확장성·편의성 살리고, 보안 강화·성능 관리 지원
국내 금융권 오픈뱅킹 위해 도입…기존 FEP, EAI와 원활한 연계 핵심
[아이티데일리] 편리한 개발과 대외 확장에 용이하다는 장점을 기반으로 대내외 인터페이스에 API를 도입하는 기업, 기관이 늘었다. 특히 국내에서는 오픈뱅킹, 마이데이터 서비스를 기점으로 금융권에서 적극적으로 API를 도입하고 있다. 하지만 다수에게 공개할 수 있는 API 특성상 보안 취약점으로 악용될 가능성이 있으며, 적절한 트래픽 관리에 실패하면 내부 시스템의 성능 저하를 가져올 수 있다. 국내외 업체들은 API 관리(API Management, APIM) 솔루션으로 이러한 고민을 해결해 나가고 있다. API의 개념을 알아보고 국내 APIM 시장은 어떤 흐름으로 가고 있는지 동향을 살펴본다.
서비스 간 상호작용 돕는 ‘API’
API는 ‘애플리케이션 프로그래밍 인터페이스(Application Programming Interface)’의 약자로, 애플리케이션 소프트웨어를 구축하는 데 사용되는 인터페이스를 의미한다. API를 통해 서로 다른 소프트웨어의 구성 요소가 상호작용할 수 있어 개발자가 다른 서비스에서 제공하는 기능을 가져와 자사 서비스에 통합하는 데 활용된다.
애플리케이션이 가진 기능, 서비스 등을 외부에서 사용할 경우, 이를 어떻게 호출해야 응답을 받을 수 있는지에 대한 정보가 필요할 것이다. API는 이때 서로 다른 프로그램이 쉽게 대화하고 정보를 주고받을 수 있게 해주는 규칙, 방법 등을 포함한다.
한국레드햇 김상곤 상무는 “API는 마치 레스토랑에서 주문할 때 사용하는 ‘메뉴판’처럼 이해할 수 있다. 레스토랑에서 음식을 주문하면 레시피를 몰라도 음식을 제공받을 수 있는 것처럼 컴퓨터 프로그램도 API를 통해 다른 프로그램이 처리한 정보나 명령을 주문할 수 있다”고 설명했다.
API 구조 (출처: 메타빌드)
API만이 서비스 간에 정보 전달을 지원하는 유일한 솔루션은 아니다. 외부 기업 또는 서버와 내부 시스템을 연동할 때는 FEP(Front-End Processor)가 쓰인다. 기업이 내부 여러 애플리케이션을 통합할 때는 EAI(Enterprise Application Integeration)을 도입했다. 영업점, 콜센터, 인터넷 서비스처럼 다양한 대내외 채널을 연결하는 데는 MCI(Multi Channel Integration)을 사용하기도 한다.
그중에서도 API가 널리 알려진 이유는 내외부 데이터를 손쉽게 제공할 수 있는 기능이기 때문이다. 한국IBM 오토메이션 기술 총괄 조상철 상무는 “대외 인터페이스를 활용하기 위해서는 전용 회선을 물리적으로 설치하는 등 번거로운 부분이 있다. 이 때문에 서비스 범위가 좁아질 수밖에 없고, 보안 측면에서 안전할 수 있지만 다양한 서비스 제공에 한계가 있다. API를 사용한다면 다수에게 서비스를 열어둠으로써 더 나은 확장성을 갖출 수 있다”고 말했다.
물론 API라고 해서 다 같은 기술을 의미하는 것은 아니다. API는 생성 시기와 목적에 따라 4가지 방식으로 구분할 수 있다. 첫 번째로 SOAP(Simple Object Access Protocol) API는 과거에 널리 사용됐던 XML 기반의 API다. 두 번째로 클라이언트가 서버의 특정 함수, 프로시저를 호출하고 그 결과를 받는 RPC(Remote Procedure Call)가 있다. 세 번째로 웹소켓(WebSocket) API는 JSON을 사용해 클라이언트와 서버 간 실시간 양방향 통신을 지원한다. 마지막으로 REST API는 HTTP(Hypertext Transfer Protocol) 방식(Method)으로 서버 데이터에 접근하는 방식이다.
4가지 방식 중에서 현재 널리 쓰이는 방식은 REST API다. 이는 인터넷 식별자(URI)와 HTTP를 기반으로 하며, HTTP를 사용하는 만큼 단순한 구조를 갖췄다. 또한 브라우저 간 호환성이 좋은 JSON을 데이터 포맷으로 활용한다. 웹에 최적화된 단순한 구조이며, 여러 브라우저에서 사용할 수 있는 데이터 포맷으로 성능과 확장성에 강점을 갖췄다. 특히 서버와 다양한 브라우저, 모바일 디바이스 간 통신이 증가하고 있어 멀티 플랫폼을 원활히 지원하는 아키텍처가 필요해지면서 REST API를 많이 활용하기 시작했다.
개발 편의성, 확장성 강점…시장 확대 효과
API 활용에 가장 큰 장점은 편리한 개발이다. 애플리케이션 하나를 만드는 데도 여러 기능이 필요한데 이를 다 새롭게 개발한다면 많은 시간이 소요될 것이다. 개발 과정에서 API를 활용하면 기존 소프트웨어 시스템을 애플리케이션에 통합해 모든 기능을 처음부터 만드는 번거로움을 줄일 수 있다.
아마존웹서비스(AWS) 박혜영 수석 솔루션즈 아키텍트는 “배달 앱 하나에도 지도, 결제, 음식점 정보 등 다양한 기능이 필요하다. 이 모든 것을 개발자가 처음부터 다 구현하기는 어려울 수 있다. 이때 API를 이용하면 다른 서비스에서 필요한 기능을 가져옴으로써 보다 효율적인 개발이 가능하다”고 설명했다.
API를 통한 편리한 개발은 사용자 경험 개선 효과로도 이어질 수 있다. 스마트폰, 태블릿 PC뿐 아니라 스마트 워치와 같은 웨어러블 디바이스 등 여러 환경에서 애플리케이션을 활용하는 사용자들이 날이 갈수록 많아지고 있다. 디바이스마다 각기 다른 조건과 성능을 갖춘 만큼 그에 맞는 별도의 개발이 필요한데, 모든 기능을 일일이 구현한다면 멀티 디바이스 환경에 대응하는 데 어려움이 있을 수밖에 없다. API는 단순한 구조로 너른 호환성을 갖춰 이러한 문제에 대응하는 데 효과적이다.
기업은 API의 확장성을 통해 새로운 사업 모델을 마련할 수 있다. 기존에도 연계 솔루션은 있었지만, 앞서 설명했듯 통신망을 별도로 설치하는 등의 과정으로 인해 여러 사업자와의 교류가 제한적이었다. API는 대외적으로 공개되는 만큼, 이를 사업 확대의 기회로 삼는 것이 가능하다. 실제로 금융권에서는 표준 API 형태로 오픈뱅킹 서비스가 시작된 후, 핀테크 기업이 새로운 애플리케이션을 개발하거나 기존 금융기관이 이를 활용해 신규 서비스를 내놓는 등 여러 혁신이 나타난 바 있다.
한국레드햇 김상곤 상무는 “외부로 노출하는 API를 ‘오픈 API(Open API)’라고 부르는데, 정부나 기업에서는 이를 통해 다양한 서비스를 제공하고, 잠재적인 가치를 공개함으로써 기업의 이익을 극대화하는 방안으로 사용한다. 또한 수집된 정보로 시장의 트렌드를 읽을 수 있는 것도 장점이다”라고 말했다.
이액티브 김영태 부사장은 “지도, 기상 정보 등을 API 형태로 공개하면 민간 업체에서 데이터를 새로운 서비스로 창출하고, 이를 통한 시장 확대 효과를 거둘 수 있다”며 “많은 정보를 가진 기관들이 폐쇄적인 운영을 이어왔으나 최근 들어 API를 통한 개방으로 사업 기회를 모색하는 변화가 나타나고 있다”고 설명했다.
보안 취약점, 성능 안정성 등 과제 해결 필요
하지만 내부 서비스를 공개하는 만큼 이에 따르는 위험 요소도 적지 않다. 가장 큰 문제는 보안이다. API를 통해 불특정 다수의 클라이언트가 서버에 접근할 수 있다. 이 말을 다르게 보자면 더 많은 보안 위협에 노출된다는 의미이기도 하다. 한국IBM 조상철 상무는 “API 환경에서는 정확히 누가 서비스를 호출하는지 알기 어렵다. 그렇기에 외부 해커 공격으로부터 내부 시스템이 노출되는 위험성이 도사리고 있는 셈이다”라고 설명했다.
AWS 박혜영 수석 솔루션즈 아키텍트도 “외부 시스템과 API를 연동하면 해커의 공격 표면이 늘어나 보안 위험이 증가한다”며 “인증, 권한 부여, 데이터 암호화 등의 적절한 보안 조치가 필수적”이라고 강조했다.
