NIST SP 800-63
더 많은 작업
NIST SP 800-63(Digital Identity Guidelines)은 미국 국립표준기술연구소(NIST, National Institute of Standards and Technology)가 발행한 디지털 신원 관리 지침으로, 온라인 서비스의 신원 증명·인증·연합 신원 관리에 필요한 보증 수준과 위험 관리 절차를 정의하는 특별간행물이다.
NIST SP 800-63은 온라인 서비스에서 이용자의 신원을 확인하고 인증하는 과정에 적용할 기술적·관리적 요구사항을 제시한다.
디지털 신원(Digital Identity)은 특정 온라인 서비스의 맥락에서 개인을 고유하게 나타내는 속성 또는 속성의 집합이다. 한 사람은 여러 온라인 서비스에서 서로 다른 디지털 신원을 가질 수 있으며, 디지털 신원이 반드시 현실 세계의 법적 신원과 연결되어야 하는 것은 아니다.
NIST SP 800-63은 이러한 특성을 고려하여 신원 증명이 필요한 경우와 필요하지 않은 경우를 구분하고, 서비스의 위험 수준에 따라 적절한 신원 관리 방법을 선택하도록 한다.[1]
주요 내용은 다음과 같다.
- 디지털 신원 관리의 기본 모델과 참여 주체.
- 신원 증명(Identity Proofing)과 등록(Enrollment).
- 인증(Authentication)과 인증기(Authenticator) 관리.
- 연합 신원 관리(Federation)와 인증 주장(Assertion).
- 신원 보증 수준(IAL).
- 인증 보증 수준(AAL).
- 연합 보증 수준(FAL).
- 디지털 신원 위험 관리(DIRM).
- 보증 수준별 기준 통제 선정과 조정.
- 개인정보 보호, 사기 방지 및 이용자 경험.
- 지속적인 성능 평가와 개선.
- 신원 관리에 인공지능을 활용하는 경우의 요구사항.
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-63 |
| 문서명 | Digital Identity Guidelines |
| 발행기관 | 미국 국립표준기술연구소(NIST) |
| 최신 확정판 | Revision 4 |
| 최신판 발행일 | 2025년 7월 31일 |
| 이전판 | SP 800-63-3 |
| 주요 분야 | 디지털 신원, 인증, 접근 관리, 신원 연합 |
| 핵심 개념 | IAL, AAL, FAL, DIRM |
| 문서 구성 | SP 800-63-4 및 63A-4·63B-4·63C-4 |
| 주요 적용 대상 | 온라인 서비스 제공기관, 인증 서비스 제공자, 신원 제공자, 연합 인증 이용기관 |
| 공식 문서 | NIST CSRC |
NIST SP 800-63은 2006년 처음 발행되었으며, 디지털 신원 기술과 위협 환경의 변화에 따라 여러 차례 개정되었다.
주요 개정 이력은 다음과 같다.
| 시기 | 문서 | 주요 내용 |
|---|---|---|
| 2006년 | SP 800-63 | 전자 인증(Electronic Authentication)에 관한 최초 지침 |
| 2011년 | SP 800-63-1 | 전자 인증 지침 개정 |
| 2013년 | SP 800-63-2 | 전자 인증 지침 개정 |
| 2017년 | SP 800-63-3 | 디지털 신원 지침으로 개편하고 IAL·AAL·FAL 체계 정립 |
| 2020년 3월 | SP 800-63-3 갱신 | 이전 개정판의 갱신본 |
| 2022년 12월 | SP 800-63-4 최초 공개 초안 | 디지털 신원 위험 관리 및 기술 요구사항 개정 추진 |
| 2024년 8월 | SP 800-63-4 두 번째 공개 초안 | 신원 증명, 인증기, 연합 신원 관리 및 위험 관리 내용 보완 |
| 2025년 7월 31일 | SP 800-63-4 최종본 | Revision 4 확정 |
Revision 4는 SP 800-63-3을 대체한다.[2]
2026년 10월 23일 기준 최신 확정판은 Revision 4이다.
NIST는 2026년 10월 6일 Revision 4의 구현을 지원하는 자료 모음인 Implementation Resource Hub를 공개하였다.[3]
Revision 4는 기존 지침을 전면적으로 보완하였다.
주요 변경사항은 다음과 같다.[1]
- 디지털 신원 위험 관리 절차 확대.
- 온라인 서비스와 이용자 집단을 구분한 영향 평가 도입.
- 보증 수준별 기준 통제를 위험에 따라 조정하는 절차 강화.
