NIST SP 800-63A
더 많은 작업
NIST SP 800-63A(Digital Identity Guidelines: Identity Proofing and Enrollment)는 미국 국립표준기술연구소(NIST)가 디지털 서비스 이용자의 실제 신원을 확인하고 계정을 등록하는 절차와 기술적 요구사항을 신원 보증 수준(IAL)에 따라 규정한 디지털 신원 관리 지침이다.
NIST SP 800-63A는 온라인 서비스에 가입하거나 접근하려는 사람이 주장하는 신원이 실제로 존재하며, 신청자가 해당 신원의 정당한 소유자인지 확인하는 신원 증명(Identity Proofing) 및 등록(Enrollment) 절차를 다룬다.
이 문서는 NIST SP 800-63 디지털 신원 지침의 일부로, 신원 확인에 필요한 증빙자료, 검증 절차, 생체정보 활용, 사기 방지, 개인정보 보호 및 계정 등록에 관한 요구사항을 제시한다.
2026년 10월 기준 최신 확정판은 2025년 7월 31일 발행된 NIST SP 800-63A-4이다. 기존 SP 800-63A를 대체하며, 신원 증명의 위험관리와 사기 방지 요구사항을 강화하고 원격 신원 확인에 대한 기술적 기준을 구체화하였다.[1]
| 항목 | 내용 |
|---|---|
| 문서 번호 | NIST SP 800-63A |
| 정식 명칭 | Digital Identity Guidelines: Identity Proofing and Enrollment |
| 한국어 명칭 | 디지털 신원 지침: 신원 증명 및 등록 |
| 발행기관 | NIST |
| 현행 확정판 | SP 800-63A-4 |
| 발행일 | 2025년 7월 31일 |
| 주요 분야 | 디지털 신원 관리, 신원 증명, 비대면 본인확인 |
| 주요 기준 | IAL1, IAL2, IAL3 |
| 관련 문서 | NIST SP 800-63-4, SP 800-63B-4, SP 800-63C-4 |
| 공식 페이지 | NIST CSRC |
| 원문 | NIST Digital Identity Guidelines |
이 지침은 미국 연방기관과 자격증명 서비스 제공자(CSP)를 주요 대상으로 하지만, 금융기관이나 민간 온라인 서비스의 본인확인 체계를 설계할 때도 참고할 수 있다.
다만 신원 증명은 서비스 이용 자격이나 업무상 권한을 결정하는 절차와 구분된다. 신원이 확인되었다고 해서 특정 금융거래, 정부 지원 또는 시스템 접근 권한이 자동으로 부여되는 것은 아니다.
NIST SP 800-63은 디지털 신원 관리를 신원 증명, 인증, 연합 신원 관리로 구분한다.
2025년 발행된 Revision 4는 다음 네 문서로 구성된다.[2]
| 문서 | 정식 명칭 | 주요 내용 |
|---|---|---|
| SP 800-63-4 | Digital Identity Guidelines | 디지털 신원 위험관리와 보증 수준 선정 |
| SP 800-63A-4 | Identity Proofing and Enrollment | 실제 신원 확인과 가입자 등록 |
| SP 800-63B-4 | Authentication and Authenticator Management | 로그인 인증과 인증수단 관리 |
| SP 800-63C-4 | Federation and Assertions | 연합 신원 관리와 인증정보 전달 |
세부 문서는 각각 다른 보증 수준을 사용한다.
- IAL(Identity Assurance Level): 신청자가 주장하는 실제 신원의 신뢰 수준.
- AAL(Authentication Assurance Level): 로그인 과정에서 인증수단을 통해 확인한 신뢰 수준.
- FAL(Federation Assurance Level): 서로 다른 시스템 사이에서 인증정보를 전달할 때의 신뢰 수준.
IAL, AAL, FAL은 서로 독립적으로 선정한다.
예를 들어 실명 확인이 필요 없는 서비스에서도 계정 탈취를 방지하기 위해 AAL2 인증을 요구할 수 있다. 반대로 최초 가입 시 IAL2 수준으로 신원을 확인했다고 해서 이후 로그인 과정이 자동으로 AAL2를 충족하는 것은 아니다.
NIST SP 800-63A-4는 신원 증명을 신원 판별(Resolution) → 신원 검증(Validation) → 신원 확인(Verification)의 세 단계로 구분한다.
