NH농협은행, 모바일 신분증 서비스 금융권 최초 ISMS-P 인증 획득

핵심 요약

- NH농협은행이 모바일 신분증 서비스로 금융권 최초 ISMS-P 인증 획득 - 전자증명서 기반 본인확인 서비스의 정보보호 및 개인정보보호 관리체계 구축 완료 - 디지털 신원확인 서비스의 보안성과 프라이버시 보호 수준을 제3자 인증으로 입증

주요 내용

NH농협은행은 2026년 8월 자사 금융플랫폼에서 제공하는 모바일 신분증 서비스에 대해 금융권 최초로 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득했다. 이는 행정안전부가 주도하는 모바일 운전면허증, 모바일 주민등록증 등 전자증명서를 활용한 비대면 본인확인 서비스가 정보보호 및 개인정보보호 측면에서 높은 수준의 관리체계를 갖췄음을 의미한다.

ISMS-P 인증은 한국인터넷진흥원(KISA)이 정보통신망법과 개인정보보호법에 따라 시행하는 의무인증제도로, 104개 인증기준에 대한 엄격한 심사를 통과해야 한다. 특히 모바일 신분증 서비스는 주민등록번호, 운전면허번호 등 고유식별정보를 처리하는 서비스로, 개인정보 생명주기 전반에 걸친 기술적·관리적 보호조치가 필수적이다.

NH농협은행의 이번 인증 획득은 금융권 디지털 전환 과정에서 새로운 본인확인 수단의 안전성을 공식적으로 검증받았다는 점에서 의미가 크다. 기존 공동인증서, 간편인증 방식에 더해 정부 주도의 전자증명서 인프라를 활용함으로써 고객 편의성과 보안성을 동시에 확보한 사례로 평가받고 있다.

금융권에서는 비대면 거래 확대에 따라 본인확인 절차의 강화가 지속적으로 요구되고 있으며, 전자증명서 기반 서비스는 위변조 방지, 생체인증 연계 등의 장점으로 차세대 본인확인 수단으로 주목받고 있다. NH농협은행의 선제적 인증 획득은 타 금융기관의 모바일 신분증 서비스 도입에도 긍정적 영향을 미칠 것으로 전망된다.

전문가 시각

모바일 신분증 서비스의 ISMS-P 인증은 단순히 기술적 보안 수준을 넘어, 전자증명서 생태계 전반의 신뢰성 확보라는 관점에서 접근해야 한다. 심사 과정에서는 행정안전부 전자증명서 API 연동 시 암호화 통신, 접근권한 관리, 전자증명서 이용내역 로깅, 고유식별정보 분리보관, 이용자 동의 관리 등이 중점적으로 검토됐을 것이다. 특히 모바일 앱 환경에서의 루팅·탈옥 탐지, 키보드 보안, 메모리 해킹 방지 등 모바일 특화 보안통제도 핵심 심사 대상이다.

금융기관이 모바일 신분증 서비스를 도입할 때는 전자증명서 검증 API의 안전한 구현뿐 아니라, 기존 본인확인 수단과의 연계 시나리오, 부정사용 탐지체계, 이용자 권리보장(열람·정정·삭제) 프로세스를 종합적으로 설계해야 한다. 또한 전자증명서에 포함된 개인정보의 최소수집 원칙 준수, 목적 외 이용 금지, 제3자 제공 시 별도 동의 확보 등 개인정보보호법상 의무사항을 명확히 이행해야 사후 규제 리스크를 최소화할 수 있다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집·이용 (인증기준 3.1.1, 3.1.2)
- 모바일 신분증 검증 시 수집되는 개인정보 항목(성명, 생년월일, 주소, 고유식별정보 등)에 대한 명확한 이용자 동의 획득 여부
- 개인정보 수집·이용 동의서에 전자증명서 검증 목적, 수집항목, 보유기간이 구체적으로 명시되어 있는지 확인
- 개인정보보호법 제15조(수집·이용), 제24조(고유식별정보 처리 제한) 준수 여부

2. 개인정보 접근통제 및 암호화 (인증기준 3.3.2, 3.4.1)
- 전자증명서 API 통신 구간 암호화(TLS 1.2 이상) 및 저장 시 고유식별정보 암호화(안전한 알고리즘 사용) 여부
- 모바일 신분증 검증 이력 접근 시 직무별 접근권한 분리, 접근기록 관리, 정기적 접근권한 재검토 체계 구축 여부
- 정보통신망법 시행령 제15조(개인정보의 암호화) 및 개인정보의 안전성 확보조치 기준(행정안전부 고시) 준수

3. 모바일 앱 보안 (인증기준 2.7.3)
- 모바일 앱 위변조 탐지, 루팅·탈옥 단말 차단, 스크린 캡처 방지 등 모바일 특화 보안통제 구현 여부
- 전자증명서 검증 과정에서 메모리 상 개인정보 노출 최소화, 임시파일 안전한 삭제, 백그라운드 화면 마스킹 등 기술적 보호조치
- 금융보안원 「모바일 전자금융 기반 안내서」 및 OWASP Mobile Top 10 보안 위협 대응 여부

CPPG·ISMS-P 연계 포인트

고유식별정보 처리 특례 (개인정보보호법 제24조)
모바일 신분증에는 주민등록번호, 운전면허번호 등 고유식별정보가 포함되어 있어, 법령에서 구체적으로 허용한 경우에만 처리 가능하다. 금융실명거래 및 비밀보장에 관한 법률 등 개별 법령 근거를 명확히 하고, 고유식별정보 암호화 저장, 접근통제, 이용내역 기록 등 강화된 안전조치를 적용해야 한다.

본인확인정보의 보호 (정보통신망법 제23조의3)
모바일 신분증을 통한 본인확인 서비스는 본인확인기관에 준하는 수준의 보안체계가 요구된다. 본인확인 과정에서 수집된 정보는 목적 달성 후 지체 없이 파기하거나, 별도 보관 시 법적 근거와 이용자 동의를 확보해야 하며, 본인확인 이력에 대한 로그 관리와 부정사용 모니터링 체계를 갖춰야 한다.