- 개인정보 보호와 이용자 경험에 관한 고려사항 확대.
- 신원 관련 사기 탐지 및 예방 요구사항 강화.
- 신원 증명 과정에서 발생하는 자동화 공격과 위조 매체에 대한 대응 강화.
- 동기화 가능한 인증기(Syncable Authenticator) 관련 요구사항 반영.
- 가입자가 직접 관리하는 디지털 지갑을 연합 신원 모델에 포함.
- 신원 관리 시스템의 지속적인 성능 평가 지표 추가.
- 이용자의 이의제기와 구제 절차(Redress) 신설.
- 인공지능 및 기계학습을 사용하는 신원 관리 시스템의 요구사항 추가.
특히 Revision 4는 기존의 보증 수준을 기계적으로 적용하는 방식보다 서비스의 실제 위험과 이용자 특성에 따라 통제를 선정하고 조정하는 방식을 강조한다.
NIST SP 800-63 Revision 4는 총 네 개의 문서로 구성된다.
| 문서 | 정식 명칭 | 주요 내용 |
|---|---|---|
| SP 800-63-4 | Digital Identity Guidelines | 디지털 신원 모델, 위험 관리, 보증 수준 선정 및 통제 조정 |
| SP 800-63A-4 | Digital Identity Guidelines: Identity Proofing and Enrollment | 신원 증명, 신원 증빙 검증, 가입자 등록 및 IAL |
| SP 800-63B-4 | Digital Identity Guidelines: Authentication and Authenticator Management | 인증 방식, 인증기 관리, 인증 프로토콜 및 AAL |
| SP 800-63C-4 | Digital Identity Guidelines: Federation and Assertions | 연합 신원 관리, 인증 주장, 신뢰관계 및 FAL |
네 문서는 서로 보완적인 관계에 있다.
SP 800-63-4는 전체 지침의 상위 문서로서 디지털 신원 관리 모델과 위험 평가 방법을 설명한다.
SP 800-63A-4, SP 800-63B-4, SP 800-63C-4는 각각 신원 증명, 인증, 연합 신원 관리에 관한 구체적인 기술적 요구사항을 규정한다.
따라서 실제 시스템의 적합성을 평가하려면 상위 문서에서 선정한 보증 수준뿐 아니라 해당 하위 문서의 요구사항도 확인해야 한다.
NIST SP 800-63은 디지털 신원 관리에 참여하는 주체를 역할에 따라 구분한다.
하나의 조직이 여러 역할을 수행할 수 있으며, 반대로 여러 조직이 각각 다른 역할을 담당할 수도 있다.[1]
| 주체 | 영문 | 역할 |
|---|---|---|
| 신청자 | Applicant | 신원 증명 및 등록을 신청하는 개인 |
| 가입자 | Subscriber | 등록 절차를 완료하고 가입자 계정을 보유한 개인 |
| 인증 요청자 | Claimant | 인증 과정에서 자신이 정당한 가입자임을 주장하는 개인 |
| 자격 증명 서비스 제공자 | Credential Service Provider(CSP) | 신원 증명, 가입자 등록, 계정 및 인증기 연결 관리 |
| 검증자 | Verifier | 인증 프로토콜을 통해 인증 요청자가 인증기를 통제하는지 확인 |
| 신원 제공자 | Identity Provider(IdP) | 연합 환경에서 인증 결과와 신원 속성을 전달하는 주장 발급 |
| 신뢰 당사자 | Relying Party(RP) | 인증 결과와 신원정보를 신뢰하여 온라인 서비스 접근을 허용하는 주체 |
신청자(Applicant)는 신원 증명 및 등록 절차를 수행하려는 개인이다.
신원 증명과 등록이 완료되면 가입자(Subscriber)가 되며, CSP는 해당 가입자의 계정과 인증기 정보를 관리한다.
신원 증명이 필요하지 않은 서비스에서는 현실 세계의 신원을 확인하지 않고도 가입자 계정을 만들 수 있다.
인증 요청자(Claimant)는 온라인 서비스에 접근하기 위해 자신이 정당한 가입자임을 주장한다.
검증자(Verifier)는 인증 프로토콜을 통해 해당 개인이 등록된 인증기를 실제로 보유하거나 통제하는지 확인한다.
인증에 성공하면 그 결과를 RP에 전달할 수 있다.
CSP는 가입자 계정과 인증기 연결 관계를 관리한다.
IdP는 연합 신원 환경에서 인증 결과와 가입자 속성을 포함하는 주장을 RP에 제공한다.
실제 구현에서는 CSP와 IdP가 동일한 조직이나 시스템에서 운영될 수 있다.
