금융 서비스 활용 사례 마무리… 정부 CSP도 연이어 대기

 

작성자: Joel R. McConvey

보도일자: 2025년 12월 17일

출처: Biometricupdate.com

 

미국 국립표준기술연구소(NIST) 산하 국립 사이버보안 우수센터(NCCoE)가 진행한 모바일 운전면허(mDL) 웨비나에서는, 금융기관이 mDL 지원을 도입하는 데 도움이 되는 새로운 리소스가 소개되었다.

 

웨비나 초반부에서 NIST의 빌 피셔(Bill Fisher)와 라이언 갈루조(Ryan Galuzzo)는 mDL 도입 시 무엇이 핵심 쟁점인지를 판단할 수 있도록, NCCoE의 mDL 프라이버시 위험 평가에 대한 전반적인 설명을 제공했다. 금융기관의 관점에서 작성된 이 데이터 흐름 다이어그램은 ‘NIST 프라이버시 위험 평가 방법론의 축약 버전’으로, 목표, 잠재적 문제, 잠재적 해결책을 포괄하는 5가지 질문으로 구성되어 있다.

 

예를 들어 “조직의 프라이버시 목표는 무엇인가?”, “평가 대상 시스템은 어떤 방식으로 작동하는가?”와 같은 질문들이 포함된다.

 

“해당 시스템이 어떤 프라이버시 문제를 야기할 수 있는가? 그 문제들의 영향은 무엇이며, 잠재적 영향은 어느 정도인가? 그리고 그 문제들을 어떻게 해결할 것인가?”

 

피셔는 NCCoE 웹사이트에서 각 질문이 아코디언 형태의 드롭다운 메뉴로 연결되어 있으며, 가상의 금융기관이 어떻게 답변할 수 있는지에 대한 예시, 데이터 흐름을 설명하는 도식, 그리고 NIST SP 800-53과 NIST 프라이버시 프레임워크에 포함된 통제 항목 중 특정 문제에 적용 가능한 목록 등을 제공한다고 설명했다.

 

피셔는 “이는 NIST가 이러한 콘텐츠를 표현하고 제시하는 데 있어 다소 새로운 방식”이라며, 특히 금융기관을 포함한 대중의 피드백을 환영한다고 밝혔다.

 

금융 서비스 기업에 있어 핵심 과제로 떠오른 프로비저닝

이번 웨비나에서는 NIST의 첫 번째 mDL 활용 사례(금융 서비스)를 정리하는 한편, 두 번째 활용 사례도 함께 소개했다.

 

피셔는 “첫 번째 활용 사례에서는 금융권과 매우 긴밀하게 협려했으며, 5~6곳의 대형 금융기관과 직접 논의하면서 그들의 신원 확인 솔루션, 모바일 운전면허(mDL), 그리고 이 솔루션이 프라이버시·보안·규제 준수 관점에서 어떻게 적합하고 요구사항을 충족할 수 있는지를 살펴봤다”고 설명했다.

 

이 과정에서 도출된 중요한 피드백 중 하나는, 많은 금융기관이 mDL을 ‘신원 확인에 대한 사고방식 자체를 근본적으로 바꾸는 전환점’으로 인식하고 있다는 점이었다. 이는 기존에 금융기관이 보유하던 일부 통제 권한을 줄이고, 그 권한을 정부 당국과 디지털 지갑 제공자(wallet providers)에게 분산시키는 구조이기 때문이다.

 

피셔는 “금융기관은 위험 관리 관점에서 어떤 주제를 맹목적으로 신뢰하는 산업이 아니다”라며, “증거와 입증을 원하고, 어떻게 그 주체들을 신뢰할 수 있는지, 즉 신뢰 모델은 무엇인지, 어떤 수준의 보증(assurance)을 제공하는지를 이해하길 원한다”고 말했다.

 

그는 또 “우리에게 전달된 의견은, 금융기관들이 DMV(차량관리국)의 기록 시스템(system of record)에 개인이 어떻게 등록되고, 그 결과 지갑(wallet)으로 mDL이 발급되는지, 그리고 이후 해당 지갑에서 자격증명이 어떻게 제시되는지에 대한 프로세스 전반에 대해 추가적인 명확성이 필요하다는 것이었다”고 설명했다.

 

이에 대한 NIST의 대응이 바로 『mDL 생태계에서의 보증 구축(Building Assurance in the mDL ecosystem)』이라는 문서다. 갈루조는 이 문서가 세 가지 핵심 구성 요소에 초점을 맞추고 있다고 설명했다. “첫 번째는 기록 시스템으로의 등록(enrollment)입니다. 즉, DMV가 어떤 수준의 검증(vetting)과 신원 확인(proofing)을 거쳐, 최초의 폴리카보네이트 플라스틱 신분증, 다시 말해 실제 발급 과정에 포함된 물리적 ID를 발급했는지를 어떻게 이해할 것인가 하는 문제입니다.”

 

갈루조는 NIST가 프로비저닝(발급·등록) 과정에서의 신원 확인 절차가 일관되지 않다는 점을 확인했다고 밝혔다. 일부는 대면 등록을 요구하고, 일부는 생체인증을 포함하는 등 방식이 제각각이었기 때문이다. 이러한 과정을 명확히 규정한 전용 표준이 존재하지 않는 상황에서, NIST가 직면한 질문은 “이 공백을 어떻게 매울 것인가?”였다.