성능 과부하 문제도 고려해야 한다. 외부 유입 트래픽을 예측하는 데 실패하면 이로 인해 가장 중요한 내부 시스템의 성능이 저하되기도 한다. 예를 들어, 은행에서 내부 환율 시스템을 핀테크 기업이 활용할 수 있도록 API로 개방할 수 있다. 여기서 외부 요청이 은행이 예상한 수준을 넘어 높은 트래픽으로 나타나면, 내부 시스템의 리소스까지 잡아먹고 이 때문에 이체, 환전 등 고객 업무에 차질을 빚는 문제가 발생할 수 있다.
한국레드햇 김상곤 상무는 “API를 노출하기 전 호출 트래픽을 예측하지 않아 내부 성능을 충분히 고려하지 못하는 문제를 겪는 사례도 있다. 이 경우 클라이언트가 원하는 만큼 빠른 응답이 불가능해진다. 이러한 현상을 막기 위해서는 적절히 부하를 조절하는 장치가 마련돼야 한다”고 말했다.
유지보수도 중요한 문제다. 더 빠르고 안정적인 API를 운영하기 위해서는 지속적인 업데이트가 필요하다. 이 과정에서 생겨난 변경 사항은 가급적 API를 활용한 서비스가 중단되지 않은 상태에서 적용될 수 있어야 한다. API가 한두 개에 그칠 때는 관리가 쉽지만 여러 가지인 데다 사용자 수가 많아지면 상당히 까다로워진다.
피씨엔 이금탁 전무는 “기관이나 기업에서는 여러 시스템별로 API를 운영하는 경우가 많은데, 적절한 솔루션으로 관리하지 않으면 애플리케이션 또는 사용자 간에 혼선이 빚어질 수 있다. 이로 인해 버전을 업데이트한 뒤에도 사용자가 해당 사항을 인지하지 못하고 이용해 문제가 발생하는 사례도 있다”고 말했다.
APIM으로 안전하고 편리한 API 활용
API 관리(API Management, APIM) 솔루션의 핵심은 ‘게이트웨이(Gateway)’다. 게이트웨이는 여러 가지로 복잡하게 흩어져 있는 API 연결이 모두 거쳐 가는 ‘정문’ 역할을 맡는다. 모든 API 관련 호출, 응답은 게이트웨이를 거쳐서 지나가게 된다. 이 과정에서 게이트웨이로 인증, 권한 부여, 암호화 등의 기능으로 API를 관리할 수 있어 보안 측면에서 보다 안전한 서비스 제공이 가능하다.
한국IBM 조상철 상무는 “게이트웨이가 없다면 API마다 개별적으로 보안 이슈에 대응해야 한다. 하지만 기업이나 기관에서 운영하는 API는 한두 개가 아니기 때문에 게이트웨이 없이 안전한 보안 환경을 유지하기 매우 어려울 것이다. 게이트웨이가 존재한다면 모든 API 호출을 한 통로로 관리할 수 있어 보안 기능 도입이나 관리 측면에서 훨씬 용이하다”고 말했다.
게이트웨이는 성능 관리에 있어서도 편리하다. 게이트웨이로 모든 API 호출, 응답이 들어오고 나가기 때문에, 전반적인 사용량을 파악하고 이에 맞게 리소스를 조절하는 일이 가능해진다. 가령 API를 통한 외부 유입을 전체 성능에 40% 정도로 제한함으로써 API가 내부 시스템에 장애를 일으키지 않도록 하는 유량 제어 기능이나 늘어나는 호출을 알아서 스케일 아웃(Scale-Out) 기능 등으로 나눠 처리하는 분산 기능 등을 제공한다. 또한 업체들은 더욱 손쉬운 관리를 위해 GUI 형태의 인터페이스로 API 사용량을 한눈에 파악하고 클릭으로 제어할 수 있는 기능도 지원하고 있다.
게이트웨이를 통해 버전 업데이트도 안정적으로 이뤄진다. 업데이트된 버전으로 API를 완전히 교체하거나 이전 버전과 병행하며 점진적으로 전환하는 과정을 지원해 사용자와 제공자 모두 API를 원활히 활용할 수 있도록 돕는다.
국내는 금융·공공 중심…기존 솔루션과 연계가 관건
국내에서 API가 활발히 도입되기 시작한 것은 2019년경 시작된 오픈뱅킹, 마이데이터의 영향이 크다. 기존에도 일부 기업에서 외산 솔루션을 통해 API를 도입하는 사례가 있었지만, 커스터마이징과 기술 지원 등에 어려움으로 시장이 확대되지 못하고 있었다. 실제로 APIM 분야 핵심 기업인 CA는 국내 사업을 철수하기도 했다.
오픈뱅킹은 금융결제원이 2019년 말부터 운영하는 서비스로, API를 통해 금융기관 이외에 여러 업체가 금융정보 조회, 자금 이체 등을 제공할 수 있도록 지원한다. 오픈뱅킹 이전에는 업체가 은행과 계약해 전용회선을 설치해야 했는데, 이에 따른 비용이 상당했다. 오픈뱅킹은 금융결제원이 은행과 기존에 설치한 회선으로 중계하는 구조로 만들어져, 업체들은 적은 비용으로도 여러 서비스를 개발 및 운영할 수 있게 됐다. 카카오, 네이버, 토스 등 IT 업체들이 이용기관으로 참여했으며, 현재 다양한 애플리케이션이 오픈뱅킹을 활용해 금융 서비스를 제공하고 있다.
아울러 마이데이터는 여러 기관, 기업에 흩어진 개인정보를 애플리케이션 하나만으로 확인할 수 있도록 지원하는 서비스로, 2020년경 시작해 금융권에서부터 확대되고 있다. 정부는 2025년까지 보건의료, 복지, 통신 등 여러 분야의 정보를 모두 확인할 수 있도록 사업을 확대해 나간다는 계획이다.
정부에서도 데이터 개방을 위해 API를 적극 활용하고 있다. 2011년경 보유한 누구나 편리하고 손쉽게 활용할 수 있도록 공공데이터를 공개하기로 결정했으며, 이후 서울시·경기도 버스정보 등을 비롯한 13종의 오픈 API 서비스가 시작됐다. 공공데이터포털에는 현재 총 8만 9천여 개의 데이터셋이 공개돼 있으며, 이 중에서 약 1만 2천 개가 오픈 API로 서비스되고 있다.
금융기관과 공공기관에서는 이러한 변화의 흐름 속에서 API 도입에 적극적으로 나섰다. 하지만 그 기간이 길지 않은 만큼 기존 솔루션과의 원활한 연계를 고려하지 않을 수 없었다. 금융, 공공 부문은 오랜 시간 유지된 사업이기 때문에 레거시 솔루션이 많이 남아 있고, 이를 모두 API로 교체하는 현대화 과정을 거치는 데는 상당한 시간과 비용이 소요될 수밖에 없다.
이 점을 고려해 국내 업체들은 기존 FEP, EAI 솔루션과 API 간 원활한 연계를 지원하고자 노력하고 있다. 기존 솔루션에 맞게 APIM 솔루션을 커스터마이징하거나 또는 API와 FEP, EAI를 함께 패키지로 묶어 제공하는 방식으로 기존 솔루션과 충돌 없이 안정된 API 개방을 지원한다.
디리아 관계자는 “국내는 아직 레거시 솔루션으로 운영하는 곳이 많다. 이 점에 대한 고려 없이 API 솔루션을 도입하면 전 시스템을 연결해 원활한 서비스를 제공하기에 제약사항이 있다”고 지적하며 “디리아는 이를 지원하기 위해 업체에 맞는 커스터마이징을 제공한다”고 밝혔다.
이액티브 김영태 부사장은 “오픈뱅킹, 마이데이터가 도입되며 API를 처음으로 시작한 곳도 있었다. 따라서 독자적인 제품보다는 기존 연계 솔루션과 함께 API를 제공함으로써 원활한 도입을 지원하고자 한다”며 “서버 등 백엔드 요소를 API에 잘 맞는 MSA(Microservices Architecture)로 개선하는 데 시간과 비용이 많이 필요한 만큼 우선적으로 게이트웨이와 백엔드 간 호환성 등을 레거시 환경 내에서 구현하는 데 초점을 맞추고 있다”고 설명했다.
피씨엔 PCN
피씨엔 | 노코드로 제작부터 관리까지 API 전 과정 지원
피씨엔은 지난해 오픈 API 자동화 솔루션 ‘오아시스(OASIS)’에서 API 관리 기능만 별도로 분리해 ‘오아시스-APIM(OASIS-APIM)’을 신규 출시했다. 오아시스-APIM은 다양한 프로토콜과 데이터셋 제공이 강점이다. 프로토콜은 HTTP, HTTPS부터 전통적으로 쓰이던 TCP 소켓까지 지원하며, 데이터 포맷 역시 TCP/IP, HTML, XML, JSON 등을 폭넓게 사용할 수 있다. 또한 버전 업데이트 시 끊김 없는 서비스를 위해 동적 로딩 방식으로 무중단 API 게이트웨이 서비스를 제공한다.