신원 증명에 성공하면 가입자 계정을 생성하고 인증수단을 연결하는 등록 절차로 이어진다.[1]
| 단계 | 영문 | 확인 대상 | 주요 방법 |
|---|---|---|---|
| 1 | Identity Resolution | 주장하는 신원이 실제로 존재하며 특정 개인을 가리키는가? | 신원 속성과 증빙자료 수집, 중복 신원 식별 |
| 2 | Identity Validation | 제출한 증빙자료와 속성이 진짜이고 정확한가? | 발급기관 조회, 문서 보안요소 검사, 전자서명 검증 |
| 3 | Identity Verification | 신청자가 해당 신원의 정당한 소유자인가? | 얼굴 비교, 생체정보 비교, 확인 코드, 디지털 자격증명 |
| 등록 | Enrollment | 확인된 신원을 가입자 계정에 연결했는가? | 계정 생성, 인증수단 연결, 등록 통지 |
신원 판별(Identity Resolution)은 신청자가 제시한 신원정보를 바탕으로 서비스 대상 집단에서 특정 개인을 식별하는 과정이다.
주요 활동은 다음과 같다.
- 신원 증빙자료 수집.
- 이름, 생년월일 등 핵심 속성 수집.
- 정부 발급 식별자 확인.
- 동일하거나 유사한 신원의 중복 여부 확인.
- 합성 신원(Synthetic Identity) 등 허위 신원 가능성 식별.
여기서 신원의 유일성은 서비스 제공자가 관리하는 대상 집단을 기준으로 판단한다. 전 세계의 모든 사람을 대상으로 유일성을 보장해야 한다는 의미는 아니다.
신원 검증(Identity Validation)은 제출된 증빙자료와 신원 속성의 진위 및 정확성을 확인하는 과정이다.
증빙자료 검증(Evidence Validation)과 속성 검증(Attribute Validation)을 구분한다.
- 증빙자료 검증: 신분증이나 디지털 자격증명이 위조되지 않았으며 유효한지 확인.
- 속성 검증: 이름, 생년월일, 식별번호 등 신원정보가 권위 있는 출처 또는 신뢰할 수 있는 출처의 정보와 일치하는지 확인.
대표적인 검증 방법은 다음과 같다.
- 신분증의 홀로그램, 미세문자, 보안 인쇄 등 물리적 보안요소 확인.
- MRZ(Machine Readable Zone) 및 바코드 데이터 검사.
- 신분증 발급기관 또는 신뢰할 수 있는 데이터베이스 조회.
- 디지털 신분증의 전자서명 검증.
- 인증서 신뢰 경로(Trust Chain) 확인.
- 제출된 속성 사이의 일관성 검사.
권위 있는 출처(Authoritative Source)는 신원정보를 직접 발급·관리하거나 발급기관의 정보에 직접 접근할 수 있는 출처를 의미한다.
신뢰할 수 있는 출처(Credible Source)는 권위 있는 출처로 추적할 수 있는 정보를 보유하거나 여러 출처의 정보를 교차 검증하여 정확성과 최신성을 관리하는 출처이다.
신원 확인(Identity Verification)은 신청자가 검증된 신원정보의 실제 소유자인지 확인하는 과정이다.
신분증이 진짜라는 사실만으로 이를 제출한 사람이 신분증의 주인이라고 판단할 수는 없다.
따라서 다음과 같은 방법을 사용할 수 있다.
- 신분증 사진과 신청자의 얼굴 비교.
- 등록된 생체정보와 신청자의 생체정보 비교.
- 검증된 주소로 전달한 확인 코드 회신.
- 검증된 금융계좌에 전달한 소액 거래값 확인.
- 기존 디지털 계정에 대한 인증 수행.
- 암호학적으로 검증 가능한 디지털 자격증명의 소유 확인.
허용되는 방법과 요구되는 강도는 IAL 및 증빙자료 유형에 따라 달라진다.
NIST SP 800-63A-4는 신원 보증 수준(Identity Assurance Level, IAL)을 세 단계로 구분한다.
신원 증명이 필요하지 않은 경우는 별도로 취급한다.
| 수준 | 주요 요구사항 | 주요 방어 대상 |
|---|---|---|
| 증명 없음 | 실제 인물과의 연결이 요구되지 않음 | 해당 없음 |
| IAL1 | 실제 신원의 존재 및 신청자와의 연관성을 일정 수준 확인 | 대량 자동 가입, 합성 신원, 유출된 개인정보 악용 |
| IAL2 | 추가 증빙과 강화된 검증·확인 절차 | 표적 신원 도용, 기본적인 증빙 위조, 사회공학 |
| IAL3 | 현장 유인 신원 증명 및 생체정보 수집 | 정교한 신원 위조, 도용, 부인 및 고도화된 사회공학 |
IAL은 특정 기술이나 신분증 종류만으로 결정되지 않는다.
증빙자료의 강도, 발급 과정의 신뢰성, 검증 방법, 신청자 확인 방법 및 운영 절차가 함께 요구사항을 충족해야 한다.
IAL1은 신청자가 주장하는 신원이 실제로 존재하며 신청자가 해당 신원과 연관되어 있다는 일정 수준의 확신을 제공한다.
주요 요구사항은 다음과 같다.
