태블릿 로그인 방식 FIDO 기반 인증방식 적용시 전자금융감독규정에 적정한지 검토 요청

당사 내부사용자가 업무시스템 접속 시 * , 아이디/비밀번호 입력 대신 FIDO기반 인증 방법을 적용하는 경우, “「전자금융감독규정」 제32조 내부사용자 비밀번호 관리” 규정과 관련 보안수준이 동등하거나 높음으로 판단되어 적용할 수 있는지 검토 요청 * (예) 신용카드 모집인용 태블릿 로그인, 임직원 PC내 인트라넷 로그인 등

현재 「전자금융거래법」 제21조제3항에 따르면 , 「전자금융거래법」 은 전자금융거래상 내부사용자의 정보처리시스템 접속(인증)방법에 대해 특정 기술 또는 서비스 사용을 강제 하지 않으므로 이에 관하여는 관련 규정을 준수하면서 안전하고 편리한 인증기술의 적용이 가능합니다.

FIDO기반 인증방법은 비밀번호를 대체하기 위한 인증기술로 「전자금융감독규정」 제32조 내부사용자 비밀번호 관리규정과 관련하여 담당업무에 따른 접근제한, 인증 오류에 따른 접속제한 및 초기화 등 비밀번호 기반 인증방법에 준하는 방식으로 관리함으로써 보안성 및 안정성을 확보해야 할 것입니다. <참고 :「전자금융거래법」제21조 > 제21조(안전성의 확보의무) ③ 금융위원회는 제2항의 기준을 정할 때 특정 기술 또는 서비스의 사용을 강제하여서는 아니 되며, 보안기술과 인증기술의 공정한 경쟁이 촉진되도록 노력하여야 한다. <참고 :「전자금융감독규정」제32조 > 제32조(내부사용자 비밀번호 관리) 금융회사 또는 전자금융업자는 내부사용자의 비밀번호 유출을 방지하지 위하여 다음 각 호의 사항을 정보처리시스템에 반영하여야 한다.