RP는 신원 및 인증 결과를 이용하여 실제 서비스를 제공하는 주체이다.
예를 들어 외부 IdP를 이용하여 로그인하는 업무시스템은 RP에 해당한다.
RP는 인증 결과를 수신한 뒤 서비스의 접근 정책에 따라 이용자의 접근 여부를 결정한다.
인증에 성공했다는 사실이 모든 자원에 대한 접근 권한을 의미하지는 않는다.
NIST SP 800-63은 디지털 신원 관리 기능을 세 가지 보증 수준 체계로 구분한다.
- IAL: Identity Assurance Level.
- AAL: Authentication Assurance Level.
- FAL: Federation Assurance Level.
이 세 가지를 통칭하여 xAL이라고 표현한다.
각 보증 수준은 서로 다른 위험을 다루며, 동일한 숫자를 반드시 적용해야 하는 것은 아니다.
IAL(Identity Assurance Level)은 신원 증명 과정에서 개인의 현실 세계 신원에 대해 확보하는 신뢰 수준이다.
| 수준 | 주요 요구사항 | 보호 목적 |
|---|---|---|
| IAL1 | 주장된 신원의 실재성과 신청자와의 연관성을 기본적으로 확인 | 대량 자동 가입, 합성 신원 및 유출된 개인정보 악용에 대응 |
| IAL2 | 추가적인 신원 증빙과 강화된 검증·확인 절차 적용 | 표적 공격, 기본적인 신원 증빙 위조·도용 및 사회공학 공격에 대응 |
| IAL3 | 훈련된 담당자가 현장에서 직접 신청자를 확인하고 생체정보를 하나 이상 수집 | 정교한 신원 위조·도용 및 고도화된 공격에 대응 |
IAL은 신원 증명이 필요한 서비스에 적용한다.
서비스 제공에 현실 세계의 신원 확인이 필요하지 않다면 IAL을 적용하지 않을 수 있다.
Revision 4에서는 IAL1도 실제 신원 증명 절차를 요구한다는 점에 주의해야 한다.
이는 신원 증명을 수행하지 않는 경우를 IAL1로 취급하던 이전 개정판과 다른 부분이다.
구체적인 요구사항은 SP 800-63A-4에서 정의한다.[4]
AAL(Authentication Assurance Level)은 인증 요청자가 등록된 인증기를 실제로 보유하고 통제한다는 사실에 대한 신뢰 수준이다.
| 수준 | 주요 요구사항 | 특징 |
|---|---|---|
| AAL1 | 단일 요소 또는 다중 요소 인증 허용 | 기본적인 인증 보증 |
| AAL2 | 서로 다른 두 인증 요소를 사용하는 다중 인증 요구 | 높은 인증 신뢰도, 피싱 내성 인증 수단 제공 |
| AAL3 | 피싱 내성을 갖추고 개인키를 내보낼 수 없는 공개키 암호 기반 인증기 요구 | 매우 높은 인증 신뢰도 및 검증자 침해에 대한 강화된 보호 |
AAL2에서는 다중 인증이 필수이지만, 모든 AAL2 인증 방식이 피싱 내성을 제공하는 것은 아니다.
예를 들어 일회용 비밀번호(OTP)를 사용하는 다중 인증은 특정 조건에서 AAL2를 충족할 수 있지만, 피싱 사이트를 통한 실시간 중계 공격에 취약할 수 있다.
AAL3에서는 피싱 내성이 필수이다.
구체적인 인증기 유형과 인증 프로토콜 요구사항은 SP 800-63B-4에서 정의한다.[5]
FAL(Federation Assurance Level)은 IdP가 RP에 전달하는 인증 결과와 신원 속성의 신뢰성을 보장하는 수준이다.
| 수준 | 주요 특징 | 보호 목적 |
|---|---|---|
| FAL1 | 연합 인증 거래에 대한 기본적인 보호 | 위조된 인증 주장에 대응 |
| FAL2 | 인증 주장 주입 공격 등에 대한 추가적인 보호 | 연합 인증 거래의 신뢰성 강화 |
| FAL3 | IdP 침해에 대한 강화된 보호와 매우 높은 수준의 정보 일치 신뢰성 | 고위험 연합 인증 환경 보호 |
FAL은 연합 신원 관리 기능을 사용하는 경우에 적용한다.
서비스가 자체적으로 인증을 수행하고 연합 신원 기능을 사용하지 않는다면 FAL이 필요하지 않을 수 있다.