피씨엔 ‘오아시스-APIM’ 대시보드
특히 오아시스와 함께 도입할 경우, 노코드(No Code)·로우코드(Low Code) 기반으로 편리하게 오픈 API를 구축 가능하다. IT 비(非) 전문가인 현업에서도 필요한 API를 별도의 프로그래밍 없이 GUI 도구로 빠르게 제작할 수 있게끔 지원한다. 불필요한 개발 인력 투입 최소화로 구축 비용을 줄이고, 추후 서비스 수정 및 추가 등 유지보수도 오아시스 플랫폼 내에서 해결할 수 있다.
오아시스는 한국부동산원, 국립산림과학원, 경찰청, 국회사무처 등 여러 공공기관에 납품됐으며, 오아시스-APIM은 지난해 GS인증을 통과하고 올해 본격적인 사업에 나설 예정이다. 또한 해외 유통망을 갖춘 회사와 업무협약을 통해 해외 진출도 준비 중이다. 상반기 중으로 다국어 지원 등을 업데이트하고 하반기에 일본, 중국, 동남아 등 아시아 금융권을 대상으로 판로를 확대해 나간다는 방침이다.
피씨엔 R&D본부 이금탁 전무
인터뷰
“누구나 손쉽게 API 제작부터 관리까지 해결”
피씨엔 R&D본부 이금탁 전무
Q. 오아시스-APIM의 특장점을 소개한다면.
동적 로딩 방식으로 무중단 API 운영을 지원한다. 이러한 기능 없이는 API를 업데이트할 때 코딩 작업 후 컴파일해 다시 서버에 업로드하고 로딩을 기다리는 과정을 매번 거쳐야 한다. 번거로울 뿐만 아니라 로딩 과정에서 딜레이가 발생해 사용자에게 원활한 서비스 제공이 어렵다.
여러 사용자가 동시에 많이 몰리는 경우도 대비해야 한다. 오아시스-APIM은 캐시 기능으로 저지연 API 게이트웨이를 제공한다. 사용자가 요구하는 데이터 중에는 상황에 따라 계속 바뀌는 게 있는가 하면 큰 변화 없이 쓰이는 것도 있다. 캐시 기능은 그중에 변하지 않는 데이터를 캐시 메모리에 저장, 해당 사항이 필요한 사용자는 앞단에서 해결하고 이외에 다른 데이터의 경우에만 서버에 호출하는 형태로 구성된다. 이를 통해 빠른 API 환경을 제공할 수 있다.
Q. 고객사에서 APIM 솔루션 도입 시 가장 중요하게 고려하는 점은.
비용 문제를 빼놓을 수 없다. API는 다양한 브라우저 환경을 지원하고 실시간 정보 유통에 최적화돼 유연한 기술이지만, 운영 관리가 난도가 높은 편이다. 제대로 된 관리 없이 여러 API 제작해 활용하면, 서로 얽히고설켜 유지보수 등에 많은 시간과 비용을 들이게 된다.
APIM 솔루션은 일원화된 관리로 안정적인 서비스 제공이 가능하며, 제공자 입장에서도 보안 걱정을 덜어낼 수 있다. 특히 API 서비스 자동화 솔루션 ‘오아시스’를 전체적으로 도입하게 되면 API 제작에서부터 관리에 이르는 전 과정을 노코드·로우코드 형태로 관리해 그 누구나 손쉽게 관리할 수 있다는 장점이 있다. 사용자는 모든 개별 서비스의 위치를 알 필요 없이 오아시스 솔루션 하나로 전반적으로 작업이 가능하다.
Q. 향후 피씨엔의 API 관련 사업 계획은
지난해 API 관리에 초점을 맞추고 해당 기능만 뽑아낸 오아시스 APIM을 출시했다. GS인증을 이미 마쳤으며 올해 본격적인 사업에 추진하는 중이다. 해외 진출도 준비하고 있다. 정부 지원 과제를 통해 해외 유통망을 갖춘 회사와 파트너십을 체결했다. 현지 시장에 대한 이해도가 풍부한 회사로, 특히 아시아권에 강점이 있다. 피씨엔은 협력 관계를 통해 일본, 중국, 동남아 지역의 금융권 회사를 대상으로 사업을 펼쳐갈 계획이다. 현지에 맞는 솔루션 제공을 위해 다국어 지원과 기술 고도화 등을 준비해 상반기 내로 완료할 예정이다.
디리아 | 금융 분야에서의 탄탄한 레퍼런스 확보
디리아는 ‘크루즈APIM(CruzAPIM)’을 중심으로 사업을 이끌어 가고 있다. 크루즈APIM은 거래량에 따른 자동적인 스케일 아웃으로 일시적 대량 거래에 유연하게 대응하며, 장애 서비스 발생 시 임시 저장된 정보 및 대안 서비스를 제공해 고객 장애 노출을 최소화하는 등 안정적인 성능를 보장하는 데 초점을 맞췄다.
국내 기업 및 기관에서는 레거시 시스템이 주를 이루고 있기에 호환성도 고려했다. JSON을 API 엔진에서 레거시 전문 형태로 전환 가능하며, HTTP로 송신된 인터페이스도 플러그인 방식의 어댑터로 기존 시스템에 맞게 바꿀 수 있도록 지원한다.
이와 같은 안정성과 호환성으로 디리아는 국내 금융권에서 여러 구축 사례를 쌓아 왔다. 고객 모 은행에서는 크루즈APIM을 도입해 모바일 서비스를 MSA 기반으로 구현하고 서비스 간 연계를 API 방식으로 제공하고, 하이브리드 클라우드 환경에 적합한 서비스형 플랫폼(PaaS)으로 구축했다.
또 다른 은행에서는 전사 표준 REST/HTTP 인터페이스 제공을 위한 API 중계 시스템을 크루즈 APIM으로 구축하고, 점진적으로 EAI 역할까지 대체하는 계획을 수립했다.
디리아 관계자는 “IT 구축이 점차 온프레미스에서 클라우드 환경으로 변화하고 있다. 그에 따라 클라우드에 대응하기 위해 API가 더욱 필요해질 것이다. 디리아는 관련 구축 사례를 풍부하게 갖춘 만큼 고객 환경에 맞는 API 시스템 구축에 강점이 있다”고 밝혔다.
메타빌드 | APIM 운영관리플랫폼으로 원활한 디지털 전환 지원
메타빌드는 API 게이트웨이, 관리, 분석 등을 종합적으로 제공하는 운영관리플랫폼 ‘메심 APIG(MESIM APIG)를 주력 솔루션으로 삼고 있다. 메모리를 활용한 데이터 캐싱, 백엔드 서버 차단 등으로 성능을 안정적으로 제공하고, 직관적인 GUI 기반 인터페이스와 통합 모니터링 대시보드로 실시간 서비스 운영 현황도 조회 가능하다. 아울러 VM(가상 머신), 컨테이너 오케스트레이션 등 다양한 클라우드 운영 환경도 지원한다.
메타빌드 ’메심 APIG’
메타빌드의 대표적인 메심 APIG 구축 사례는 4세대 교육행정정보시스템(NEIS, 나이스)이다. 메심 APIG는 나이스 클라우드와 17개 시도교육청에 설치돼 학생, 학부모, 교직원 등 사용자들의 발급 및 조회, 민원 통합 처리하는 클라우드 기반 API 통합 게이트웨이 기능을 맡고 있다. 또한 금융기관, 통신사 등에서 보유한 개인신용정보를 조회해 금융 마이데이터 표준 API로 변환해 제공하는 중계 시스템 구축에도 참여했다.
메타빌드 관계자는 “메심 APIG는 20년간 쌓아 온 메타빌드의 연계 기술과 노하우가 집약된 솔루션”이라며 “API 서비스 운영기반과 안정적 성능, 편리한 운영 환경을 통해 디지털 전환과 클라우드 네이티브에 필요한 핵심 기술을 제공하겠다”고 밝혔다.
이액티브 | FEP, EAI와 연계로 안정적인 호환성 확보
이액티브는 API 제공에 있어 기존 시스템과의 연계에 초점을 맞췄다. 이전부터 운영됐던 FEP, EAI 솔루션을 유지하면서 외부에 공개하는 오픈 API 서비스를 연동해 보다 신속한 업무 적용을 지원한다.
특히 레거시 솔루션이 많은 금융, 공공 부문에서는 바로 API를 지원할 수 없기 때문에 중간에 변환하는 작업이 이뤄져야 한다. 이액티브는 FEP, EAI, 그리고 내부 채널 연동을 담당하는 MCI와 API 기능을 함께 탑재하고 도입 단계에서 이들 솔루션 간의 연계와 맞춤 제작 등에 힘을 기울여 왔다.
이러한 연계 솔루션 제품군을 바탕으로 KB국민은행, 광주은행, 전북은행 등에 차세대 FEP·EAI 시스템 구축과 함께 금융결제원 오픈 API 연계 작업을 수행했다. 우리은행에는 오픈 API 연계와 마이데이터 시스템 구축을 진행했으며, 이밖에도 카카오뱅크, 토스뱅크 등에 금융 관련 연계 솔루션 사업을 수행한 바 있다.
