API 거버넌스 최선 실무

API 거버넌스, 관리 및 보안은 밀접하게 연결되어 있지만 각각 구분되는 영역입니다. API 관리와 API 보안 방안을 일관되게 적용하려면 우선 거버넌스를 확립해야 합니다.

API 관리는 개발자 포털, API 게이트웨이, API 수명 주기 관리 소프트웨어 같은 도구를 활용해 API 거버넌스 정책을 실행하는 것입니다. 이 도구들은 보통 API 관리 플랫폼으로 묶여 제공됩니다. 거버넌스 정책은 팀 간 표준화된 플랫폼을 의무화하는 등의 도구 요건과 API 키 및 자격 증명 관리 방식을 포함한 운영 지침을 정의합니다.

API 보안은 API 거버넌스 정책이 정한 보안 및 규정 준수 요구 사항을 엄격히 시행하는 것입니다. 일부 조직은 전용 API 보안 도구에 의존하지만, 더 넓고 통합된 보호를 위해 웹 애플리케이션 및 API 보호(WAAP) 솔루션 도입이 늘고 있습니다. 거버넌스 정책은 API에 필요한 최소 보안 기준과 그에 따른 구성 지침을 정합니다. 여기에 API 게이트웨이, WAF, API 보호 솔루션이 모든 위협 경로에서 발생 가능한 공격을 어떻게 차단할지 명시합니다. 여기에는 웹 앱, API, 자동화 위협에 대한 OWASP 주요 Top 10 리스트가 포함되며, API 키를 하드코딩하거나 클라이언트 라이브러리 소스 코드에 삽입하지 않는 등 API 보안 모범 관행을 권장합니다.

API 거버넌스 모델은 중앙집중형, 분산형, 적응형 세 가지입니다:

중앙 집중식 거버넌스는 모든 거버넌스 정책을 정의하고 검토하며 승인하는 중앙 팀이 직접 관리합니다. 이 방법의 장점은 가장 엄격한 거버넌스 정책을 실행하고 조직 전체에 일관성을 확실히 유지할 수 있다는 점입니다. 하지만, 획일적이고 경직된 방식은 항상 효과적이지 않으며 개발팀의 속도를 저해하고 우회 작업과 '섀도우 IT' 증가를 부추길 수 있습니다.

분산형 거버넌스는 각 팀이 자체 API 거버넌스 정책을 자율적으로 관리할 수 있게 해줍니다. 이 방식은 각 팀의 필요에 맞춰 빠르게 개발하고 유연성을 높이는 데 큰 도움을 줍니다. 하지만 분산형 거버넌스는 조직 내 API 정책과 관리 기준이 제각각일 수 있어, 통합 문제와 구성 오류, 규정 준수 미비가 발생할 위험이 있습니다.

적응형 거버넌스는 두 모델 사이에서 균형을 이룹니다. 중앙 팀이 전사 정책을 수립하고 공유 인프라를 관리하며, 개발 팀은 애플리케이션과 API의 구체적인 필요에 맞춰 지역별 정책을 직접 정의할 수 있는 권한을 가집니다. 이는 지역, 정부, 또는 업계별 규제 준수 요건을 포함할 수 있습니다. 대부분의 경우 적응형 거버넌스는 두 가지 장점을 모두 제공하며, 모두가 반드시 따라야 할 정책과 필요시 유연하게 적용할 수 있는 영역을 명확히 구분합니다.

1. 포괄적인 API 목록을 먼저 작성하세요. 항상 최신 카탈로그를 유지하며, API 위치를 파악하고, 공개, 비공개, 제3자, 파트너 등 유형별로 분류합니다. API 검색 도구를 활용해 카탈로그가 항상 최신 상태를 유지하도록 하세요. 개발자가 카탈로그에 접근할 수 있게 하여, 기존 API를 재사용하고 중복 작업을 줄일 수 있도록 지원합니다.
2. 명확한 역할과 책임을 정립하십시오. 거버넌스 모델이 중앙집중형이든 분산형이든 적응형이든, API 거버넌스 프로세스와 관리, 보안, 규정 준수 등 각 분야 그리고 관련 솔루션과 정책의 소유권과 책임을 분명히 정의해야 합니다. API 유형, 지역, 개발팀별로 정책이 다르다면 그 차이를 철저히 문서화하고 명확히 전달하십시오.
3. 팀 협업을 가능하게 하고 지원하는 문화를 만드세요. 거버넌스 정책을 중앙에서 쉽게 접근하고 이해할 수 있도록 하세요. 팀이 거버넌스 정책을 어떻게 적용할지 명확히 안내하고, 정책 변경에 맞춰 계속 교육과 업데이트를 제공하세요. 개발자 의견을 적극 수렴해 효과적인 점은 강화하고 문제점은 빠르게 해결하세요.