구체적인 요구사항은 SP 800-63C-4에서 정의한다.[6]
IAL, AAL, FAL은 서로 다른 보안 기능을 평가하므로 각각 독립적으로 선정한다.
예를 들어 현실 세계의 신원을 확인하지 않는 온라인 서비스라도 계정 탈취의 위험이 크다면 강력한 인증을 요구할 수 있다.
반대로 엄격한 신원 증명 절차를 거친 이용자라도 인증 과정에서 취약한 인증기를 사용하면 계정 탈취 위험이 존재한다.
| 구분 | 핵심 질문 | 주요 위험 |
|---|---|---|
| IAL | 등록하려는 사람이 주장한 현실 세계의 신원과 실제로 연결되는가? | 신원 도용, 허위 신원, 합성 신원 |
| AAL | 현재 로그인하는 사람이 등록된 인증기를 정당하게 통제하는가? | 계정 탈취, 인증정보 유출, 피싱 |
| FAL | 다른 시스템에서 전달받은 인증 결과와 신원정보를 신뢰할 수 있는가? | 인증 주장 위조, 주입, 연합 시스템 침해 |
예를 들어 IAL2, AAL3, FAL2와 같이 서로 다른 수준을 조합할 수 있다.
다만 이러한 조합이 특정 서비스에 적절한지는 위험 평가와 해당 보증 수준의 기술적 요구사항에 따라 판단해야 한다.
DIRM(Digital Identity Risk Management)은 온라인 서비스에서 디지털 신원과 관련된 위험을 평가하고 적절한 보증 수준 및 보호조치를 선정하는 절차이다.
Revision 4는 DIRM을 상위 문서의 핵심 규범적 요구사항으로 정의한다.[1]
DIRM은 두 가지 위험을 함께 고려한다.
- 온라인 서비스에서 신원 관리 기능이 실패하여 발생할 수 있는 위험.
- 신원 관리 시스템을 도입하고 운영함으로써 새롭게 발생하는 위험.
첫 번째 위험은 신원 도용이나 계정 탈취 등으로 인한 서비스 침해와 관련된다.
두 번째 위험은 신원 확인 과정에서의 개인정보 과다 수집, 이용자의 서비스 접근 실패, 부적절한 인증 수단 선택 등과 관련된다.
따라서 DIRM은 단순히 인증 강도를 높이는 절차가 아니라 보안성과 개인정보 보호, 이용자 경험을 함께 고려하는 위험 관리 절차이다.
NIST SP 800-63-4는 DIRM을 다음 다섯 단계로 구성한다.
| 단계 | 영문 | 주요 활동 |
|---|---|---|
| 1 | Define the Online Service | 온라인 서비스의 범위, 기능, 이용자 집단 및 영향받는 주체 정의 |
| 2 | Conduct Initial Impact Assessment | 신원 관리 실패로 발생할 수 있는 영향 평가 |
| 3 | Select Initial Assurance Levels and Baseline Controls | 초기 IAL·AAL·FAL과 기준 통제 선정 |
| 4 | Tailor and Document Assurance Levels | 개인정보 보호·이용자 경험·위협 저항성을 고려하여 보증 수준 조정 및 문서화 |
| 5 | Continuously Evaluate and Improve | 운영 성과와 위험을 지속적으로 평가하고 개선 |
각 단계의 수행 결과는 문서화해야 한다.
조직은 보호하려는 온라인 서비스의 범위와 특성을 정의한다.
주요 확인사항은 다음과 같다.
- 서비스의 목적과 업무 기능.
- 제공하는 온라인 거래 유형.
- 처리하는 정보의 종류.
- 이용자 집단.
- 이용자별 접근 권한.
- 서비스와 연계된 다른 시스템.
- 적용되는 법률 및 계약상 요구사항.
- 신원 관리 실패로 영향을 받을 수 있는 개인과 조직.
특히 이용자 집단(User Group)과 영향받는 주체(Impacted Entity)를 구분해야 한다.
예를 들어 공공서비스의 관리자가 시스템을 잘못 조작하면 직접 서비스를 이용하지 않는 시민도 영향을 받을 수 있다.
따라서 위험 평가의 범위를 실제 로그인 이용자로만 제한해서는 안 된다.
조직은 신원 증명·인증·연합 기능이 실패하여 부정한 이용자가 서비스에 접근했을 때 발생할 수 있는 피해를 평가한다.