- FAIR, STRONG, SUPERIOR 가운데 적격 증빙자료 한 개 이상 수집.
- 정부 발급 식별자를 포함한 핵심 속성 수집.
- 모든 핵심 속성을 권위 있는 출처 또는 신뢰할 수 있는 출처와 대조.
- 제출한 증빙자료의 진위 검증.
- 허용된 방법으로 신청자의 증빙자료 소유 여부 확인.
- 성공적으로 신원을 확인한 신청자를 가입자로 등록.
IAL1에서는 자동 생체정보 비교가 필수는 아니다.
확인 코드, 금융계좌의 소액 거래값, 기존 디지털 계정 인증 또는 얼굴 비교 등 허용된 방법을 사용할 수 있다.
IAL1은 원격 무인, 원격 유인, 현장 무인, 현장 유인 방식으로 수행할 수 있다.
IAL2는 IAL1보다 강한 증빙자료와 검증 절차를 요구한다.
증빙자료는 다음 조합 중 하나를 충족해야 한다.
- FAIR 증빙자료 1개와 STRONG 증빙자료 1개.
- STRONG 증빙자료 2개.
- SUPERIOR 증빙자료 1개.
IAL2는 신청자의 신원을 확인하는 방법을 다음 세 경로로 구분한다.
| 경로 | 영문 | 주요 방법 |
|---|---|---|
| 비생체 경로 | Non-Biometric Pathway | 확인 코드, 담당자의 육안 얼굴 비교 등 |
| 디지털 증빙 경로 | Digital Evidence Pathway | 디지털 계정 인증, 암호학적 자격증명 검증 등 |
| 생체 경로 | Biometric Pathway | 신청자의 생체정보와 증빙자료에 연결된 생체정보의 자동 비교 |
각 경로에는 증빙자료 강도별로 허용되는 확인 방법이 별도로 규정되어 있다.
따라서 IAL2를 달성하기 위해 반드시 얼굴인식 기술을 사용해야 하는 것은 아니다.
다만 원격 무인·원격 유인·현장 무인 방식에서는 제출한 모든 증빙자료의 소유 여부를 확인해야 한다. 현장 유인 방식에서는 가장 강한 증빙자료의 소유 여부를 확인하도록 규정한다.
IAL3은 가장 높은 신원 보증 수준이다.
IAL2보다 엄격한 절차를 요구하며 다음 사항이 추가된다.
- 현장 유인(On-Site Attended) 방식으로 신원 증명 수행.
- 훈련된 신원 증명 담당자의 참여.
- 신청자의 생체정보 한 종류 이상 수집.
- 수집한 생체정보의 보관.
- 가장 강한 증빙자료의 소유 여부 확인.
- 높은 수준의 신원 위조 및 부인 위험에 대응.
증빙자료 조합은 IAL2와 마찬가지로 FAIR 1개와 STRONG 1개, STRONG 2개 또는 SUPERIOR 1개 중 하나를 충족해야 한다.
IAL3의 현장 유인 방식에서 담당자가 반드시 신청자와 같은 장소에 있어야 하는 것은 아니다.
NIST는 CSP가 통제하는 현장 키오스크나 장치를 통해 담당자가 원격으로 참여하는 방식도 허용한다.
다만 신청자가 임의의 장소에서 자신의 장치로 참여하는 일반적인 원격 신원 증명과는 구분된다.
IAL3에서는 계정 복구 및 부인 방지 등을 지원하기 위해 신청자의 생체정보를 수집하고 보관해야 한다.[1]
NIST SP 800-63A-4는 신원 증빙자료(Identity Evidence)를 FAIR, STRONG, SUPERIOR의 세 단계로 구분한다.
증빙자료의 강도는 단순히 발급기관의 명칭이나 문서의 종류만으로 결정되지 않는다.
다음 요소를 종합적으로 고려한다.
- 증빙자료 발급 과정에서 수행한 신원 확인의 엄격성.
- 발급기관의 신뢰성 및 감독체계.
- 증빙자료에 포함된 신원 속성.
- 위조 방지를 위한 물리적·디지털 보안요소.
- 증빙자료의 진위와 유효성을 검증할 수 있는 능력.
- 신청자가 증빙자료의 정당한 소유자인지 확인할 수 있는 능력.
FAIR는 일정 수준의 신원 확인을 거쳐 발급되고 진위와 속성을 검증할 수 있는 증빙자료이다.
주요 요건은 다음과 같다.
- 발급기관이 공식적인 절차에 따라 신원 확인을 수행.
- 증빙자료에 신원 소유자의 이름 포함.
- 식별번호, 얼굴 사진, 생체정보 또는 개인을 구별할 수 있는 속성 포함.
- 위조를 어렵게 하는 물리적 또는 디지털 보안요소 존재.
- 권위 있는 출처나 신뢰할 수 있는 출처를 통한 핵심 속성 검증 가능.