이액티브 김영태 부사장은 “실제 시스템을 구축하는 과정에서는 고객 환경에 따라 솔루션을 변경해야 하는 경우가 많다. 이액티브는 FEP, EAI 등 다양한 연계 솔루션 관련 구축 사례를 확보해 기술 경험이 쌓여 있으며, 이를 통해 요구사항에 유연하게 대응할 수 있는 능력을 갖췄다”고 밝혔다.
AWS | API 라이프사이클 관리와 서비스 생태계가 강점
AWS는 아마존 API 게이트웨이(Amazon API Gateway)를 중심으로 APIM 솔루션 제품군을 제공하고 있다. 아마존 API 게이트웨이는 어떤 규모에서든 API 생성에서부터 유지 관리, 모니터링 및 보안까지 지원하는 완전 관리형 서비스다. 특히 컨테이너식 서버리스 워크로드 및 웹 애플리케이션과 원활히 연계되며, 트래픽 및 API 버전 관리 등 최대 수십만 개의 동시 API 호출을 수신 및 응답하는 데 관계된 모든 작업 처리 능력을 갖췄다.
AWS 생태계와의 통합 용이성도 강점이다. 아마존 API 게이트웨이는 AWS 생태계와 통합돼 있어 기존 AWS 환경과 별도의 연계 없이 원활한 도입이 가능하다. 많은 기업에서 AWS의 클라우드 서비스와 인프라를 활용 중이기에 아마존 API 게이트웨이가 갖춘 통합 용이성은 더욱 두드러진다.
AWS 박혜영 수석 솔루션즈 아키텍트는 “디지털 전환이 가속화되며 기업에서는 고객 서비스 향상과 신규 수익원 확보를 위해 API 구축과 외부 데이터 연계에 적극적으로 나서고 있다. 이에 따라 API 복잡도가 크게 증가하는 추세다”라며 “아마존 API 게이트웨이는 기존 AWS 기반 시스템과 원활한 통합이 가능하고 높은 가용성과 확장성을 갖췄다. 또한 폭넓은 보안 기능을 데이터 유출 및 침해 위험을 최소화할 수 있다”고 강조했다.
레드햇
레드햇 | API 관리에 앱 현대화·클라우드 네이티브까지 구현
레드햇은 클라우드 네이티브, 컨테이너, MSA 등을 활용한 현대화 과정에 탄탄한 역량을 갖추고 있다. 이를 바탕으로 ‘3스케일 API 매니지먼트(3scale API Management)’와 함께 기업 내 시스템 현대화 과정을 전반적으로 지원한다는 방침이다.
API를 내부 시스템 모듈에 사용하는 경우 이에 맞는 현대화가 수반돼야 한다. 이때 MSA 형태의 애플리케이션을 동적 서비스로 제공하는 기술을 ‘서비스 메시(Service Mesh)’라 부른다. 기업은 자동으로 API 개수를 조절하고 생성하는 서비스 메시와 통합된 API 관리를 담당하는 3스케일을 결합해 현대화된 배포 방법을 도입할 수 있다.
한국레드햇 김상곤 상무는 “기존에는 게이트웨이 기능을 웹 서비스 형식으로 제공했다. 이를 서비스 메시와 통합하며 게이트웨이의 노출 기능을 서비스 메시에서 함께 담당함으로써 현대화된 서비스 제어 방법을 활용하는 기업이 늘고 있다”며 “레드햇은 애플리케이션 현대화에 강점을 갖춘 만큼 API 라이프사이클 관리와 함께 기업이 원하는 속도로 내부 시스템 클라우드 네이티브까지 지원할 수 있다”고 밝혔다.
IBM | 안전한 API 보안과 최신 기술 관련 높은 이해도가 강점
IBM API 커넥트는 온프레미스 및 클라우드 전반에서 API 관리, 보호 등 전체 라이브사이클을 지원하는 APIM이다. IBM의 가장 큰 강점은 보안이다. API 서버 관련 정보를 게이트웨이에 두는 방식을 선택하지 않고 인메모리 데이터 기술로 정보를 공유함으로써 게이트웨이를 통한 정보 탈취 위험성을 낮췄다.
직관적인 관리자 인터페이스도 장점이다. 전반적인 API 데이터, 사용자 관리, 대시보드 등을 제공하며, 특히 드래그앤드롭 방식으로 API를 손쉽게 등록할 수 있도록 지원한다. 사용자들은 개발자 포털을 통해 필요한 API를 찾거나 API 사용 데이터를 수집해 인사이트를 확보하는 데 활용할 수 있다. 또한 테스트 기능으로 API 등록 전 별도 개발 없이 문제 유무를 확인해 안정된 서비스 배포와 빠른 애플리케이션 내 도입을 지원한다.
최신 기술에 대한 이해도와 역량도 갖췄다. 널리 알려진 REST API뿐만 아니라 글로벌 시장에서 쓰이는 ‘그래프큐엘(GraphQL)’ API에 대한 생성, 관리도 지원한다. 그레프큐엘은 쿼리 언어 형태로 원하는 데이터만 제공받을 수 있어 REST가 가진 한계를 보완한다는 점에서 주목받고 있다.
IBM 조상철 상무는 “IBM은 온프레미스, 클라우드 등 다양한 환경을 제공하며 안정된 보안 기능도 갖췄다. 가트너로부터 2015년부터 지난해까지 8년 연속으로 API 관리 분야 리더로 인정받았으며, 그래프큐엘과 같은 트렌드 변화도 대응할 수 있는 역량을 확보하고 있다”고 밝혔다.
한국IBM 조상철 상무
인터뷰
“AI·ML 기반 보안 취약성 탐지로 안전한 API 서비스 제공”
한국IBM 오토메이션 기술 총괄 조상철 상무
Q. IBM API 커넥트의 특장점은.
먼저 안정된 보안을 꼽을 수 있다. 우선, 게이트웨이의 보안 취약점을 보완했다. API 게이트웨이에 서버, 라우팅 관련 정보를 DB 형태로 함께 두는 경우가 있는데, 게이트웨이를 통해 서버 정보까지 유출될 가능성이 있다. IBM은 인메모리 데이터 기술로 DB를 쓰지 않고 정보를 공유할 수 있도록 지원한다. 또한 API 보안 기업 노네임 시큐리티(Noname Security)와 파트너십을 통해 인공지능(AI)·머신러닝(ML) 기반 보안 취약성 탐지 기능을 통해 지능화된 공격으로부터 자동화된 보호를 제공한다.
관리자가 사용하는 포털인 ‘API 매니저’도 강점이다. API 데이터를 필터링, 정렬, 집계할 수 있는 대시보드와 맞춤형 뷰를 제공해 사용량 등으로 비즈니스에 대한 인사이트를 확보할 수 있다.
실제 API 서비스 개발 전 테스트 기능도 포털을 통해 제공한다. API를 개발해 등록했으나 이후 발생하는 오류로 서비스를 내리고 다시 구축하는 번거로운 상황이 발생하기도 한다. IBM은 별도 개발 없이 포털 내에 등록해 빠르게 테스트할 수 있는 환경을 지원한다. 제공자 입장에서는 외부로 데이터를 빠르게 개방할 수 있고, 사용자 입장에서는 애플리케이션 내 안정적인 API 도입이 가능해진다.
Q. 앞으로의 API 시장 트렌드를 전망한다면
아직 국내에서는 REST API가 가장 많이 활용된다. 균일한 인터페이스 구조에 범용적인 사용성을 보장해 다양한 애플리케이션 환경에 대응 가능하다는 점이 REST API의 장점 중 하나다. 하지만 REST API는 서비스가 늘어날수록 엔드포인트 관리가 까다로워졌고, 요청한 영역보다 더 많은 정보를 받거나 기능마다 일일이 호출을 수행해야 하는 단점이 있었다.
그래프큐엘은 REST의 문제를 개선하고 복잡한 앱 구현을 편리하게 만들고자 페이스북에서 개발한, API에 접목할 수 있는 쿼리 언어다. 하나의 엔드포인트로 효과적인 데이터 로딩이 가능하며, 한 번의 요청만으로도 모든 데이터를 서버로부터 가져올 수 있다. 이러한 장점을 바탕으로 글로벌 시장에서 사용자가 늘어나는 추세다. IBM은 새로운 트렌드에 대응하기 위한 지난해 그래프큐엘 전문업체 스텝젠(Stepzen)을 인수하는 등 여러 노력을 기울이고 있다.
이벤트 기반 아키텍처(Event Driven Architecture, EDA)에 대한 기술도 지속 확보하고 있다. 호출에 응답하는 API와 달리 EDA는 데이터 생성·변경·삭제 등이 발생하면 여러 서비스에 이벤트를 발행하는 방식이다. 이는 API보다 더 유연한 시스템 운영이 가능하도록 지원한다.
그래프큐엘과 EDA 모두 국내에 널리 쓰이는 기술은 아니다. 하지만 글로벌 시장 동향과 함께 점차 활용될 가능성이 있다고 생각한다. IBM은 이와 같은 기술 트렌드 변화에도 신속하게 대응하며 고객에게 효과적인 솔루션 제공에 힘을 쏟고 있다.
