NH농협은행, 모바일 신분증 서비스로 금융권 최초 ISMS-P 인증 획득

핵심 요약

- NH농협은행이 모바일 신분증 서비스로 금융권 최초 ISMS-P 인증 획득 - 디지털 신원확인 서비스의 정보보호 및 개인정보보호 관리체계 인정 - 금융 분야 모바일 신분증 서비스의 보안 표준 선도 사례로 평가

주요 내용

NH농협은행이 2026년 모바일 신분증 서비스 분야에서 금융권 최초로 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 취득했다. 이는 모바일 신분증이라는 새로운 디지털 신원확인 수단이 금융 서비스에 본격 적용되면서, 그 보안성과 개인정보 보호체계를 공식적으로 인정받은 첫 사례라는 점에서 의미가 크다.

모바일 신분증 서비스는 물리적 신분증을 디지털화하여 금융거래 시 본인확인 수단으로 활용하는 서비스다. 주민등록번호, 주소, 얼굴사진 등 민감한 개인정보와 생체정보를 처리하기 때문에 높은 수준의 보안 통제가 요구된다. NH농협은행은 이러한 요구사항을 충족하는 관리체계를 구축하고 ISMS-P 인증을 통해 제3자 검증을 받았다.

ISMS-P 인증은 한국인터넷진흥원(KNIA)이 정보통신망법과 개인정보보호법에 따라 부여하는 국내 대표 정보보호 인증제도다. 특히 금융기관의 경우 전자금융거래법상 보안성 확보 의무가 있어, 신규 디지털 서비스 도입 시 ISMS-P 인증 취득이 컴플라이언스 관점에서도 중요하다.

한편, 경남은행은 지역 스타트업 육성을 위한 'TechCrunch Disrupt 2026' 참관 기회를 우수팀에 제공하는 등 디지털 혁신 생태계 조성에도 힘쓰고 있는 것으로 알려졌다.

전문가 시각

모바일 신분증 서비스의 ISMS-P 인증은 단순한 관리체계 구축을 넘어, 생체인증 데이터의 안전한 저장·전송, 블록체인 기반 위변조 방지, 분산ID(DID) 기술 적용 등 최신 보안기술의 통합적 구현을 요구한다. 특히 금융권 최초 인증이라는 점에서 NH농협은행은 모바일 신분증의 수집·이용·제공·파기 전 생명주기에 걸친 세밀한 개인정보 처리 절차와 기술적 보호조치를 마련했을 것으로 판단된다.

금융기관이 모바일 신분증 서비스 도입 시 유의해야 할 점은 기존 신분증 사본 관리체계와의 정합성 확보다. 물리적 신분증 사본 보관 시 마스킹 처리, 보관기간 설정 등 기존 통제가 모바일 환경에서도 동등 이상 수준으로 적용되어야 한다. 또한 모바일 신분증 앱과 금융 앱 간 API 연동 시 전송구간 암호화, 접근권한 관리, 로그 기록 등 인터페이스 보안 통제가 핵심 심사 포인트가 될 것이다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집·이용 단계 (ISMS-P 인증기준 2.8.1, 개인정보보호법 제15조)
- 모바일 신분증 정보 수집 시 이용자 동의 절차의 적정성: 필수·선택 정보 구분, 동의서 명확성
- 금융실명법과 전자금융거래법상 본인확인 목적의 정당성 입증 자료
- 수집하는 생체정보(얼굴인식 등)에 대한 별도 동의 및 암호화 저장 여부
- 심사 시 동의서 샘플, 개인정보 처리방침, 수집 항목 명세서 확인

2. 개인정보 안전성 확보조치 (ISMS-P 인증기준 2.9.1, 개인정보보호법 제29조, 개인정보의 안전성 확보조치 기준 제6조)
- 모바일 신분증 이미지 및 데이터의 암호화 저장: AES-256 등 안전한 알고리즘 적용 여부
- 전송구간 암호화(TLS 1.2 이상), 인증서 관리체계
- 생체정보 처리 시 분리 저장, 해시 처리 등 기술적 보호조치
- 심사 시 암호화 정책서, 키관리 절차, 암호모듈 검증서(KCMVP) 확인

3. 제3자 제공 및 처리위탁 관리 (ISMS-P 인증기준 2.8.4, 개인정보보호법 제17조·제26조)
- 모바일 신분증 서비스 제공 사업자(행정안전부, 통신사 등)와의 위탁계약서 점검
- 개인정보 제공 시 이용자 고지·동의 절차 및 제공 내역 관리
- 위탁업체 보안수준 평가 및 관리·감독 체계(연 1회 이상 점검 기록)
- 심사 시 위탁계약서, 제공 동의서, 위탁업체 평가 보고서 검토

CPPG·ISMS-P 연계 포인트

1. 생체정보의 법적 지위 및 보호 요구사항
개인정보보호법상 생체정보는 고유식별정보에 준하는 민감정보로 분류되어(법 제23조), 수집·이용 시 별도 동의가 필수다. 모바일 신분증에 포함된 얼굴인식 데이터는 원본 저장 금지, 해시값 또는 암호화된 템플릿 형태로만 보관이 원칙이며, ISMS-P 심사 시 생체정보 처리 시스템의 물리적·기술적 분리 여부가 핵심 점검 사항이다.

2. 정보주체 권리 보장 체계 (열람·정정·삭제·처리정지)
개인정보보호법 제35조~제37조에 따라 이용자는 언제든 본인 정보에 대한 열람, 정정, 삭제, 처리정지를 요구할 수 있다. 모바일 신분증 서비스는 금융거래 목적으로 수집되더라도 이용자가 서비스 해지 시 즉시 파기하거나, 법령상 보관 의무가 있는 경우 별도 분리 보관해야 한다. ISMS-P 심사 시 정보주체 권리 요청 처리 절차, 평균 처리 기간, 처리 이력 로그가 확인 대상이다.