NH농협은행 'NH올원뱅크', 금융권 최초 모바일 신분증 ISMS-P 인증 획득

핵심 요약

- NH농협은행 NH올원뱅크가 2026년 금융권 최초로 모바일 신분증 서비스 ISMS-P 인증 획득 - 디지털 신원확인 서비스의 정보보호 및 개인정보보호 관리체계 적합성 공식 인정 - 금융거래에서 모바일 신분증 활용 확대를 위한 보안 기반 마련

주요 내용

NH농협은행의 통합 금융플랫폼 NH올원뱅크가 2026년 8월 금융권 최초로 모바일 신분증 서비스에 대한 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득했다. 이번 인증은 한국인터넷진흥원(KISA)으로부터 받은 것으로, 모바일 신분증을 활용한 금융거래 서비스의 보안성과 개인정보보호 체계가 법적 기준을 충족했음을 의미한다.

모바일 신분증은 행정안전부가 추진하는 디지털 신원확인 서비스로, 물리적 신분증을 대체할 수 있는 전자적 본인확인 수단이다. NH농협은행은 NH올원뱅크 앱을 통해 계좌 개설, 대출 신청, 고액 거래 등 금융거래 시 모바일 신분증을 활용한 본인확인 서비스를 제공하고 있다.

ISMS-P 인증은 정보통신망법과 개인정보보호법에 따라 정보통신서비스 제공자가 갖춰야 할 정보보호 및 개인정보보호 관리체계를 평가하는 제도다. 특히 금융기관의 경우 전자금융거래법상 전자금융보조업무를 수행하는 경우 ISMS-P 인증이 의무화되어 있어, 모바일 신분증과 같은 신규 디지털 서비스에 대한 인증 획득은 서비스 신뢰성 확보에 필수적이다.

이번 인증으로 NH농협은행은 모바일 신분증 발급, 저장, 전송, 검증 전 과정에서 개인정보 암호화, 접근통제, 생체인증 등 다층 보안체계를 갖췄음을 공식 입증했다. 금융권에서는 향후 비대면 금융거래 확대에 따라 모바일 신분증 활용이 증가할 것으로 예상되며, NH농협은행의 선제적 인증 획득은 업계 표준을 선도하는 의미를 갖는다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 금융권 최초 모바일 신분증 서비스 인증은 두 가지 측면에서 중요한 의미를 갖는다. 첫째, 디지털 신원확인 서비스는 주민등록번호, 운전면허번호, 얼굴 생체정보 등 민감정보를 다루기 때문에 개인정보보호법상 가명·익명처리, 암호화, 안전한 저장·전송 체계가 필수적이다. NH농협은행이 이를 ISMS-P 104개 인증기준에 부합하도록 구현했다는 점은 타 금융기관의 벤치마크 대상이 될 것이다.

둘째, 모바일 신분증은 금융실명거래법상 '실지명의 확인' 수단으로 활용되므로, 위·변조 방지, 부인방지, 본인확인 정확성 등 기술적·관리적 통제가 강화되어야 한다. 특히 ISMS-P 인증심사에서는 모바일 신분증 검증 API 연동 시 전자서명, 전송구간 암호화(TLS 1.3 이상), 세션 관리, 로그 기록·보관 등을 중점적으로 점검한다. 금융기관들은 모바일 신분증 도입 시 단순 기능 구현을 넘어, ISMS-P 인증기준에 부합하는 전체 생명주기 보안관리체계를 사전에 설계해야 한다.

ISMS-P 심사원 체크포인트

1. 2.8.2 암호정책 적용 (ISMS-P 인증기준 2.8.2)
모바일 신분증 발급·저장·전송 시 국가정보원 검증필 암호모듈(KCMVP) 적용 여부, AES-256 이상 암호화 적용, 생체정보의 안전한 암호화 저장(Template 형태, 원본 미저장), 전송구간 TLS 1.3 이상 적용 등을 점검한다. 개인정보보호법 제24조의2(고유식별정보의 안전성 확보조치), 제29조(안전조치의무) 준수 여부를 함께 확인한다.

2. 2.3.2 원격접근 통제 및 2.9.3 보조저장매체 관리
모바일 신분증은 스마트폰이라는 개인 단말에 저장되므로, 단말 분실·도난 시 원격 삭제(Remote Wipe), 생체인증 연동, 디바이스 바인딩, 루팅/탈옥 단말 차단 등의 통제가 필수다. ISMS-P 심사 시 모바일 신분증 앱의 보안 SDK 적용, 난독화, 앱 위·변조 탐지 기능, 백업 제한 등을 점검하며, 개인정보보호법 제29조 및 전자금융거래법 제21조(안전성 확보의무)와 연계하여 평가한다.

3. 2.10.2 개인정보 수집 시 동의 및 2.10.5 개인정보 파기
모바일 신분증 발급 시 수집되는 개인정보(성명, 주민등록번호, 주소, 얼굴사진 등)에 대한 법정 고지사항(개인정보보호법 제15조) 준수, 필수·선택 항목 구분, 제3자 제공 동의(행안부-금융사 간 연계) 명확화를 심사한다. 또한 모바일 신분증 폐기 요청 시 관련 개인정보의 완전 삭제(복구 불가능한 방법), 로그의 분리 보관(개인정보는 삭제하되 거래기록은 전자금융거래법상 5년 보관) 체계를 점검한다.

CPPG·ISMS-P 연계 포인트

디지털 신원확인(Digital Identity Verification)
모바일 신분증은 eIDAS, FIDO 등 국제 표준에 기반한 디지털 신원확인 체계로, 전자서명법상 '공인전자서명'에 준하는 법적 효력을 갖는다. CPPG·ISMS-P 시험에서는 디지털 신원의 생명주기(발급-이용-갱신-폐기), PKI 기반 전자서명, 생체인증(FIDO2) 연계, 블록체인 기반 분산ID(DID) 개념이 출제된다. 특히 금융권에서는 금융실명법상 '실지명의 확인' 수단으로의 모바일 신분증 활용 요건을 숙지해야 한다.

민감정보 및 고유식별정보 보호
모바일 신분증에 포함된 주민등록번호, 운전면허번호는 개인정보보호법상 '고유식별정보'(제24조), 얼굴 생체정보는 '민감정보'(제23조)에 해당하여 법정 암호화, 별도 동의, 접근권한 관리가 의무화된다. ISMS-P 인증심사 및 시험에서는 민감정보 처리 시 가명처리 적용 가능 여부(판례: 생체정보는 가명처리 불가), 안전성 확보조치 기준(개인정보의 안전성 확보조치 기준 고시 제7조), 영향평가 대상 여부(일평균 100만명 이상 정보통신서비스 제공자) 등이 핵심 포인트다.