통합 앱 내 신규 부가서비스(모바일 신분증 등) 탑재 시 관리체계 범위 설정 및 망분리 쟁점

핵심 판단

하나의 앱에 인터넷뱅킹·모바일 신분증·DID 등 적용 법령이 다른 서비스가 혼재하면, 신규 서비스의 백엔드 연계 자산이 인증범위·자산대장·흐름도(DFD)에 빠짐없이 편입되고 사전 위험평가가 수행되었는지가 핵심 판단 기준이다. 특히 외부기관 연계가 계정계 DB와 직접 통신하면 전자금융감독규정상 망분리·접근통제 원칙 위반이 된다.

배경

금융기관은 사용자 편의를 위해 다양한 서비스를 통합 앱에 탑재하지만, 서비스별 규제(전자금융거래법 vs 전자정부법 등)와 연계 아키텍처가 달라 관리체계 범위 판단이 모호해진다. 신규 부가서비스를 '외부 서비스'로 간주해 자산 식별과 위험평가에서 누락하는 사례가 반복된다.

주요 쟁점 및 심사 포인트

• 신규 서비스 백엔드 연계 서버·DB·API가 정보자산 식별과 인증범위에 편입되었는가
• 연계 구간에 대한 사전 위험평가(신규/변경 시)가 수행되었는가
• 외부기관 연계가 계정계와 직접 통신하지 않고 DMZ 중계 구간을 경유하는가

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 1.1.4 범위 설정
• 1.2.1 정보자산 식별
• 1.2.3 위험 평가
• 2.1.3 정보자산 관리
• 2.6.1 네트워크 접근

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「전자금융거래법」 제21조(안전성의 확보의무)
  • 전자금융거래의 안전성 확보를 위해 정보기술부문에 관한 기술적·물리적·관리적 조치를 하도록 규정 → 신규 탑재 서비스도 동일 수준의 통제 대상.
• 「전자금융감독규정」 제15조(해킹 등 방지대책)
  • 내부통신망과 외부통신망의 분리(망분리), 외부 접속통제 등을 규정 → 외부기관 연계가 내부 계정계와 직접 통신하면 위반 소지.
• 「전자정부법」 및 모바일 신분증 관련 지침
  • 모바일 신분증 검증·연계에 적용되는 별도 규율 → 서비스별 상이한 법적 준거성 검토 필요.(적용범위는 국가법령정보센터 최신본 재확인 권장)

참고 가이드

• 「전자금융감독규정 해설」(금융감독원)
• 「금융권 ISMS-P 인증기준 점검항목 안내서」(금융보안원)

심사 시 확인사항 (증적)

• 정보자산 목록·DFD에 신규 연계 서버/DB/API 포함 여부
• 신규·변경 시 위험평가 수행 결재문서 및 위험처리계획
• 네트워크 구성도상 계정계-외부기관 직접 통신 경로 존재 여부, 방화벽 정책
• 연계 구간 트래픽 로그 및 접근권한 부여 내역

주요 결함 사례

통합 앱에 신규 탑재된 모바일 신분증 검증 연계 서버가 자산대장에서 누락되고, 해당 연계 구간에 대한 사전 위험평가가 실시되지 않음.

보완 대책

1. DFD 재도출로 연계 인프라를 자산대장에 편입하고 신규/변경 위험평가 절차에 포함
2. 외부기관 연계는 DMZ 중계 서버를 통한 세션 분리 방식으로 재설계하고 계정계 직접 통신 차단

연관 쟁점

• [ISSUE-031] 망분리 유예/예외 적용 시 대체 보안통제 이행 쟁점
• [ISSUE-019] 위험평가 자산식별 객관성 및 DoA 초과 위험수용 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)