예를 들어 일정한 신원 확인 절차를 거쳐 개설된 금융계좌나 이동통신 계정에 관한 증빙이 해당 요건을 충족할 수 있다.
다만 모든 금융계좌나 통신계정이 자동으로 FAIR 증빙자료에 해당하는 것은 아니다.
STRONG는 발급 과정에 대한 감독과 더 엄격한 신원 확인을 요구하는 증빙자료이다.
주요 요건은 다음과 같다.
- 문서화된 신원 확인 절차에 따라 발급.
- 발급 절차에 대한 정기적인 규제 또는 공적 감독.
- 소유자의 이름과 고유 식별정보 포함.
- 얼굴 사진 또는 다른 생체정보 포함.
- 물리적 또는 디지털 보안요소 존재.
- 핵심 속성과 증빙자료의 진위 검증 가능.
정부 발급 사진 신분증 등이 이러한 요건을 충족할 수 있다.
실제 분류는 해당 신분증의 발급 및 검증 체계에 따라 결정된다.
SUPERIOR는 강한 신원 확인 절차와 암호학적 보호를 결합한 증빙자료이다.
주요 요건은 다음과 같다.
- 높은 신뢰 수준의 신원 확인 절차를 거쳐 발급.
- 발급 과정에서 담당자가 참여하는 신원 증명 수행.
- 증빙자료의 속성과 데이터가 암호학적으로 보호됨.
- 발급기관의 전자서명 검증 가능.
- 승인된 암호기술을 이용한 무결성 및 진위 확인 가능.
- 신원 소유자에게 안전하게 전달되는 발급 절차 존재.
암호학적으로 보호되는 디지털 신분증이나 자격증명이 이러한 요건을 충족할 수 있다.
SUPERIOR 증빙자료는 전자서명과 발급기관의 신뢰 경로를 검증해야 한다.
암호학적 검증에 실패한 SUPERIOR 증빙자료는 다른 검증 요건을 충족하는 경우 STRONG 증빙자료로 취급할 수 있다.
NIST SP 800-63A-4는 신원 증명을 수행하는 장소와 담당자의 참여 여부에 따라 네 가지 방식을 정의한다.
| 방식 | 영문 | 장소·장치 | 담당자 |
|---|---|---|---|
| 원격 무인 | Remote Unattended | CSP가 통제하지 않는 장소와 장치 | 없음 |
| 원격 유인 | Remote Attended | CSP가 통제하지 않는 장소와 장치 | 보안 화상 세션 참여 |
| 현장 무인 | On-Site Unattended | CSP가 통제하는 장소와 장치 | 없음 |
| 현장 유인 | On-Site Attended | CSP가 통제하는 장소와 장치 | 직접 또는 통제된 장치를 통해 참여 |
신청자가 자신의 스마트폰이나 컴퓨터 등을 이용하여 자동화된 신원 증명 절차를 수행한다.
예를 들어 신분증 촬영, 신분증 진위 검사, 얼굴 영상 수집 및 자동 비교를 결합할 수 있다.
이 방식에서는 다음 위협을 고려해야 한다.
- 위조 신분증 이미지 제출.
- 가상 카메라 사용.
- 조작된 영상 주입.
- 딥페이크를 이용한 타인 사칭.
- 자동화된 대량 가입 시도.
신청자가 보안 화상 세션을 통해 신원 증명 담당자와 상호작용한다.
담당자는 신분증의 보안요소를 확인하거나 신청자의 얼굴과 증빙자료를 비교할 수 있다.
화상 품질은 필요한 검증 작업을 수행할 수 있는 수준이어야 하며, 담당자는 영상 조작이나 사회공학 공격의 징후를 식별하도록 훈련받아야 한다.
CSP가 통제하는 키오스크나 워크스테이션에서 자동화된 신원 증명 절차를 수행한다.
장치에 대한 물리적 변조 방지와 정기적인 점검이 요구된다.
신청자가 CSP가 통제하는 장소에서 담당자의 참여하에 신원 증명 절차를 수행한다.
IAL3은 이 방식을 요구한다.
담당자는 신청자의 신원 증빙자료와 생체정보를 확인하고 필요한 절차를 수행한다.
Revision 4는 신원 증명 과정에서 발생하는 사기 위험을 관리하기 위한 요구사항을 강화하였다.
