업을 수행했는지 확인할 수 있어야 합니다.

왜 지금 API 접근통제가 중요한가

API는 웹·모바일 앱과 클라우드 서비스를 연결하는 핵심 통로라서, 권한 확인이 빠지면 정상 기능이 그대로 유출 경로가 됩니다. 방화벽과 로그인 절차를 통과한 요청이기 때문에 겉으로는 정상 업무와 구분하기도 어렵습니다.

규제 환경도 빠르게 움직이고 있습니다. 금융위원회는 9월 말 이후 30여 곳의 금융회사에서 침해사고가 잇따르자, 홈페이지뿐 아니라 API·내부 업무 시스템·개발·테스트 시스템 등 외부에서 접근할 수 있는 IT 자산 전반을 대상으로 전 금융권 전수점검에 나선다고 밝혔습니다. 개인정보보호위원회도 API에 대해 최소 권한 부여, 대량·반복 호출 제한, 불필요한 응답정보 제거, 쓰지 않는 API와 인증정보 정리 등을 권고하고 있습니다.

API는 이제 개발팀만의 과제가 아니라 접근통제와 감사의 대상입니다. 정상 조회 기능이 대량 유출 통로가 되는 구조는 API 대량조회 이상행위 해설에서도 다뤘습니다.

인증과 권한 확인은 다르다 — 사고에서 드러난 3가지 빈틈

API 사고 유형은 대부분 "인증은 통과했지만 그 다음 단계가 비어 있던" 경우입니다. 보안 담당자가 구분해 볼 빈틈은 다음과 같습니다.

• 권한 미검증: 로그인한 사용자라면 다른 사람의 개인정보까지 조회할 수 있는 구조입니다. 요청마다 "이 사용자가 이 데이터를 볼 권한이 있는가"를 확인해야 합니다.
• 과도한 응답: 화면에는 일부만 보여도 API 응답에는 전체 개인정보가 담겨 내려가는 경우입니다. 응답 항목을 업무에 필요한 범위로 줄여야 합니다.
• 방치된 기존 API: 새 API와 달리 보안조치가 적용되지 않은 기존 API가 접근 가능한 상태로 남아 있는 경우입니다. API 목록을 관리하고 미사용 API와 인증정보를 정리해야 합니다.

웹 업무시스템·관리 콘솔에도 같은 원칙 — 디비세이퍼 WAC

API 보안 원칙은 웹 기반 업무시스템과 클라우드 관리 환경에도 적용돼야 합니다. 사용자별 접근권한을 구분하고, 접속 이후 수행한 작업을 기록·관리해야 사고 원인을 추적할 수 있습니다.

피앤피시큐어 DBSAFER WAC의 역할은 다음과 같습니다.

• 접근통제: 웹 업무시스템과 클라우드 관리 콘솔에 대한 접근을 통제합니다.
• 화면 로깅·작업 이력 기록: 사용자의 접속과 작업 내용을 확인하고 보안 감사에 활용할 수 있도록 설계됐습니다.
• 연계 운영: DB·서버 접근제어, 계정관리 솔루션과 연계해 웹 기반 관리 환경의 접근 이력도 함께 관리할 수 있습니다.

피앤피시큐어는 API 환경의 보안 요구와 고객 수요를 살펴 웹 접근제어 기술의 활용 범위를 검토하고 있습니다.

보안 담당자가 지금 점검할 항목

API와 웹 업무 환경의 접근통제는 "누가, 어떤 권한으로, 얼마나, 무엇을 했는가"에 답할 수 있는지로 점검하면 됩니다.

• API·웹 시스템 목록: 외부에서 접근 가능한 API와 웹 업무시스템, 관리 콘솔을 목록으로 관리하고 미사용·구버전을 정리했는가
• 요청 단위 권한 확인: 로그인 여부와 별개로, 요청한 데이터에 대한 권한을 매번 확인하는가
• 응답 최소화: API 응답과 화면에 업무에 필요하지 않은 개인정보가 포함되지 않는가
• 호출 제한: 짧은 시간의 대량·반복 호출을 제한하거나 알림을 받는가
• 작업 이력: 웹 업무시스템과 관리 콘솔에서 누가 무엇을 조회·변경했는지 기록이 남고, 감사 때 바로 확인할 수 있는가

자주 묻는 질문

API 보안에서 인증과 권한 확인은 어떻게 다른가요?

인증은 요청한 사람이 누구인지 확인하는 단계이고, 권한 확인(인가)은 그 사람이 요청한 데이터를 볼 수 있는지 판단하는 단계입니다. 최근 공개된 API 유출 사고에서도 인증은 통과했지만 권한 확인이 빠진 사례가 드러나, 두 단계를 모두 갖춰야 합니다.

개인정보보호위원회는 API 보안에 대해 무엇을 권고하나요?

보도에 따르면 개인정보보호위원회는 최소 권한 부여, 대량·반복 호출 제한, 불필요한 응답정보 제거, 미사용 API와 인증정보 정리 등을 권고하고 있습니다. 조직의 API 목록과 운영 기준을 이 항목에 맞춰 점검해 보는 것이 출발점입니다.

상담 안내

우리 조직의 웹 업무시스템과 관리 콘솔에서 누가 어떤 권한으로 접속해 무엇을 했는지 바로 답할 수 있는지 점검해 보시기 바랍니다. 피앤피시큐어는 DB·서버 접근제어와 계정관리, 웹 접근제어를 연계한 접근통제 경험을 바탕으로 우리 환경에 맞는 적용 방안을 함께 검토합니다. 웹 접근제어(디비세이퍼 WAC) 도입 상담으로 문의해 주세요.