오픈API 주문 서비스 제공 시 접근토큰 검증을 인증방법으로 사용가능한지 여부

□ 금융회사가 ‘오픈API 주식 매매 주문 서비스’ 제공에 있어 App key, Secret key, 접근토큰 검증을 통하여 주문요청을 처리할시 전자금융거래법 제21조3항 및 전자금융감독규정 제37조, 동규정 제33조제2항제5호 위반 여부

□ 전자금융거래법 제21조제3항은 전자금융거래의 안전성 및 신뢰성을 확보하는 것을 전제로 특정 기술 또는 서비스의 사용을 강제하지 않는 ‘기술중립성 원칙’을 규정하고 있으며, o 전자금융감독규정 제37조도 전자금융거래에 있어 특정한 인증수단을 규정하고 있지 않으므로 금융회사 등은 자신의 판단과 책임하에 적절한 인증수단을 선택하여 사용할 수 있습니다(법령해석 160603). □ 즉, 귀사가 스스로 제공하고자 하는 전자금융거래의 종류·성격·위험수준 등을 고려하여 안전한 인증수단을 사용한다면 전자금융거래법 제21조제3항 및 전자금융감독규정 제37조 위반으로 볼 수 없고, o 금융당국은 전자금융거래법 제21조제3항에 따라 특정한 인증수단의 적정성을 판단하지 않으므로, 귀사는 안전성, 보안성, 이용편의성 등을 충분히 고려하여 자율적으로 거래인증수단을 채택할 수 있습니다. o 단, 이용자 단말기의 악성코드 감염 및 도난, 분실 등으로 인한 데이터 및 인증정보 침해 등 위험에 대하여 기밀성?무결성을 확보하기 위한 보안대책을 반드시 수립·운영하시기 바랍니다. □ 또한, 전자금융감독규정 제33조제2항제5호는 금융회사 등이 이용자 비밀번호 유출 등을 방지하기 위하여 정보처리시스템에 반영하여야 할 사항으로, o 이를 전자금융감독규정 제37조에 따른 인증수단을 이용자가 비밀번호를 직접 입력하는 방식으로 제한한다는 의미로 볼 수 없습니다.