CSP는 사기 식별, 탐지, 조사, 보고 및 해결 기능을 갖춘 사기 관리 프로그램(Fraud Management Program)을 수립하고 유지해야 한다.[1]
| 위협 | 영문 | 설명 |
|---|---|---|
| 자동화된 가입 시도 | Automated Enrollment Attempts | 스크립트와 자동화 도구를 이용한 대량 가입 |
| 증빙자료 위조 | Evidence Falsification | 신분증 등 증빙자료의 생성·변조 |
| 합성 신원 사기 | Synthetic Identity Fraud | 실제 인물과 연결되지 않는 허위 신원 구성 |
| 신원 도용 | Fraudulent Use of Identity | 타인의 신원정보나 증빙자료를 무단 사용 |
| 사회공학 | Social Engineering | 기만이나 강요를 통해 신원 증명 절차 악용 |
| 허위 속성 주장 | False Claims | 실제 신원에 거짓 주소·자격 등의 속성 연결 |
| 영상 주입 | Video or Image Injection | 조작된 이미지·영상을 신원 확인 시스템에 주입 |
NIST는 생성형 AI를 독립적인 위협 유형으로 분류하기보다, 기존 신원 위조 및 사칭 공격을 강화하거나 대규모로 수행하는 수단으로 설명한다.
CSP는 다음과 같은 사기 탐지 방법을 고려할 수 있다.
- SIM 스와핑 여부 확인.
- 전화번호나 계정의 사용 기간 확인.
- 우편 주소의 위험 특성 검사.
- 장치 지문(Device Fingerprinting) 분석.
- IP 주소 및 접속 위치 분석.
- 짧은 시간 동안 발생하는 대량 신청 탐지.
- 과거 사기 이력 및 위험 지표 확인.
- 중복 가입 및 동일 신원 재사용 탐지.
모든 사기 탐지 기술을 무조건 적용해야 하는 것은 아니다.
CSP는 서비스 이용자와 신원 증명 방식에 적합한 통제를 선정하고, 개인정보 보호 위험을 평가해야 한다.
또한 자동화된 사기 탐지의 오탐으로 정상 신청자가 부당하게 거절되지 않도록 처리 절차를 마련해야 한다.
NIST SP 800-63A-4는 지식 기반 검증(KBV, Knowledge-Based Verification)을 신원 확인 방법으로 사용해서는 안 된다고 규정한다.
KBV는 과거 주소, 거래 이력 등 신청자만 알 것으로 예상되는 개인정보에 관한 질문으로 신원을 확인하는 방식이다.
이러한 정보는 개인정보 유출, 공개 기록 또는 데이터 브로커 등을 통해 공격자에게 알려질 수 있다.
다만 KBV를 사기 관리 프로그램의 보조적인 위험 판단 수단으로 사용하는 것은 허용한다.
따라서 신원 확인 수단으로 사용하는 것과 사기 탐지를 위한 보조 신호로 사용하는 것을 구분해야 한다.
NIST SP 800-63A-4는 생체정보를 신원 확인과 중복 신원 탐지에 활용할 수 있도록 규정한다.
주요 활용 목적은 다음과 같다.
- 신청자와 증빙자료의 생체정보 비교.
- 신원 증명 과정에 참여한 사람의 동일성 확인.
- 동일인이 여러 신원으로 가입하는 행위 탐지.
- IAL3에서 계정 복구와 부인 방지를 지원하기 위한 생체정보 보관.
NIST는 생체정보를 사용하는 CSP에 대해 성능 기준과 시험 요구사항을 규정한다.
| 항목 | 영문 | 요구 기준 |
|---|---|---|
| 오일치율 | False Match Rate (FMR) | 1/10,000 이하 |
| 오불일치율 | False Non-Match Rate (FNMR) | 1/100 이하 |
| 1:N 오식별률 | False Positive Identification Rate (FPIR) | 1/1,000 이하 |
| 원격 제시 공격 수락률 | Impostor Attack Presentation Accept Rate (IAPAR) | 0.07 미만 |
1:1 비교는 신청자가 주장하는 신원과 생체정보가 일치하는지 확인하는 방식이다.
1:N 비교는 생체정보를 여러 등록 기록과 대조하여 중복 등록이나 다른 신원의 사용 여부를 확인하는 방식이다.
1:N 비교에서 일치 결과가 나왔다는 이유만으로 신청자의 등록을 거절해서는 안 되며, 자동 판정의 오탐 여부를 수동으로 검토해야 한다.
생체정보 비교 기술은 인구집단에 따라 오류율이 달라질 수 있다.
NIST는 생체정보 검증 기술의 성능이 특정 인구집단에서 전체 인구집단의 성능보다 25%를 초과하여 나빠지지 않도록 요구한다.
시험에서 고려할 인구통계학적 요소에는 성별, 연령 및 피부색 등이 포함된다.
또한 생체정보 인식 및 공격 탐지 알고리즘은 독립적인 기관을 통한 정기적인 성능 시험을 받아야 한다.
생체정보를 수집하는 CSP에는 다음 요구사항이 적용된다.
- 생체정보 수집·이용에 대한 명시적이고 충분한 설명에 근거한 동의 획득.
- 동의 기록을 가입자 계정과 연결하여 보관.
- 수집 목적과 사용 방식 공개.