IBM API 커넥트
김호준 기자 hojun@itdaily.kr
확장성·편의성 살리고, 보안 강화·성능 관리 지원
국내 금융권 오픈뱅킹 위해 도입…기존 FEP, EAI와 원활한 연계 핵심
[아이티데일리] 편리한 개발과 대외 확장에 용이하다는 장점을 기반으로 대내외 인터페이스에 API를 도입하는 기업, 기관이 늘었다. 특히 국내에서는 오픈뱅킹, 마이데이터 서비스를 기점으로 금융권에서 적극적으로 API를 도입하고 있다. 하지만 다수에게 공개할 수 있는 API 특성상 보안 취약점으로 악용될 가능성이 있으며, 적절한 트래픽 관리에 실패하면 내부 시스템의 성능 저하를 가져올 수 있다. 국내외 업체들은 API 관리(API Management, APIM) 솔루션으로 이러한 고민을 해결해 나가고 있다. API의 개념을 알아보고 국내 APIM 시장은 어떤 흐름으로 가고 있는지 동향을 살펴본다.
서비스 간 상호작용 돕는 ‘API’
API는 ‘애플리케이션 프로그래밍 인터페이스(Application Programming Interface)’의 약자로, 애플리케이션 소프트웨어를 구축하는 데 사용되는 인터페이스를 의미한다. API를 통해 서로 다른 소프트웨어의 구성 요소가 상호작용할 수 있어 개발자가 다른 서비스에서 제공하는 기능을 가져와 자사 서비스에 통합하는 데 활용된다.
애플리케이션이 가진 기능, 서비스 등을 외부에서 사용할 경우, 이를 어떻게 호출해야 응답을 받을 수 있는지에 대한 정보가 필요할 것이다. API는 이때 서로 다른 프로그램이 쉽게 대화하고 정보를 주고받을 수 있게 해주는 규칙, 방법 등을 포함한다.
한국레드햇 김상곤 상무는 “API는 마치 레스토랑에서 주문할 때 사용하는 ‘메뉴판’처럼 이해할 수 있다. 레스토랑에서 음식을 주문하면 레시피를 몰라도 음식을 제공받을 수 있는 것처럼 컴퓨터 프로그램도 API를 통해 다른 프로그램이 처리한 정보나 명령을 주문할 수 있다”고 설명했다.
API만이 서비스 간에 정보 전달을 지원하는 유일한 솔루션은 아니다. 외부 기업 또는 서버와 내부 시스템을 연동할 때는 FEP(Front-End Processor)가 쓰인다. 기업이 내부 여러 애플리케이션을 통합할 때는 EAI(Enterprise Application Integeration)을 도입했다. 영업점, 콜센터, 인터넷 서비스처럼 다양한 대내외 채널을 연결하는 데는 MCI(Multi Channel Integration)을 사용하기도 한다.
그중에서도 API가 널리 알려진 이유는 내외부 데이터를 손쉽게 제공할 수 있는 기능이기 때문이다. 한국IBM 오토메이션 기술 총괄 조상철 상무는 “대외 인터페이스를 활용하기 위해서는 전용 회선을 물리적으로 설치하는 등 번거로운 부분이 있다. 이 때문에 서비스 범위가 좁아질 수밖에 없고, 보안 측면에서 안전할 수 있지만 다양한 서비스 제공에 한계가 있다. API를 사용한다면 다수에게 서비스를 열어둠으로써 더 나은 확장성을 갖출 수 있다”고 말했다.
물론 API라고 해서 다 같은 기술을 의미하는 것은 아니다. API는 생성 시기와 목적에 따라 4가지 방식으로 구분할 수 있다. 첫 번째로 SOAP(Simple Object Access Protocol) API는 과거에 널리 사용됐던 XML 기반의 API다. 두 번째로 클라이언트가 서버의 특정 함수, 프로시저를 호출하고 그 결과를 받는 RPC(Remote Procedure Call)가 있다. 세 번째로 웹소켓(WebSocket) API는 JSON을 사용해 클라이언트와 서버 간 실시간 양방향 통신을 지원한다. 마지막으로 REST API는 HTTP(Hypertext Transfer Protocol) 방식(Method)으로 서버 데이터에 접근하는 방식이다.
4가지 방식 중에서 현재 널리 쓰이는 방식은 REST API다. 이는 인터넷 식별자(URI)와 HTTP를 기반으로 하며, HTTP를 사용하는 만큼 단순한 구조를 갖췄다. 또한 브라우저 간 호환성이 좋은 JSON을 데이터 포맷으로 활용한다. 웹에 최적화된 단순한 구조이며, 여러 브라우저에서 사용할 수 있는 데이터 포맷으로 성능과 확장성에 강점을 갖췄다. 특히 서버와 다양한 브라우저, 모바일 디바이스 간 통신이 증가하고 있어 멀티 플랫폼을 원활히 지원하는 아키텍처가 필요해지면서 REST API를 많이 활용하기 시작했다.
개발 편의성, 확장성 강점…시장 확대 효과
API 활용에 가장 큰 장점은 편리한 개발이다. 애플리케이션 하나를 만드는 데도 여러 기능이 필요한데 이를 다 새롭게 개발한다면 많은 시간이 소요될 것이다. 개발 과정에서 API를 활용하면 기존 소프트웨어 시스템을 애플리케이션에 통합해 모든 기능을 처음부터 만드는 번거로움을 줄일 수 있다.
아마존웹서비스(AWS) 박혜영 수석 솔루션즈 아키텍트는 “배달 앱 하나에도 지도, 결제, 음식점 정보 등 다양한 기능이 필요하다. 이 모든 것을 개발자가 처음부터 다 구현하기는 어려울 수 있다. 이때 API를 이용하면 다른 서비스에서 필요한 기능을 가져옴으로써 보다 효율적인 개발이 가능하다”고 설명했다.
API를 통한 편리한 개발은 사용자 경험 개선 효과로도 이어질 수 있다. 스마트폰, 태블릿 PC뿐 아니라 스마트 워치와 같은 웨어러블 디바이스 등 여러 환경에서 애플리케이션을 활용하는 사용자들이 날이 갈수록 많아지고 있다. 디바이스마다 각기 다른 조건과 성능을 갖춘 만큼 그에 맞는 별도의 개발이 필요한데, 모든 기능을 일일이 구현한다면 멀티 디바이스 환경에 대응하는 데 어려움이 있을 수밖에 없다. API는 단순한 구조로 너른 호환성을 갖춰 이러한 문제에 대응하는 데 효과적이다.
기업은 API의 확장성을 통해 새로운 사업 모델을 마련할 수 있다. 기존에도 연계 솔루션은 있었지만, 앞서 설명했듯 통신망을 별도로 설치하는 등의 과정으로 인해 여러 사업자와의 교류가 제한적이었다. API는 대외적으로 공개되는 만큼, 이를 사업 확대의 기회로 삼는 것이 가능하다. 실제로 금융권에서는 표준 API 형태로 오픈뱅킹 서비스가 시작된 후, 핀테크 기업이 새로운 애플리케이션을 개발하거나 기존 금융기관이 이를 활용해 신규 서비스를 내놓는 등 여러 혁신이 나타난 바 있다.
한국레드햇 김상곤 상무는 “외부로 노출하는 API를 ‘오픈 API(Open API)’라고 부르는데, 정부나 기업에서는 이를 통해 다양한 서비스를 제공하고, 잠재적인 가치를 공개함으로써 기업의 이익을 극대화하는 방안으로 사용한다. 또한 수집된 정보로 시장의 트렌드를 읽을 수 있는 것도 장점이다”라고 말했다.
이액티브 김영태 부사장은 “지도, 기상 정보 등을 API 형태로 공개하면 민간 업체에서 데이터를 새로운 서비스로 창출하고, 이를 통한 시장 확대 효과를 거둘 수 있다”며 “많은 정보를 가진 기관들이 폐쇄적인 운영을 이어왔으나 최근 들어 API를 통한 개방으로 사업 기회를 모색하는 변화가 나타나고 있다”고 설명했다.
보안 취약점, 성능 안정성 등 과제 해결 필요
하지만 내부 서비스를 공개하는 만큼 이에 따르는 위험 요소도 적지 않다. 가장 큰 문제는 보안이다. API를 통해 불특정 다수의 클라이언트가 서버에 접근할 수 있다. 이 말을 다르게 보자면 더 많은 보안 위협에 노출된다는 의미이기도 하다. 한국IBM 조상철 상무는 “API 환경에서는 정확히 누가 서비스를 호출하는지 알기 어렵다. 그렇기에 외부 해커 공격으로부터 내부 시스템이 노출되는 위험성이 도사리고 있는 셈이다”라고 설명했다.
AWS 박혜영 수석 솔루션즈 아키텍트도 “외부 시스템과 API를 연동하면 해커의 공격 표면이 늘어나 보안 위험이 증가한다”며 “인증, 권한 부여, 데이터 암호화 등의 적절한 보안 조치가 필수적”이라고 강조했다.
