공공기관 비대면 본인확인 도입 시 보안 요구사항 점검 가이드

공공기관 비대면 본인확인 도입에서 보안 요구사항 점검은 제안 단계에서 데이터 저장 위치, 얼굴 원본 보관 여부, 접근 권한, 로그 보관, 업데이트 공지 방식을 먼저 문서로 확인하는 일입니다. 이 다섯 가지를 질의서로 정리해 두면 도입 후 보안 검토에서 일정이 밀리는 일을 줄일 수 있습니다. 이 글은 담당자가 사업자에게 무엇을 어떻게 물어야 하는지에 초점을 맞춥니다.

공공기관이 비대면 본인확인에서 보안 항목을 먼저 보는 이유

비대면 본인확인은 신분증 이미지, 얼굴 이미지, 인증 결과처럼 민감한 정보를 한꺼번에 다룹니다. 기능이 같아 보여도 데이터가 어디에 머무르고 누가 볼 수 있는지에 따라 기관 내부 보안 검토 결과가 달라집니다.

그래서 기능 비교표보다 보안 항목을 먼저 확인하는 편이 안전합니다. 기능은 시연으로 확인할 수 있지만, 보관과 권한과 운영 방식은 사업자가 서면으로 답해야 알 수 있기 때문입니다.

• 처리 대상 정보의 종류를 먼저 구분합니다. 신분증 이미지, 얼굴 이미지, 인증 결과값이 각각 어떻게 다뤄지는지 따로 확인해야 합니다.
• 도입 형태를 확인합니다. SaaS인지 구축형인지에 따라 데이터가 기관 내부에 남는지가 달라집니다.
• 운영 단계의 책임을 확인합니다. 장애, 취약점, 업데이트가 생겼을 때 누가 어떤 순서로 대응하는지 정해 두어야 합니다.

요구사항이 모호하면 도입 후 보안 검토에서 일정이 밀립니다

제안요청서에 보안 요구사항이 포괄적으로만 적혀 있으면 사업자는 각자 해석해서 답합니다. 그 결과 계약 후 기관 보안 담당 부서가 세부 항목을 다시 묻게 되고, 구축과 검토가 순서대로 이어지면서 일정이 늦어집니다.

흔한 패턴은 세 가지입니다. 보안 담당 부서의 확인 항목이 개발 착수 이후에 나오고, 사업자의 답변이 구두로만 남아 있고, 구축 방식이 바뀌면서 이미 작성한 문서를 다시 만들어야 하는 경우입니다.

‍

이를 피하려면 보안 검토에서 실제로 묻게 될 내용을 제안 단계로 앞당겨야 합니다. 질문을 구체적으로 적고 답변을 문서로 받아 두면, 이후 검토에서는 그 문서를 근거로 확인만 하면 됩니다.

‍

도입 일정도 같은 맥락입니다. 알체라 eKYC의 개발 포함 전체 도입 평균은 1~3개월이며, 보안 검토 기간은 별도로 잡아 두는 편이 현실적입니다.

사전 질의서에 넣어야 할 다섯 가지 항목

질의서는 길 필요가 없습니다. 아래 다섯 가지를 구체적인 질문으로 바꿔 사업자에게 보내면 대부분의 보안 검토 쟁점을 앞서 확인할 수 있습니다.

데이터 저장 위치

신분증 이미지와 인증 결과가 어느 환경에 저장되는지 물어야 합니다. 기관 내부 서버인지, 외부 클라우드인지, 외부라면 어떤 환경인지를 서면으로 받아 두십시오. 처리 중 임시로 머무르는 데이터와 보관 데이터를 나눠서 묻는 것이 좋습니다.

얼굴 원본 보관 여부

얼굴 이미지를 대조 후 바로 폐기하는지, 보관한다면 어떤 목적으로 얼마나 두는지 확인해야 합니다. 템플릿이나 특징값만 남기는지, 원본 이미지가 남는지도 구분해서 답을 받아야 합니다. 폐기 방식과 시점은 기관 내부 정책과 맞는지 대조해 보십시오.

접근 권한

관리자 페이지와 심사 화면에 누가 어떤 범위로 접근할 수 있는지 물어야 합니다. 권한을 역할별로 나눌 수 있는지, 개인정보가 보이는 화면에 접근 이력이 남는지도 함께 확인합니다.

로그 보관

어떤 로그를 얼마나 남기고, 누가 조회할 수 있는지 확인해야 합니다. 로그에 개인정보가 포함되는지, 기관의 감사나 점검 요청에 어떤 형태로 제공할 수 있는지도 질문에 넣으십시오. 보관 기간은 기관 내부 기준과 맞춰 협의합니다.

업데이트 공지 방식

취약점이나 오류가 발견되었을 때 사업자가 어떤 경로와 시점으로 알리는지 물어야 합니다. 패치 적용을 기관이 직접 하는지 사업자가 수행하는지, 적용 전 테스트 환경을 제공하는지까지 확인해 두면 운영 단계의 혼선이 줄어듭니다.

답변을 받은 뒤 확인할 문서화 기준

질의서의 가치는 답변이 문서로 남는 데 있습니다. 구두 설명이나 영업 자료의 요약만으로는 보안 담당 부서가 근거로 쓰기 어렵습니다.

• 답변은 항목별로 따로 받습니다. 한 문장으로 뭉뚱그린 답은 기관 검토에서 다시 질문이 되돌아오기 쉽습니다.
• 답변에는 근거가 되는 문서나 설정 화면을 요청합니다. 저장 위치와 권한 설정처럼 확인 가능한 항목은 증빙을 함께 받는 편이 좋습니다.
• 사업자별로 같은 질문을 같은 순서로 보냅니다. 그래야 답변을 나란히 비교하기 쉽습니다.
• 답변 내용은 계약 문서나 부속 합의서에 반영할지 검토합니다. 제안 때의 설명과 운영 때의 방식이 달라지는 상황을 막을 수 있습니다.

‍

인증 관련 보안 체계는 기관마다 요구 수준이 다릅니다. 이 글은 일반적인 점검 순서를 다룬 것이며, 적용할 기준은 기관 내부 규정과 보안 담당 부서의 판단에 따라 정하셔야 합니다.

구축형 연동과 인증 체계를 갖춘 알체라 eKYC

알체라 eKYC는 SaaS와 설치형 두 가지를 모두 제공합니다. 데이터를 기관 환경 안에서 처리해야 하는 경우에는 구축형 연동으로 저장 위치 질문에 대응할 수 있도록 설계할 수 있습니다.

‍

인증 체계 측면에서는 자회사 유스비와 함께 ISMS 인증을 보유하고 있습니다. 인증 보유 현황과 보안 체계는 알체라 eKYC 보안과 ISMS 인증 안내에서 확인하실 수 있습니다.

기능 범위는 신분증 OCR, 신분증 진위확인, 얼굴 인증과 라이브니스, 관리자 페이지와 수동 심사 설정까지 포함합니다. 관리자 페이지는 앞에서 정리한 접근 권한과 심사 이력 질문을 논의할 때 구체적인 화면 기준이 됩니다.

‍

도입 기간은 SaaS 연동이 30분, 개발을 포함한 전체 도입은 평균 1~3개월입니다. 사전 질의서를 알체라에 보내 주시면 다섯 가지 항목에 맞춰 서면으로 답변드릴 수 있습니다.