NIST는 최소한 다음 다섯 가지 영향 범주를 평가하도록 요구한다.
| 영향 범주 | 영문 | 평가 대상 |
|---|---|---|
| 업무 및 임무 수행 저하 | Degradation of Mission Delivery | 서비스 제공과 조직의 업무 수행에 미치는 영향 |
| 신뢰 및 평판 손상 | Damage to Trust, Standing, or Reputation | 개인·조직의 신뢰도와 평판에 미치는 영향 |
| 정보에 대한 무단 접근 | Unauthorized Access to Information | 개인정보·기밀정보·업무정보의 유출 및 변조 |
| 재정적 손실 또는 책임 | Financial Loss or Liability | 금전적 피해, 부정거래, 법적 책임 |
| 생명·안전·건강·환경 피해 | Loss of Life or Danger to Human Safety, Human Health, or Environmental Health | 신체적 피해, 생명 손실, 환경 피해 |
각 영향 범주는 낮음(Low), 중간(Moderate), 높음(High)의 세 단계로 평가한다.
조직은 필요에 따라 더 세분화된 평가 기준을 사용할 수 있다.
영향 평가는 이용자 집단별로 수행해야 하며, 서로 다른 피해 유형과 영향을 받는 주체를 함께 고려해야 한다.
영향 평가 결과를 바탕으로 초기 IAL·AAL·FAL을 선정한다.
Revision 4의 기본 대응관계는 다음과 같다.
| 영향 수준 | 초기 IAL | 초기 AAL | 초기 FAL |
|---|---|---|---|
| 낮음(Low) | IAL1 | AAL1 | FAL1 |
| 중간(Moderate) | IAL2 | AAL2 | FAL2 |
| 높음(High) | IAL3 | AAL3 | FAL2 또는 FAL3 |
이 표는 해당 신원 관리 기능이 필요한 경우의 초기 선정 기준이다.
신원 증명이 필요하지 않은 서비스에는 IAL을 적용하지 않을 수 있으며, 연합 신원 기능을 사용하지 않는 서비스에는 FAL을 적용하지 않는다.
또한 개인정보에 대한 접근을 허용하는 서비스는 영향 수준과 별도로 적용되는 법적·정책적 요구사항을 고려해야 한다.
고위험 서비스에서 FAL2와 FAL3 중 하나를 선택할 때는 IdP 침해 위험을 추가로 평가해야 한다.
조정(Tailoring)은 초기 보증 수준과 기준 통제를 실제 서비스 환경에 맞게 수정하는 절차이다.
조직은 다음 사항을 검토해야 한다.
- 개인정보 보호에 미치는 영향.
- 이용자의 서비스 접근성과 사용 편의성.
- 실제 위협 환경과 공격자의 능력.
- 신원 관련 사기 발생 가능성.
- 특정 이용자 집단에 대한 불리한 영향.
- 대체 인증 방법의 필요성.
- 조직의 위험 허용 수준.
- 기존 보안 통제와의 연계.
조정 결과에 따라 초기 보증 수준을 변경하거나 보완 통제 및 추가 통제를 적용할 수 있다.
다만 보증 수준을 변경하거나 규범적 요구사항을 대체하는 경우에는 위험 평가 결과와 그 근거를 문서화해야 한다.
NIST는 보완 통제와 추가 통제를 구분한다.
| 구분 | 영문 | 설명 |
|---|---|---|
| 보완 통제 | Compensating Control | 기존 보증 수준의 필수 통제를 다른 통제로 대체하여 위험을 완화 |
| 추가 통제 | Supplemental Control | 기존 기준 통제에 새로운 보호조치를 추가 |
보완 통제는 원래 통제가 대응하려는 위험을 가능한 한 동등하게 완화해야 한다.
예를 들어 특정 이용자 집단이 요구되는 신원 증빙을 확보하기 어려운 경우, 조직은 다른 검증 절차와 강화된 거래 감시를 조합하는 방안을 평가할 수 있다.
추가 통제는 기준 통제만으로 충분히 대응하기 어려운 위협에 적용한다.
예를 들어 AAL2에서 피싱 내성 인증만 허용하도록 강화하거나, 특정 위험 상황에서 추가적인 신원 확인을 요구할 수 있다.
조직은 신원 관리 시스템의 성능과 위험을 지속적으로 평가해야 한다.
주요 평가 대상은 다음과 같다.
- 신원 증명 성공률.
- 신원 증명 실패율.
- 이용자의 절차 중단율.
- 신원 증명 소요 시간.
- 인증 실패율.
- 인증기 유형별 사용 현황.
- 계정 복구 요청 건수.
- 확인된 부정 접근 및 사기 발생률.
- 이용자 불만 및 지원 요청.
- 문제 해결에 소요되는 시간.