성능 과부하 문제도 고려해야 한다. 외부 유입 트래픽을 예측하는 데 실패하면 이로 인해 가장 중요한 내부 시스템의 성능이 저하되기도 한다. 예를 들어, 은행에서 내부 환율 시스템을 핀테크 기업이 활용할 수 있도록 API로 개방할 수 있다. 여기서 외부 요청이 은행이 예상한 수준을 넘어 높은 트래픽으로 나타나면, 내부 시스템의 리소스까지 잡아먹고 이 때문에 이체, 환전 등 고객 업무에 차질을 빚는 문제가 발생할 수 있다.
한국레드햇 김상곤 상무는 “API를 노출하기 전 호출 트래픽을 예측하지 않아 내부 성능을 충분히 고려하지 못하는 문제를 겪는 사례도 있다. 이 경우 클라이언트가 원하는 만큼 빠른 응답이 불가능해진다. 이러한 현상을 막기 위해서는 적절히 부하를 조절하는 장치가 마련돼야 한다”고 말했다.
유지보수도 중요한 문제다. 더 빠르고 안정적인 API를 운영하기 위해서는 지속적인 업데이트가 필요하다. 이 과정에서 생겨난 변경 사항은 가급적 API를 활용한 서비스가 중단되지 않은 상태에서 적용될 수 있어야 한다. API가 한두 개에 그칠 때는 관리가 쉽지만 여러 가지인 데다 사용자 수가 많아지면 상당히 까다로워진다.
피씨엔 이금탁 전무는 “기관이나 기업에서는 여러 시스템별로 API를 운영하는 경우가 많은데, 적절한 솔루션으로 관리하지 않으면 애플리케이션 또는 사용자 간에 혼선이 빚어질 수 있다. 이로 인해 버전을 업데이트한 뒤에도 사용자가 해당 사항을 인지하지 못하고 이용해 문제가 발생하는 사례도 있다”고 말했다.
APIM으로 안전하고 편리한 API 활용
API 관리(API Management, APIM) 솔루션의 핵심은 ‘게이트웨이(Gateway)’다. 게이트웨이는 여러 가지로 복잡하게 흩어져 있는 API 연결이 모두 거쳐 가는 ‘정문’ 역할을 맡는다. 모든 API 관련 호출, 응답은 게이트웨이를 거쳐서 지나가게 된다. 이 과정에서 게이트웨이로 인증, 권한 부여, 암호화 등의 기능으로 API를 관리할 수 있어 보안 측면에서 보다 안전한 서비스 제공이 가능하다.
한국IBM 조상철 상무는 “게이트웨이가 없다면 API마다 개별적으로 보안 이슈에 대응해야 한다. 하지만 기업이나 기관에서 운영하는 API는 한두 개가 아니기 때문에 게이트웨이 없이 안전한 보안 환경을 유지하기 매우 어려울 것이다. 게이트웨이가 존재한다면 모든 API 호출을 한 통로로 관리할 수 있어 보안 기능 도입이나 관리 측면에서 훨씬 용이하다”고 말했다.
게이트웨이는 성능 관리에 있어서도 편리하다. 게이트웨이로 모든 API 호출, 응답이 들어오고 나가기 때문에, 전반적인 사용량을 파악하고 이에 맞게 리소스를 조절하는 일이 가능해진다. 가령 API를 통한 외부 유입을 전체 성능에 40% 정도로 제한함으로써 API가 내부 시스템에 장애를 일으키지 않도록 하는 유량 제어 기능이나 늘어나는 호출을 알아서 스케일 아웃(Scale-Out) 기능 등으로 나눠 처리하는 분산 기능 등을 제공한다. 또한 업체들은 더욱 손쉬운 관리를 위해 GUI 형태의 인터페이스로 API 사용량을 한눈에 파악하고 클릭으로 제어할 수 있는 기능도 지원하고 있다.
게이트웨이를 통해 버전 업데이트도 안정적으로 이뤄진다. 업데이트된 버전으로 API를 완전히 교체하거나 이전 버전과 병행하며 점진적으로 전환하는 과정을 지원해 사용자와 제공자 모두 API를 원활히 활용할 수 있도록 돕는다.
국내는 금융·공공 중심…기존 솔루션과 연계가 관건
국내에서 API가 활발히 도입되기 시작한 것은 2019년경 시작된 오픈뱅킹, 마이데이터의 영향이 크다. 기존에도 일부 기업에서 외산 솔루션을 통해 API를 도입하는 사례가 있었지만, 커스터마이징과 기술 지원 등에 어려움으로 시장이 확대되지 못하고 있었다. 실제로 APIM 분야 핵심 기업인 CA는 국내 사업을 철수하기도 했다.
오픈뱅킹은 금융결제원이 2019년 말부터 운영하는 서비스로, API를 통해 금융기관 이외에 여러 업체가 금융정보 조회, 자금 이체 등을 제공할 수 있도록 지원한다. 오픈뱅킹 이전에는 업체가 은행과 계약해 전용회선을 설치해야 했는데, 이에 따른 비용이 상당했다. 오픈뱅킹은 금융결제원이 은행과 기존에 설치한 회선으로 중계하는 구조로 만들어져, 업체들은 적은 비용으로도 여러 서비스를 개발 및 운영할 수 있게 됐다. 카카오, 네이버, 토스 등 IT 업체들이 이용기관으로 참여했으며, 현재 다양한 애플리케이션이 오픈뱅킹을 활용해 금융 서비스를 제공하고 있다.
아울러 마이데이터는 여러 기관, 기업에 흩어진 개인정보를 애플리케이션 하나만으로 확인할 수 있도록 지원하는 서비스로, 2020년경 시작해 금융권에서부터 확대되고 있다. 정부는 2025년까지 보건의료, 복지, 통신 등 여러 분야의 정보를 모두 확인할 수 있도록 사업을 확대해 나간다는 계획이다.
정부에서도 데이터 개방을 위해 API를 적극 활용하고 있다. 2011년경 보유한 누구나 편리하고 손쉽게 활용할 수 있도록 공공데이터를 공개하기로 결정했으며, 이후 서울시·경기도 버스정보 등을 비롯한 13종의 오픈 API 서비스가 시작됐다. 공공데이터포털에는 현재 총 8만 9천여 개의 데이터셋이 공개돼 있으며, 이 중에서 약 1만 2천 개가 오픈 API로 서비스되고 있다.
금융기관과 공공기관에서는 이러한 변화의 흐름 속에서 API 도입에 적극적으로 나섰다. 하지만 그 기간이 길지 않은 만큼 기존 솔루션과의 원활한 연계를 고려하지 않을 수 없었다. 금융, 공공 부문은 오랜 시간 유지된 사업이기 때문에 레거시 솔루션이 많이 남아 있고, 이를 모두 API로 교체하는 현대화 과정을 거치는 데는 상당한 시간과 비용이 소요될 수밖에 없다.
이 점을 고려해 국내 업체들은 기존 FEP, EAI 솔루션과 API 간 원활한 연계를 지원하고자 노력하고 있다. 기존 솔루션에 맞게 APIM 솔루션을 커스터마이징하거나 또는 API와 FEP, EAI를 함께 패키지로 묶어 제공하는 방식으로 기존 솔루션과 충돌 없이 안정된 API 개방을 지원한다.
디리아 관계자는 “국내는 아직 레거시 솔루션으로 운영하는 곳이 많다. 이 점에 대한 고려 없이 API 솔루션을 도입하면 전 시스템을 연결해 원활한 서비스를 제공하기에 제약사항이 있다”고 지적하며 “디리아는 이를 지원하기 위해 업체에 맞는 커스터마이징을 제공한다”고 밝혔다.
이액티브 김영태 부사장은 “오픈뱅킹, 마이데이터가 도입되며 API를 처음으로 시작한 곳도 있었다. 따라서 독자적인 제품보다는 기존 연계 솔루션과 함께 API를 제공함으로써 원활한 도입을 지원하고자 한다”며 “서버 등 백엔드 요소를 API에 잘 맞는 MSA(Microservices Architecture)로 개선하는 데 시간과 비용이 많이 필요한 만큼 우선적으로 게이트웨이와 백엔드 간 호환성 등을 레거시 환경 내에서 구현하는 데 초점을 맞추고 있다”고 설명했다.
주요 업체별 APIM 동향
피씨엔 PCN피씨엔 | 노코드로 제작부터 관리까지 API 전 과정 지원
피씨엔은 지난해 오픈 API 자동화 솔루션 ‘오아시스(OASIS)’에서 API 관리 기능만 별도로 분리해 ‘오아시스-APIM(OASIS-APIM)’을 신규 출시했다. 오아시스-APIM은 다양한 프로토콜과 데이터셋 제공이 강점이다. 프로토콜은 HTTP, HTTPS부터 전통적으로 쓰이던 TCP 소켓까지 지원하며, 데이터 포맷 역시 TCP/IP, HTML, XML, JSON 등을 폭넓게 사용할 수 있다. 또한 버전 업데이트 시 끊김 없는 서비스를 위해 동적 로딩 방식으로 무중단 API 게이트웨이 서비스를 제공한다.