 

이에 대한 구상은 발급 기관이 서명한 ‘고수준 메타데이터 또는 설명 세트’를 마련하는 것이다. 여기에는 예를 들어 “이 사람은 모바일 운전면허(mDL)를 보유하고 있다. 해당 mDL은 국토안보부(DHS) 기준을 충족하는 물리적 운전면허를 기반으로 발급되었으며, 생체인증을 활용한 비대면 절차를 통해 발급되었고, 검증을 성공적으로 통과했다”와 같은 정보가 포함된다.

 

NIST는 이러한 접근이 사용자가 발급 과정에서 실제로 무엇이 이루어졌는지를 이해하는데 도움을 주고, 그에 대한 신뢰도를 높여줄 것이라고 보고 있다.

 

갈루조는 “이는 mDL에만 국한된 문제가 아니라, 더 넓은 생태계를 생각하기 시작하면 매우 중요해진다”고 말했다. 그는 이어 “앞으로는 검증 가능한 디지털 자격증명(verifiable digital credentials)이 넘쳐나는 세상이 될 것이고, 발급 방식 역시 편차와 변형이 존재할 것”이라며, “발급이 어떤 방식으로 이루어졌는지를 공통된 용어와 개념 집합으로 인코딩 할 수 있다면, 신뢰 주체(relying parties)가 훨씬 더 폭넓은 디지털 자격증명을 수용하는 데 도움이 될 것”이라고 설명했다.

 

현재 NIST는 발급 데이터의 인코딩을, OpenID 재단(OpenID Foundation)에서 신원 보증(identity assurance)을 위해 등장하고 있는 OpenID Connect 기반의 기존 사양 집합에 근거해 수행하는 모델을 추진하고 있다.

 

검증 가능한 자격증명, mDL의 신원 결속(identity binding) 문제 해결에 기여

갈루조는 “마지막 부분은 mDL 제시 과정에서의 보유자 결속(holder binding) 개념을 살펴보는 것”이라며, “보다 정확히 말하면 보유자 인증(holder authentication)과 사용자 인증(user authentication)에 관한 문제”라고 설명했다. 그는 이어 “현재의 모바일 운전면허와 검증 가능한 디지털 자격증명 발급 환경에서는, 사용자가 제시 과정에서 신뢰 주체(relying party)에게 자격증명을 전달하기 전에 실제로 어떻게 인증하는지에 있어 매우 다양한 방식이 존재한다”고 말했다. 그 방식은 단말 잠금 PIN, 단말 잠금 생체인증, 자격증명에 직접 결속된 생체인증, mDL에 저장된 이미지와의 소프트웨어 수준 생체 매칭 등 매우 폭넓다. 그는 “이 각각은 서로 다른 사용성 요소를 가지며, 각기 다른 활용 사례에 적용될 수 있다”고 덧붙였다.

 

그는 이러한 문제를 해결하기 위해 진행 중인 표준화 작업들을 언급하며, FIDO 얼라이언스(FIDO Alliance)가 최근 발표한 디지털 자격증명 워킹그룹(Digital Crednetials Working Group)도 함께 소개했다.

 

웨비나에서 소개된 마지막 신규 리소스는 NIST의 상호작용 다이어그램(Interaction Diagrams)으로, 이는 “사용되는 다양한 프로토콜과 표준, 아키텍처의 각 구성 요소, 그리고 이들이 서로 어떻게 상호작용하는지를 이해하기 쉽게 설명하는 것”을 목표로 한다.

 

NIST 조명 속으로 들어온 정부 부문

행사 막바지에 중요한 발표가 나왔다. NIST의 두 번째 mDL 활용 사례는 정부 자격증명 서비스 제공자(Credential Services Providers, CSP)를 대상으로 하며, “정부가 모바일 운전면허(mDL)를 신원 확인 수단으로 어떻게 수용할 수 있는지를 보여주는 것”이 목적이다. 특히 DMV(차량관리국)가 mDL을 수용할 수 있어야 한다는 점이 강조됐다.

 

피셔는 NIST가 연방 기관으로 초점을 옮기는 것과 더불어, 활용 사례 2를 통해 “연방 기관이 mDL을 어떻게 소비(활용)할 수 있는지, 그리고 자격증명 서비스 제공자를 통해 이를 구체적으로 어떻게 구현할 수 있는지를 보여주고자 한다”고 설명했다. 그는 “정부 내에는 이미 여러 자격증명 서비스 제공자가 존재하므로 이 모델 자체는 새로운 것이 아니다”라면서도, “중앙화된 서비스에 접속해 mDL을 제시하여 신원 확인·검증(identity proofing & verification)을 수행하고, 그 결과 신원과 이에 결속된 인증 수단(authenticators)을 발급받은 뒤, 해당 신원으로 접근을 원하는 다양한 정부 서비스로 연합(federation)하는 과정을 어떻게 구현할 것인가가 핵심 질문”이라고 덧붙였다.