태블릿 로그인 방식 FIDO 기반 인증방식 적용시 전자금융감독규정에 적정한지 검토 요청
금융위원회,금융산업국,금융안전과,IT검사국 · 2018-06-08 · 의견번호 180221
회신
출처 · 원문 발췌
□
현행
「
전자금융거래법
」
에서는 정보처리시스템에 대한 접속(인증)방법을 구체적으로
제한하지 않으며, 금융회사에서 자율적으로 보안수준을 판단하여 적용할 수 있습니다.
본문
요청 내용
□
당사 내부사용자가 업무시스템 접속 시
*
,
아이디/비밀번호 입력 대신 FIDO기반 인증
방법을 적용하는 경우,
“
「
전자금융감독규정
」
제32조 내부사용자 비밀번호
관리
”
규정과 관련 보안수준이 동등하거나 높음으로 판단되어 적용할
수 있는지 검토 요청
* (예) 신용카드
모집인용 태블릿 로그인, 임직원 PC내 인트라넷 로그인 등
판단 이유
□
현재
「
전자금융거래법
」
제21조제3항에 따르면
,
「
전자금융거래법
」
은 전자금융거래상
내부사용자의
정보처리시스템 접속(인증)방법에
대해
특정 기술 또는 서비스 사용을
강제
하지 않으므로
이에 관하여는
관련 규정을 준수하면서 안전하고 편리한 인증기술의
적용이 가능합니다.
ㅇ
FIDO기반 인증방법은 비밀번호를 대체하기 위한 인증기술로
「
전자금융감독규정
」
제32조 내부사용자 비밀번호 관리규정과 관련하여 담당업무에 따른 접근제한, 인증
오류에 따른 접속제한 및 초기화 등 비밀번호 기반 인증방법에 준하는
방식으로 관리함으로써 보안성
및 안정성을 확보해야 할 것입니다.
<참고 :「전자금융거래법」제21조 >
제21조(안전성의 확보의무) ③ 금융위원회는 제2항의 기준을 정할 때 특정 기술 또는 서비스의 사용을 강제하여서는 아니 되며, 보안기술과
인증기술의 공정한 경쟁이 촉진되도록 노력하여야
한다.
<참고 :「전자금융감독규정」제32조 >
제32조(내부사용자 비밀번호 관리) 금융회사 또는 전자금융업자는 내부사용자의 비밀번호 유출을 방지하지 위하여 다음 각 호의 사항을 정보처리시스템에
반영하여야 한다.
1. 담당업무 외에는 열람 및 출력을 제한할 수 있는 접근자의 비밀번호를 설정하여 운영할 것
2. 비밀번호는 다음 각 목의 사항을
준수할 것
가. 비밀번호는 이용자 식별부호(아이디), 생년월일, 주민등록번호,
전화번호를 포함하지 않은
숫자와 영문자 및 특수문자 등을 혼합하여 8자리 이상으로 설정하고 분기별 1회 이상 변경
나. 비밀번호 보관 시 암호화
다. 시스템마다 관리자 비밀번호를 다르게
부여
3.
비밀번호 입력 시 5회 이내의 범위에서
미리 정한 횟수 이상의 입력오류가 연속하여
발생한 경우 즉시 해당 비밀번호를 이용하는 접속을 차단하고 본인 확인절차를 거쳐 비밀번호를
재부여하거나 초기화 할 것
연결
관련 근거
더 찾아보기
첨부
법령해석 회신문(180221).hwp다운로드 · 새 창기관 원문
금융위원회,금융산업국,금융안전과,IT검사국에서 원문 열기 (새 창) →법적 효력은 발행기관 원문에 있으며 본 페이지는 참고용입니다.