피씨엔 ‘오아시스-APIM’ 대시보드특히 오아시스와 함께 도입할 경우, 노코드(No Code)·로우코드(Low Code) 기반으로 편리하게 오픈 API를 구축 가능하다. IT 비(非) 전문가인 현업에서도 필요한 API를 별도의 프로그래밍 없이 GUI 도구로 빠르게 제작할 수 있게끔 지원한다. 불필요한 개발 인력 투입 최소화로 구축 비용을 줄이고, 추후 서비스 수정 및 추가 등 유지보수도 오아시스 플랫폼 내에서 해결할 수 있다.
오아시스는 한국부동산원, 국립산림과학원, 경찰청, 국회사무처 등 여러 공공기관에 납품됐으며, 오아시스-APIM은 지난해 GS인증을 통과하고 올해 본격적인 사업에 나설 예정이다. 또한 해외 유통망을 갖춘 회사와 업무협약을 통해 해외 진출도 준비 중이다. 상반기 중으로 다국어 지원 등을 업데이트하고 하반기에 일본, 중국, 동남아 등 아시아 금융권을 대상으로 판로를 확대해 나간다는 방침이다.
피씨엔 R&D본부 이금탁 전무인터뷰
“누구나 손쉽게 API 제작부터 관리까지 해결”
피씨엔 R&D본부 이금탁 전무
Q. 오아시스-APIM의 특장점을 소개한다면.
동적 로딩 방식으로 무중단 API 운영을 지원한다. 이러한 기능 없이는 API를 업데이트할 때 코딩 작업 후 컴파일해 다시 서버에 업로드하고 로딩을 기다리는 과정을 매번 거쳐야 한다. 번거로울 뿐만 아니라 로딩 과정에서 딜레이가 발생해 사용자에게 원활한 서비스 제공이 어렵다.
여러 사용자가 동시에 많이 몰리는 경우도 대비해야 한다. 오아시스-APIM은 캐시 기능으로 저지연 API 게이트웨이를 제공한다. 사용자가 요구하는 데이터 중에는 상황에 따라 계속 바뀌는 게 있는가 하면 큰 변화 없이 쓰이는 것도 있다. 캐시 기능은 그중에 변하지 않는 데이터를 캐시 메모리에 저장, 해당 사항이 필요한 사용자는 앞단에서 해결하고 이외에 다른 데이터의 경우에만 서버에 호출하는 형태로 구성된다. 이를 통해 빠른 API 환경을 제공할 수 있다.
Q. 고객사에서 APIM 솔루션 도입 시 가장 중요하게 고려하는 점은.
비용 문제를 빼놓을 수 없다. API는 다양한 브라우저 환경을 지원하고 실시간 정보 유통에 최적화돼 유연한 기술이지만, 운영 관리가 난도가 높은 편이다. 제대로 된 관리 없이 여러 API 제작해 활용하면, 서로 얽히고설켜 유지보수 등에 많은 시간과 비용을 들이게 된다.
APIM 솔루션은 일원화된 관리로 안정적인 서비스 제공이 가능하며, 제공자 입장에서도 보안 걱정을 덜어낼 수 있다. 특히 API 서비스 자동화 솔루션 ‘오아시스’를 전체적으로 도입하게 되면 API 제작에서부터 관리에 이르는 전 과정을 노코드·로우코드 형태로 관리해 그 누구나 손쉽게 관리할 수 있다는 장점이 있다. 사용자는 모든 개별 서비스의 위치를 알 필요 없이 오아시스 솔루션 하나로 전반적으로 작업이 가능하다.
Q. 향후 피씨엔의 API 관련 사업 계획은
지난해 API 관리에 초점을 맞추고 해당 기능만 뽑아낸 오아시스 APIM을 출시했다. GS인증을 이미 마쳤으며 올해 본격적인 사업에 추진하는 중이다. 해외 진출도 준비하고 있다. 정부 지원 과제를 통해 해외 유통망을 갖춘 회사와 파트너십을 체결했다. 현지 시장에 대한 이해도가 풍부한 회사로, 특히 아시아권에 강점이 있다. 피씨엔은 협력 관계를 통해 일본, 중국, 동남아 지역의 금융권 회사를 대상으로 사업을 펼쳐갈 계획이다. 현지에 맞는 솔루션 제공을 위해 다국어 지원과 기술 고도화 등을 준비해 상반기 내로 완료할 예정이다.
디리아 | 금융 분야에서의 탄탄한 레퍼런스 확보
디리아는 ‘크루즈APIM(CruzAPIM)’을 중심으로 사업을 이끌어 가고 있다. 크루즈APIM은 거래량에 따른 자동적인 스케일 아웃으로 일시적 대량 거래에 유연하게 대응하며, 장애 서비스 발생 시 임시 저장된 정보 및 대안 서비스를 제공해 고객 장애 노출을 최소화하는 등 안정적인 성능를 보장하는 데 초점을 맞췄다.
국내 기업 및 기관에서는 레거시 시스템이 주를 이루고 있기에 호환성도 고려했다. JSON을 API 엔진에서 레거시 전문 형태로 전환 가능하며, HTTP로 송신된 인터페이스도 플러그인 방식의 어댑터로 기존 시스템에 맞게 바꿀 수 있도록 지원한다.
이와 같은 안정성과 호환성으로 디리아는 국내 금융권에서 여러 구축 사례를 쌓아 왔다. 고객 모 은행에서는 크루즈APIM을 도입해 모바일 서비스를 MSA 기반으로 구현하고 서비스 간 연계를 API 방식으로 제공하고, 하이브리드 클라우드 환경에 적합한 서비스형 플랫폼(PaaS)으로 구축했다.
또 다른 은행에서는 전사 표준 REST/HTTP 인터페이스 제공을 위한 API 중계 시스템을 크루즈 APIM으로 구축하고, 점진적으로 EAI 역할까지 대체하는 계획을 수립했다.
디리아 관계자는 “IT 구축이 점차 온프레미스에서 클라우드 환경으로 변화하고 있다. 그에 따라 클라우드에 대응하기 위해 API가 더욱 필요해질 것이다. 디리아는 관련 구축 사례를 풍부하게 갖춘 만큼 고객 환경에 맞는 API 시스템 구축에 강점이 있다”고 밝혔다.
메타빌드 | APIM 운영관리플랫폼으로 원활한 디지털 전환 지원
메타빌드는 API 게이트웨이, 관리, 분석 등을 종합적으로 제공하는 운영관리플랫폼 ‘메심 APIG(MESIM APIG)를 주력 솔루션으로 삼고 있다. 메모리를 활용한 데이터 캐싱, 백엔드 서버 차단 등으로 성능을 안정적으로 제공하고, 직관적인 GUI 기반 인터페이스와 통합 모니터링 대시보드로 실시간 서비스 운영 현황도 조회 가능하다. 아울러 VM(가상 머신), 컨테이너 오케스트레이션 등 다양한 클라우드 운영 환경도 지원한다.
메타빌드의 대표적인 메심 APIG 구축 사례는 4세대 교육행정정보시스템(NEIS, 나이스)이다. 메심 APIG는 나이스 클라우드와 17개 시도교육청에 설치돼 학생, 학부모, 교직원 등 사용자들의 발급 및 조회, 민원 통합 처리하는 클라우드 기반 API 통합 게이트웨이 기능을 맡고 있다. 또한 금융기관, 통신사 등에서 보유한 개인신용정보를 조회해 금융 마이데이터 표준 API로 변환해 제공하는 중계 시스템 구축에도 참여했다.
메타빌드 관계자는 “메심 APIG는 20년간 쌓아 온 메타빌드의 연계 기술과 노하우가 집약된 솔루션”이라며 “API 서비스 운영기반과 안정적 성능, 편리한 운영 환경을 통해 디지털 전환과 클라우드 네이티브에 필요한 핵심 기술을 제공하겠다”고 밝혔다.
이액티브 | FEP, EAI와 연계로 안정적인 호환성 확보
이액티브는 API 제공에 있어 기존 시스템과의 연계에 초점을 맞췄다. 이전부터 운영됐던 FEP, EAI 솔루션을 유지하면서 외부에 공개하는 오픈 API 서비스를 연동해 보다 신속한 업무 적용을 지원한다.
특히 레거시 솔루션이 많은 금융, 공공 부문에서는 바로 API를 지원할 수 없기 때문에 중간에 변환하는 작업이 이뤄져야 한다. 이액티브는 FEP, EAI, 그리고 내부 채널 연동을 담당하는 MCI와 API 기능을 함께 탑재하고 도입 단계에서 이들 솔루션 간의 연계와 맞춤 제작 등에 힘을 기울여 왔다.
이러한 연계 솔루션 제품군을 바탕으로 KB국민은행, 광주은행, 전북은행 등에 차세대 FEP·EAI 시스템 구축과 함께 금융결제원 오픈 API 연계 작업을 수행했다. 우리은행에는 오픈 API 연계와 마이데이터 시스템 구축을 진행했으며, 이밖에도 카카오뱅크, 토스뱅크 등에 금융 관련 연계 솔루션 사업을 수행한 바 있다.