조직은 이러한 지표를 이용하여 보안 통제의 효과와 이용자 경험을 함께 평가해야 한다.
DIAS(Digital Identity Acceptance Statement)는 DIRM 수행 결과와 최종 보증 수준 및 통제 선정 근거를 기록하는 문서이다.
NIST SP 800-63-4는 조직이 관리하는 온라인 서비스와 업무 수행을 위해 사용하는 외부 온라인 서비스에 대해 DIAS를 작성하도록 요구한다.[1]
DIAS에는 최소한 다음 사항이 포함되어야 한다.
- 초기 영향 평가 결과.
- 최초 선정한 IAL·AAL·FAL.
- 조정된 최종 보증 수준.
- 보증 수준 변경 사유.
- 적용한 보완 통제.
- 보완 통제의 동등성과 잔여 위험.
- 적용한 추가 통제.
외부 CSP 또는 IdP를 사용하는 RP는 해당 서비스 제공자의 DIAS를 검토하고 자체 서비스의 DIAS에 관련 내용을 반영해야 한다.
DIAS는 단순한 인증 수준 표시 문서가 아니라 조직이 특정 신원 관리 방식을 선택한 이유와 위험 수용 근거를 기록하는 문서이다.
Revision 4는 디지털 신원 관리의 보안성과 함께 개인정보 보호 및 이용자 경험을 중요한 고려사항으로 다룬다.
신원 관리 시스템은 개인정보를 수집·저장·이용하는 과정에서 새로운 위험을 발생시킬 수 있다.
예를 들어 강력한 신원 증명을 위해 많은 개인정보와 생체정보를 수집하면 신원 도용 위험은 줄일 수 있지만 개인정보 침해의 잠재적 영향은 커질 수 있다.
반대로 지나치게 복잡한 신원 확인 절차는 정당한 이용자가 서비스를 이용하지 못하게 만들 수 있다.
따라서 조직은 다음 사항을 고려해야 한다.
- 서비스 제공에 필요한 최소한의 개인정보 수집.
- 개인정보의 저장 및 보존 기간.
- 개인정보에 대한 접근통제.
- 이용자 집단별 접근성.
- 장애인 및 기술적 취약계층의 이용 가능성.
- 신원 확인 실패 시 대체 절차.
- 인증기 분실 시 계정 복구 방법.
- 이용자 불만 및 이의제기 절차.
NIST는 보안 요구사항을 충족하는 동시에 정당한 이용자의 서비스 접근을 불필요하게 제한하지 않도록 권고한다.
Redress는 신원 관리 시스템의 오류나 부적절한 결정으로 피해를 입은 이용자가 문제를 제기하고 시정을 요청할 수 있도록 하는 절차이다.
Revision 4는 이러한 절차를 명시적인 요구사항으로 포함하였다.
RP와 CSP는 다음 기능을 마련해야 한다.[1]
- 이용자가 문제를 제기할 수 있는 절차.
- 공개적으로 확인할 수 있는 신청 방법.
- 처리 상태를 추적할 수 있는 기능.
- 문제를 공정하게 검토하는 절차.
- 필요한 추가 증거를 수집하는 절차.
- 신속한 문제 해결 및 시정 조치.
- 자동화된 결정에 사람이 개입할 수 있는 수단.
- 구제 절차 자체를 악용하는 신원 사기 방지 통제.
특히 알고리즘을 이용하여 신원 확인이나 이의제기 결과를 자동으로 판단하는 경우에도 사람의 개입과 판단을 통한 수정이 가능해야 한다.
Revision 4는 디지털 신원 관리 시스템에서 인공지능(AI)과 기계학습(ML)을 사용하는 경우의 요구사항을 별도로 규정한다.
대표적인 활용 분야는 다음과 같다.
- 얼굴 등 생체정보의 자동 비교.
- 신분증과 신원 증빙의 진위 판별.
- 신원 속성의 자동 검증.
- 부정 가입 및 신원 도용 탐지.
- 인증 과정의 이상행위 분석.
- 이용자 지원 챗봇.
NIST는 AI와 ML이 신원 관리의 효율성을 높일 수 있지만 새로운 위험과 의도하지 않은 결과를 발생시킬 수 있다고 설명한다.
AI·ML을 사용하는 신원 관리 시스템에는 다음 요구사항이 적용된다.[1]
- AI·ML 사용 현황을 문서화하고 관련 기관에 공개해야 한다.
- CSP·IdP·검증자가 AI·ML을 사용하는 경우 해당 시스템의 결과에 의존하는 RP에 이를 알려야 한다.