- 기본 보존 기간과 삭제 절차 공개.
- 관련 법령과 정책에 따른 보존 및 폐기.
- 생체정보 처리에 따른 개인정보 보호 위험 평가.
IAL3에서 생체정보 보관이 요구된다는 사실이 무기한 보관을 허용한다는 의미는 아니다.
Revision 4는 디지털 영상 주입 공격과 위조 미디어 탐지에 관한 요구사항을 명시하였다.
영상 주입 공격(Injection Attack)은 실제 카메라나 센서에서 수집된 데이터 대신 조작된 이미지 또는 영상을 신원 확인 시스템에 전달하는 공격이다.
예를 들어 공격자는 가상 카메라나 장치 에뮬레이터를 이용하여 실시간 촬영 영상처럼 보이는 합성 영상을 제출할 수 있다.
원격 신원 증명에서 광학적 증빙자료 검사, 생체정보 수집 또는 화상 세션을 사용하는 경우 다음 조치가 요구된다.
- 디지털 미디어가 실제 센서에서 생성되었는지에 대한 신뢰성 확보.
- 가상 카메라, 장치 에뮬레이터 등 위험 요소 탐지.
- 제출된 이미지와 영상의 조작·변조 징후 분석.
- 자동 탐지 알고리즘의 오탐 및 미탐 성능 시험.
- 인증되고 보호된 통신 채널 사용.
- 위조 미디어 탐지 결과의 문서화.
추가적인 권고사항에는 장치 증명(Device Attestation), 센서 인증 및 알려진 생성형 AI 영상 조작 도구의 흔적 탐지가 포함된다.
생체 제시 공격 탐지(PAD, Presentation Attack Detection)는 사진, 영상, 마스크 등으로 생체인식 시스템을 속이려는 시도를 탐지하는 기술이다.
NIST는 원격 생체정보 수집 및 비교 과정에서 PAD 적용을 요구한다.
그러나 PAD만으로 모든 영상 주입 공격을 방어할 수 있는 것은 아니다.
따라서 장치의 신뢰성 확인, 미디어 조작 탐지 및 보호된 통신 채널 등 여러 통제를 결합해야 한다.[1]
확인 코드(Confirmation Code)는 신청자가 특정 주소나 연락 수단에 접근할 수 있는지 확인하는 데 사용한다.
일부 IAL1·IAL2 신원 확인 절차에서도 활용할 수 있다.
NIST는 확인 코드에 대해 다음 요구사항을 규정한다.
- 승인된 난수 생성기를 사용하여 최소 6자리 십진수 또는 동등한 강도의 코드 생성.
- 사용 후 코드 무효화.
- 전달 수단별 유효기간 제한.
| 전달 수단 | 최대 유효기간 |
|---|---|
| 미국 본토 내 우편 주소 | 21일 |
| 미국 본토 외 우편 주소 | 30일 |
| 전화번호(SMS 또는 음성) | 10분 |
| 이메일 주소 | 24시간 |
위 기간은 확인 코드에 관한 기준이며, 로그인용 일회용 비밀번호의 일반적인 유효기간을 규정한 것은 아니다.
연속 코드(Continuation Code)는 신청자가 하나의 세션에서 신원 증명 절차를 완료하지 못한 경우 후속 세션과 연결하기 위해 사용하는 임시 비밀값이다.
예를 들어 온라인에서 신원정보를 제출한 뒤 현장 방문을 통해 확인 절차를 완료하는 경우 사용할 수 있다.
주요 요구사항은 다음과 같다.
- 승인된 난수 생성기로 최소 64비트의 무작위 값 생성.
- 해시 형태로 저장.
- 코드 검증 시 시도 횟수 제한 적용.
- 사용 후 코드 무효화.
NIST는 연속 코드의 일률적인 만료기간을 정하지 않으며, CSP가 운영 환경에 따라 결정하도록 한다.
CSP는 신원 증명에 성공한 신청자에게 완료 사실을 통지해야 한다.
통지에는 다음 정보가 포함되어야 한다.
- 신원 증명 서비스를 제공한 기관의 명칭.
- 신원 증명 완료 날짜.
- 본인이 참여하지 않은 절차라고 주장할 수 있는 방법.
- 수집된 개인정보의 보호 방법.
- 가입자로서 준수해야 하는 사항.
IAL1에서는 검증된 이메일 주소로 통지할 수 있다.
IAL2와 IAL3에서는 검증된 우편 주소 또는 전화번호로 통지해야 한다.
일부 신청자는 일반적인 신원 증명 절차에 필요한 신분증이나 장치를 보유하지 못할 수 있다.
또한 장애, 고령, 주소 불일치, 이름 변경 또는 기술적 접근성 문제로 표준 절차를 완료하기 어려울 수 있다.