이액티브 김영태 부사장은 “실제 시스템을 구축하는 과정에서는 고객 환경에 따라 솔루션을 변경해야 하는 경우가 많다. 이액티브는 FEP, EAI 등 다양한 연계 솔루션 관련 구축 사례를 확보해 기술 경험이 쌓여 있으며, 이를 통해 요구사항에 유연하게 대응할 수 있는 능력을 갖췄다”고 밝혔다.
AWS | API 라이프사이클 관리와 서비스 생태계가 강점
AWS는 아마존 API 게이트웨이(Amazon API Gateway)를 중심으로 APIM 솔루션 제품군을 제공하고 있다. 아마존 API 게이트웨이는 어떤 규모에서든 API 생성에서부터 유지 관리, 모니터링 및 보안까지 지원하는 완전 관리형 서비스다. 특히 컨테이너식 서버리스 워크로드 및 웹 애플리케이션과 원활히 연계되며, 트래픽 및 API 버전 관리 등 최대 수십만 개의 동시 API 호출을 수신 및 응답하는 데 관계된 모든 작업 처리 능력을 갖췄다.
AWS 생태계와의 통합 용이성도 강점이다. 아마존 API 게이트웨이는 AWS 생태계와 통합돼 있어 기존 AWS 환경과 별도의 연계 없이 원활한 도입이 가능하다. 많은 기업에서 AWS의 클라우드 서비스와 인프라를 활용 중이기에 아마존 API 게이트웨이가 갖춘 통합 용이성은 더욱 두드러진다.
AWS 박혜영 수석 솔루션즈 아키텍트는 “디지털 전환이 가속화되며 기업에서는 고객 서비스 향상과 신규 수익원 확보를 위해 API 구축과 외부 데이터 연계에 적극적으로 나서고 있다. 이에 따라 API 복잡도가 크게 증가하는 추세다”라며 “아마존 API 게이트웨이는 기존 AWS 기반 시스템과 원활한 통합이 가능하고 높은 가용성과 확장성을 갖췄다. 또한 폭넓은 보안 기능을 데이터 유출 및 침해 위험을 최소화할 수 있다”고 강조했다.
레드햇 | API 관리에 앱 현대화·클라우드 네이티브까지 구현
레드햇은 클라우드 네이티브, 컨테이너, MSA 등을 활용한 현대화 과정에 탄탄한 역량을 갖추고 있다. 이를 바탕으로 ‘3스케일 API 매니지먼트(3scale API Management)’와 함께 기업 내 시스템 현대화 과정을 전반적으로 지원한다는 방침이다.
API를 내부 시스템 모듈에 사용하는 경우 이에 맞는 현대화가 수반돼야 한다. 이때 MSA 형태의 애플리케이션을 동적 서비스로 제공하는 기술을 ‘서비스 메시(Service Mesh)’라 부른다. 기업은 자동으로 API 개수를 조절하고 생성하는 서비스 메시와 통합된 API 관리를 담당하는 3스케일을 결합해 현대화된 배포 방법을 도입할 수 있다.
한국레드햇 김상곤 상무는 “기존에는 게이트웨이 기능을 웹 서비스 형식으로 제공했다. 이를 서비스 메시와 통합하며 게이트웨이의 노출 기능을 서비스 메시에서 함께 담당함으로써 현대화된 서비스 제어 방법을 활용하는 기업이 늘고 있다”며 “레드햇은 애플리케이션 현대화에 강점을 갖춘 만큼 API 라이프사이클 관리와 함께 기업이 원하는 속도로 내부 시스템 클라우드 네이티브까지 지원할 수 있다”고 밝혔다.
IBM | 안전한 API 보안과 최신 기술 관련 높은 이해도가 강점
IBM API 커넥트는 온프레미스 및 클라우드 전반에서 API 관리, 보호 등 전체 라이브사이클을 지원하는 APIM이다. IBM의 가장 큰 강점은 보안이다. API 서버 관련 정보를 게이트웨이에 두는 방식을 선택하지 않고 인메모리 데이터 기술로 정보를 공유함으로써 게이트웨이를 통한 정보 탈취 위험성을 낮췄다.
직관적인 관리자 인터페이스도 장점이다. 전반적인 API 데이터, 사용자 관리, 대시보드 등을 제공하며, 특히 드래그앤드롭 방식으로 API를 손쉽게 등록할 수 있도록 지원한다. 사용자들은 개발자 포털을 통해 필요한 API를 찾거나 API 사용 데이터를 수집해 인사이트를 확보하는 데 활용할 수 있다. 또한 테스트 기능으로 API 등록 전 별도 개발 없이 문제 유무를 확인해 안정된 서비스 배포와 빠른 애플리케이션 내 도입을 지원한다.
최신 기술에 대한 이해도와 역량도 갖췄다. 널리 알려진 REST API뿐만 아니라 글로벌 시장에서 쓰이는 ‘그래프큐엘(GraphQL)’ API에 대한 생성, 관리도 지원한다. 그레프큐엘은 쿼리 언어 형태로 원하는 데이터만 제공받을 수 있어 REST가 가진 한계를 보완한다는 점에서 주목받고 있다.
IBM 조상철 상무는 “IBM은 온프레미스, 클라우드 등 다양한 환경을 제공하며 안정된 보안 기능도 갖췄다. 가트너로부터 2015년부터 지난해까지 8년 연속으로 API 관리 분야 리더로 인정받았으며, 그래프큐엘과 같은 트렌드 변화도 대응할 수 있는 역량을 확보하고 있다”고 밝혔다.
한국IBM 조상철 상무인터뷰
“AI·ML 기반 보안 취약성 탐지로 안전한 API 서비스 제공”
한국IBM 오토메이션 기술 총괄 조상철 상무
Q. IBM API 커넥트의 특장점은.
먼저 안정된 보안을 꼽을 수 있다. 우선, 게이트웨이의 보안 취약점을 보완했다. API 게이트웨이에 서버, 라우팅 관련 정보를 DB 형태로 함께 두는 경우가 있는데, 게이트웨이를 통해 서버 정보까지 유출될 가능성이 있다. IBM은 인메모리 데이터 기술로 DB를 쓰지 않고 정보를 공유할 수 있도록 지원한다. 또한 API 보안 기업 노네임 시큐리티(Noname Security)와 파트너십을 통해 인공지능(AI)·머신러닝(ML) 기반 보안 취약성 탐지 기능을 통해 지능화된 공격으로부터 자동화된 보호를 제공한다.
관리자가 사용하는 포털인 ‘API 매니저’도 강점이다. API 데이터를 필터링, 정렬, 집계할 수 있는 대시보드와 맞춤형 뷰를 제공해 사용량 등으로 비즈니스에 대한 인사이트를 확보할 수 있다.
실제 API 서비스 개발 전 테스트 기능도 포털을 통해 제공한다. API를 개발해 등록했으나 이후 발생하는 오류로 서비스를 내리고 다시 구축하는 번거로운 상황이 발생하기도 한다. IBM은 별도 개발 없이 포털 내에 등록해 빠르게 테스트할 수 있는 환경을 지원한다. 제공자 입장에서는 외부로 데이터를 빠르게 개방할 수 있고, 사용자 입장에서는 애플리케이션 내 안정적인 API 도입이 가능해진다.
Q. 앞으로의 API 시장 트렌드를 전망한다면
아직 국내에서는 REST API가 가장 많이 활용된다. 균일한 인터페이스 구조에 범용적인 사용성을 보장해 다양한 애플리케이션 환경에 대응 가능하다는 점이 REST API의 장점 중 하나다. 하지만 REST API는 서비스가 늘어날수록 엔드포인트 관리가 까다로워졌고, 요청한 영역보다 더 많은 정보를 받거나 기능마다 일일이 호출을 수행해야 하는 단점이 있었다.
그래프큐엘은 REST의 문제를 개선하고 복잡한 앱 구현을 편리하게 만들고자 페이스북에서 개발한, API에 접목할 수 있는 쿼리 언어다. 하나의 엔드포인트로 효과적인 데이터 로딩이 가능하며, 한 번의 요청만으로도 모든 데이터를 서버로부터 가져올 수 있다. 이러한 장점을 바탕으로 글로벌 시장에서 사용자가 늘어나는 추세다. IBM은 새로운 트렌드에 대응하기 위한 지난해 그래프큐엘 전문업체 스텝젠(Stepzen)을 인수하는 등 여러 노력을 기울이고 있다.
이벤트 기반 아키텍처(Event Driven Architecture, EDA)에 대한 기술도 지속 확보하고 있다. 호출에 응답하는 API와 달리 EDA는 데이터 생성·변경·삭제 등이 발생하면 여러 서비스에 이벤트를 발행하는 방식이다. 이는 API보다 더 유연한 시스템 운영이 가능하도록 지원한다.
그래프큐엘과 EDA 모두 국내에 널리 쓰이는 기술은 아니다. 하지만 글로벌 시장 동향과 함께 점차 활용될 가능성이 있다고 생각한다. IBM은 이와 같은 기술 트렌드 변화에도 신속하게 대응하며 고객에게 효과적인 솔루션 제공에 힘을 쏟고 있다.
김호준 기자 hojun@itdaily.kr