- AI·ML 제공자는 모델 학습 방법과 사용된 데이터셋에 관한 정보를 관련 이용기관에 제공해야 한다.
- 모델 갱신 주기와 알고리즘 시험 결과를 제공해야 한다.
- 개인정보를 처리하는 AI·ML 시스템에 대한 개인정보 위험 평가를 수행하고 문서화해야 한다.
- AI·ML 시스템의 위험 평가에 NIST AI RMF를 활용하도록 권고한다.
이러한 요구사항은 특정 AI 기술의 사용을 의무화하는 것이 아니라 AI 기술을 사용하는 경우의 투명성과 위험 관리를 강화하기 위한 것이다.
Revision 4는 가입자가 직접 관리하는 디지털 지갑(Subscriber-Controlled Wallet)을 연합 신원 모델에 포함하였다.
디지털 지갑은 가입자의 신원 속성이나 증명 정보를 보관하고, 필요한 경우 RP에 이를 제시하는 데 사용할 수 있다.
이 모델에서 디지털 지갑은 IdP의 역할을 수행할 수 있다.
대표적인 처리 과정은 다음과 같다.
- 신청자가 CSP에서 신원 증명 및 등록 수행.
- CSP가 가입자 계정 생성.
- 가입자가 디지털 지갑을 CSP에 등록.
- CSP가 신원 속성 묶음(Attribute Bundle)을 발급.
- 가입자가 RP의 인증 요청에 따라 디지털 지갑 사용.
- 디지털 지갑이 인증 주장과 필요한 속성 정보를 RP에 제공.
- RP가 주장과 속성 정보의 유효성을 확인한 뒤 서비스 접근 결정.
NIST는 디지털 지갑에서 사용하는 속성 묶음과 일반적인 인증 자격 증명을 구분한다.
관련된 구체적인 연합 인증 요구사항은 SP 800-63C-4에서 정의한다.[6]
NIST SP 800-63-4 본문은 세 개의 주요 장으로 구성된다.
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 목적, 적용 범위, 지침 활용 방법, 위험 관리 고려사항 |
| 제2장 | Digital Identity Model | 신원 관리 참여 주체, 신원 증명, 인증, 연합 신원 모델 |
| 제3장 | Digital Identity Risk Management | 영향 평가, 보증 수준 선정, 통제 조정, 지속적인 평가 |
| References | References | 참고 문헌 |
| 부록 A | Abbreviations | 약어 목록 |
| 부록 B | Glossary | 용어 정의 |
| 부록 C | Change Log | 주요 개정 이력 |
제1장과 제2장은 설명적 자료(Informative)에 해당한다.
제3장은 규범적 요구사항(Normative)을 포함하며, DIRM 절차와 관련된 필수 요구사항을 정의한다.
문서에서 사용하는 규범적 표현은 다음과 같다.
| 표현 | 의미 |
|---|---|
| SHALL | 준수를 위해 반드시 이행해야 하는 요구사항 |
| SHALL NOT | 반드시 금지해야 하는 행위 |
| SHOULD | 특별한 사유가 없다면 따르는 것이 권고되는 사항 |
| SHOULD NOT | 특별한 사유가 없다면 피하도록 권고되는 사항 |
| MAY | 허용되는 선택사항 |
이러한 표현은 문서의 적합성 평가에서 중요한 의미를 갖는다.
NIST SP 800-63은 네트워크를 통해 온라인 서비스에 접근하는 자연인의 디지털 신원 관리에 적용된다.
주요 적용 대상은 다음과 같다.
- 정부기관의 온라인 민원 서비스.
- 공공서비스 이용자 인증.
- 금융 및 전자거래 서비스.
- 기업의 임직원 인증 시스템.
- 외부 협력업체의 업무시스템 접근.
- 온라인 고객 계정 관리.
- 클라우드 서비스의 사용자 인증.
- 연합 로그인 및 통합 인증 시스템.
- 디지털 신분증 및 디지털 지갑 기반 서비스.
미국 연방기관의 온라인 서비스에 적용하는 것을 주요 목적으로 하지만, 민간기업과 다른 정부기관도 필요에 따라 참고할 수 있다.
NIST SP 800-63은 다음 분야를 직접적인 적용 대상으로 삼지 않는다.
- 미국 법률상 국가안보시스템으로 분류되는 시스템.
- 물리적 출입통제 절차 자체.
- 기계 간 인증(Machine-to-Machine Authentication).
- 사물인터넷 기기의 인증.
- 사람을 대신하여 API에 접근하는 시스템의 인증.