NIST SP 800-63A-4는 이러한 상황을 처리하기 위한 예외 절차를 규정한다.
신뢰 심사 담당자(Trusted Referee)는 일반적인 신원 증명 요구사항을 충족하기 어려운 신청자의 사례를 검토하고 위험 기반 결정을 수행하도록 훈련받은 담당자이다.
예를 들어 다음 상황에서 활용할 수 있다.
- 필요한 신원 증빙자료를 보유하지 못한 경우.
- 이름이나 주소 변경으로 증빙자료의 정보가 일치하지 않는 경우.
- 일반적인 자동화 검증에 실패한 경우.
신뢰 심사 담당자는 일반적인 신원 증명 담당자보다 예외 처리에 필요한 추가적인 훈련과 자원을 제공받는다.
신청자 참조인(Applicant Reference)은 신청자의 신원이나 특정 속성에 관해 진술할 수 있는 사람이다.
신청자 참조인은 신청자를 대신하여 신원 증명 절차를 수행하는 사람이 아니라, 신원 판단에 필요한 정보를 제공하는 역할을 한다.
CSP는 참조인의 자격, 신청자와의 관계 및 증빙자료를 확인하기 위한 정책과 절차를 수립해야 한다.
18세 미만 신청자에 대해서는 별도의 신원 증명 정책과 절차가 필요하다.
NIST는 미성년자를 대상으로 신원 증명 서비스를 제공하는 CSP가 신청자 참조인을 활용할 수 있도록 지원할 것을 요구한다.
또한 13세 미만 아동에 대해서는 적용되는 아동 개인정보 보호 관련 법령을 준수해야 한다.
신원 증명 과정에서는 이름, 생년월일, 주소, 정부 발급 식별자, 신분증 이미지 및 생체정보 등 민감한 개인정보가 처리될 수 있다.
NIST SP 800-63A-4는 이러한 정보를 보호하기 위한 요구사항을 제시한다.
CSP는 신원 증명에 필요한 최소한의 속성과 증빙자료를 수집해야 한다.
서비스 제공에 추가적인 속성이 필요한 경우 개인정보 보호 위험 평가를 수행하고 수집 목적을 명확히 해야 한다.
CSP에는 다음과 같은 보안 요구사항이 적용된다.
- 저장된 개인정보의 암호화.
- 인증되고 보호된 통신 채널 사용.
- 개인정보의 기밀성과 무결성 보호.
- 신원 증명 서비스에 대한 보안 및 개인정보 보호 위험 평가.
- 제3자 서비스 및 공급망 위험 평가.
- 적절한 접근통제와 감사 기능 구현.
NIST는 IAL과 관계없이 CSP가 NIST SP 800-53의 Moderate 기준선에 부합하는 적절한 보안 통제를 적용하도록 요구한다.
CSP는 신원 증명 실패, 지연, 오류 및 계정 침해 등으로 발생하는 문제를 해결할 수 있는 구제 절차(Redress)를 제공해야 한다.
구제 절차는 신청자가 쉽게 찾고 이용할 수 있어야 하며, CSP는 실제로 문제가 해결되는지 효과성을 평가해야 한다.
신원 증명에 성공하면 CSP는 신청자를 가입자(Subscriber)로 등록하고 계정을 생성한다.
가입자 계정에는 확인된 신원 속성과 연결된 인증수단에 관한 정보가 포함될 수 있다.
주요 관리 활동은 다음과 같다.
- 고유 가입자 계정 생성.
- 검증된 연락 주소 유지.
- 인증수단의 최초 연결.
- 신원 속성 변경 관리.
- 신원 보증 수준 상향.
- 계정 정지 및 종료.
- 계정 침해와 개인정보 유출에 대한 통지.
NIST는 계정 복구의 필요성을 줄이기 위해 가입자가 서로 다른 인증수단을 최소 두 가지 연결하도록 권장한다.
신원 증명 이후의 인증수단 등록과 관리에 관한 상세 요구사항은 SP 800-63B에서 다룬다.
2025년 확정된 Revision 4는 기존 SP 800-63A에 비해 다음 사항을 변경하였다.[1]
| 분야 | 주요 변경사항 |
|---|---|
| 문서 구조 | 공통 요구사항과 IAL별 요구사항 분리 |
| 신원 속성 | 핵심 속성(Core Attributes) 개념 도입 |
| 증빙자료 | 신원 속성 수집과 증빙자료 수집의 구분 명확화 |
| IAL1 | 실제 신원 증명 요구사항 강화 |
| IAL2 | 증빙자료 조합과 확인 방법 조정 |
| 생체정보 | IAL1·IAL2에서 비생체 확인 방법 확대 |
| 사기 관리 | 사기 탐지·조사·보고·해결 프로그램 요구사항 강화 |
| 생성형 AI 위협 | 영상 주입 및 위조 미디어 탐지 요구사항 도입 |
| 검증 출처 | 신뢰할 수 있는 출처(Credible Source)의 활용 확대 |
| 개인정보 보호 | CSP별 개인정보 보호 위험 평가 강화 |
| 예외 처리 | 신뢰 심사 담당자 및 신청자 참조인 관련 요구사항 도입 |
| 계정 관리 | 가입자 계정의 관리·정지·종료 관련 요구사항 추가 |
특히 이전 판본에서 IAL1이 자기 주장 신원에 가까운 수준으로 사용되던 것과 달리, Revision 4에서는 IAL1에서도 실제 신원에 대한 증빙자료 수집과 검증을 요구한다.
