사용자 인증

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.5.3 사용자 인증]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보시스템 및 개인정보처리시스템에 대한 접근 시 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 따라 통제하여야 한다.

• 사용자 인증 수단 예시

  구분	인증 수단	비고
  지식 기반	비밀번호	안전한 비밀번호 작성규칙 적용 및 변경주기 고려 비밀번호 도용, 무작위 대입 공격 등에 대한 대응 필요 시스템 설치 시 제품 등에서 제공하는 디폴트 계정 및 비밀번호 사용정지 또는 변경 필요
  소유 기반	인증서(PKI)	개인키의 안전한 보관 필요(안전한 보안매체에 보관 권고)
  소유 기반	OTP (One Time Password)	OTP토큰, 모바일OTP 등 다양한 방식 존재
  소유 기반	기타	스마트 카드 방식 물리적 보안토큰 방식 등
  생체 기반	지문, 홍채, 얼굴 등	생체인식정보의 안전한 관리 필요 ※ 참고 : FIDO(Fast Identity Online)
  기타 방식 (사용자 인증의 보완통제로 적용 가능)	IP주소	특정 IP주소에서만 해당 ID로 접속할 수 있도록 제한하는 방식
  기타 방식 (사용자 인증의 보완통제로 적용 가능)	MAC주소	단말기의 MAC주소를 기반으로 등록된 단말기에서만 접속할 수 있도록 제한하는 방식
  기타 방식 (사용자 인증의 보완통제로 적용 가능)	기기 일련번호	특정 PC 또는 특정 디바이스(스마트폰 등)에서만 접속할 수 있도록 제한하는 방식
  기타 방식 (사용자 인증의 보완통제로 적용 가능)	기타	위치정보를 기반으로 접속을 제한하는 방식 등

• 계정 도용 및 불법적인 인증시도 통제방안 예시

  구분	설명
  인증 실패횟수 제한	일정 횟수 이상 인증에 실패한 경우 접근 제한 ※ 개인정보의 안전성 확보조치 기준 제5조제6항
  접속 유지시간 제한	접속 후 일정시간 이상 업무처리를 하지 않은 경우 자동으로 접속 차단 (Session Timeout 또는 Idle Timeout 등) ※ 개인정보의 안전성 확보조치 기준 제6조제4항
  동시 접속 제한	동일 계정으로 동시 접속 시 접속차단 조치 또는 알림 기능 등
  불법 로그인 시도 경고	국외 IP주소 등 등록되지 않은 IP주소에서의 접속 시 차단 및 통지 주말, 야간 접속 시 문자 알림 관리자 등 특수권한 로그인 시 알림 등

• 업무의 편리성을 제공하기 위하여 싱글사인온(Single Sign-On)을 사용하는 경우에는 계정 도용 시 피해 확대 가능성이 있으므로 위험평가에 기반하여 강화된 인증 적용, 중요 시스템 접속 시 재인증 요구 등 추가 보호대책 마련

인터넷 등 정보통신망을 통하여 외부에서 개인정보처리시스템에 접속하려는 경우에는 법적 요구사항에 따라 안전한 인증수단을 적용하여야 하며, 다만 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.

• 안전한 인증수단 적용이란 개인정보처리시스템에 사용자계정과 비밀번호를 입력하여 정당한 개인정보취급자 여부를 식별/인증하는 절차 이외에 추가적인 인증 수단의 적용을 말함

• 안전한 인증수단 예시 : 인증서, 보안토큰, 일회용 비밀번호(OTP) 등

• 개인정보취급자가 정보통신망을 통하여 외부에서 개인정보처리시스템 접속 시 인증수단 적용 관련 법적 요구사항 준수 필요

  대상 개인정보처리시스템	이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템	이용자의 개인정보를 처리하는 개인정보처리시스템
  적용 필요 사항	안전한 접속수단 또는 안전한 인증수단 적용 ※ 안전한 접속수단 : 가상사설망(VPN) 등	안전한 인증수단 적용

  [참고] 외부 접속 시 안전한 인증수단 적용(개인정보의 안전성 확보조치 기준 제6조제2항)

  ② 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다. 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.