다만 일부 개념과 보호 원칙은 이러한 환경에서도 참고할 수 있다.
NIST SP 800-63은 접근 권한 부여(Authorization) 자체의 모든 요구사항을 정의하는 문서도 아니다.
이용자가 올바르게 인증되었더라도 어떤 자원에 접근할 수 있는지는 별도의 접근통제 정책에 따라 결정된다.
NIST SP 800-63은 디지털 신원 관리에 특화된 지침이다.
다른 NIST 문서와의 관계는 다음과 같다.
| 문서 | 주요 내용 | SP 800-63과의 차이 |
|---|---|---|
| SP 800-30 | 위험 평가 수행 방법 | 조직 및 시스템 전반의 위험 평가 방법을 제시 |
| SP 800-37 | 위험 관리 프레임워크(RMF) | 정보시스템의 위험 관리 및 인가 절차를 정의 |
| SP 800-53 | 보안 및 개인정보 보호 통제 | 정보시스템과 조직에 적용하는 보안 통제 카탈로그 |
| SP 800-63A | 신원 증명 및 등록 | IAL별 신원 증명 요구사항 |
| SP 800-63B | 인증 및 인증기 관리 | AAL별 인증 방식과 인증기 요구사항 |
| SP 800-63C | 연합 신원 관리 | FAL별 연합 인증과 주장 처리 요구사항 |
| SP 800-122 | 개인정보의 기밀성 보호 | 개인정보 보호를 위한 별도의 지침 |
SP 800-63의 DIRM은 SP 800-37의 RMF를 보완한다.
DIRM의 영향 평가 결과는 정보시스템 전체에 대한 FISMA 영향 수준과 다를 수 있다.
예를 들어 하나의 정보시스템이 중간 수준의 보안 영향을 갖더라도 특정 이용자 집단이 수행하는 거래의 특성에 따라 다른 인증 보증 수준이 필요할 수 있다.
또한 SP 800-63에서 정의하는 IAL·AAL·FAL은 SP 800-53의 보안 통제를 대체하지 않는다.
조직은 두 지침의 요구사항을 함께 고려해야 한다.
NIST SP 800-63을 실제 시스템에 적용할 때는 다음 사항을 확인해야 한다.
- 서비스에서 현실 세계의 신원 확인이 필요한지 판단.
- 이용자 집단별로 접근 가능한 기능과 정보 구분.
- 신원 관리 실패 시 발생할 수 있는 피해 평가.
- IAL·AAL·FAL을 독립적으로 선정.
- 각 보증 수준에 해당하는 하위 문서의 요구사항 확인.
- 개인정보 보호와 이용자 접근성에 대한 영향 평가.
- 보완 통제 및 추가 통제의 필요성 검토.
- DIAS 작성 및 관리.
- 인증 실패와 부정 접근에 관한 성능 지표 수집.
- 이용자의 이의제기 및 구제 절차 마련.
- 외부 CSP·IdP를 사용하는 경우 계약과 책임 범위 확인.
- AI·ML을 사용하는 경우 관련 위험 평가 및 공개 요구사항 확인.
특히 모든 서비스에 가장 높은 보증 수준을 적용하는 것이 반드시 최선의 선택은 아니다.
보증 수준을 높이면 신원 도용이나 계정 탈취에 대한 저항성을 강화할 수 있지만, 이용자의 서비스 접근이 어려워지거나 개인정보 처리에 따른 위험이 증가할 수 있다.
NIST SP 800-63은 이러한 요소를 종합적으로 평가하여 서비스의 위험 수준에 적합한 신원 관리체계를 구축하도록 한다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 1.6 David Temoshok 외, Digital Identity Guidelines, NIST SP 800-63-4, National Institute of Standards and Technology, 2025-07-31.
- ↑ SP 800-63-4, Digital Identity Guidelines, NIST Computer Security Resource Center, 확인: 2026-10-23.
- ↑ Implementation Resources for SP 800-63 Revision 4, NIST, 확인: 2026-10-23.
- ↑ David Temoshok 외, Digital Identity Guidelines: Identity Proofing and Enrollment, NIST SP 800-63A-4, National Institute of Standards and Technology, 2025-07-31.
- ↑ David Temoshok 외, Digital Identity Guidelines: Authentication and Authenticator Management, NIST SP 800-63B-4, National Institute of Standards and Technology, 2025-07-31.
- ↑ 6.0 6.1 David Temoshok 외, Digital Identity Guidelines: Federation and Assertions, NIST SP 800-63C-4, National Institute of Standards and Technology, 2025-07-31.