실제 신원 증명이 필요하지 않은 경우는 별도로 구분한다.
| 시기 | 판본 | 주요 내용 |
|---|---|---|
| 2017년 | SP 800-63A | Revision 3 체계의 신원 증명 및 등록 지침 |
| 2020년 3월 | SP 800-63A 갱신 | 기존 지침의 갱신판 |
| 2022년 12월 16일 | SP 800-63A-4 공개 초안 | Revision 4 개정안 공개 |
| 2024년 8월 21일 | SP 800-63A-4 공개 초안 | 개정 초안 추가 공개 |
| 2025년 7월 31일 | SP 800-63A-4 확정판 | 기존 SP 800-63A 대체 |
2026년 10월 기준 NIST CSRC에서 확인되는 최신 확정판은 SP 800-63A-4이다.[3]
NIST SP 800-63A-4는 본문 8개 장과 부록으로 구성된다.
| 구분 | 영문 제목 | 주요 내용 |
|---|---|---|
| 제1장 | Introduction | 문서의 목적, 적용 범위 및 신원 보증 수준 |
| 제2장 | Identity Proofing Overview | 신원 판별·검증·확인 절차와 증빙자료 |
| 제3장 | Identity Proofing Requirements | 공통 신원 증명 요구사항 |
| 제4장 | Identity Assurance Level Requirements | IAL1·IAL2·IAL3별 요구사항 |
| 제5장 | Subscriber Accounts | 가입자 계정의 생성 및 관리 |
| 제6장 | Threats and Security Considerations | 신원 증명 위협과 보안 고려사항 |
| 제7장 | Privacy Considerations | 개인정보 보호 고려사항 |
| 제8장 | Customer Experience Considerations | 사용자 경험과 접근성 |
| 부록 A | Identity Evidence Examples | 강도별 신원 증빙자료 예시 |
| 부록 B | Acronyms | 약어 |
| 부록 C | Glossary | 용어 정의 |
| 부록 D | Change Log | 개정 내역 |
제2장부터 제5장까지는 규범적 요구사항(Normative Requirements)을 포함한다.
제1장과 제6장부터 제8장까지는 설명 및 참고 목적의 내용을 중심으로 구성된다.
| 문서 | 주요 목적 | SP 800-63A와의 차이 |
|---|---|---|
| NIST SP 800-63-4 | 디지털 신원 위험관리 | 서비스의 위험에 따라 IAL·AAL·FAL을 선정하는 상위 지침 |
| NIST SP 800-63B-4 | 인증 및 인증수단 관리 | 신원 증명 이후 로그인 인증과 인증수단의 수명주기 관리 |
| NIST SP 800-63C-4 | 연합 신원 관리 | 신원 제공자와 서비스 사이의 인증정보 전달 및 신뢰 관계 관리 |
| NIST SP 800-53 | 보안 및 개인정보 보호 통제 | 신원 관리 서비스를 포함한 정보시스템 전반의 보안 통제 제공 |
| NIST SP 800-161 | 공급망 위험관리 | 신원 증명 서비스에 사용되는 외부 공급업체 및 기술의 공급망 위험관리 |
SP 800-63A는 신원 확인 기술의 단일 구현 방법을 강제하는 문서가 아니다.
CSP는 해당 IAL의 요구사항을 충족하는 범위에서 여러 증빙자료와 확인 방법을 조합할 수 있다.
또한 문서의 SHALL, SHOULD, MAY는 각각 필수 요구사항, 권고사항, 허용사항을 의미한다. 이러한 규범적 표현은 지침 내부의 준수 기준이며, 모든 민간기업에 법적 의무가 자동으로 발생한다는 의미는 아니다.
- ↑ 1.0 1.1 1.2 1.3 1.4 1.5 NIST, Digital Identity Guidelines: Identity Proofing and Enrollment, NIST SP 800-63A-4, 2025-07-31.
- ↑ NIST, Digital Identity Guidelines, NIST SP 800-63-4, 2025-07-31.
- ↑ NIST Computer Security Resource Center, SP 800-63A-4, Digital Identity Guidelines: Identity Proofing and Enrollment, 확인: 2026-10-25.