생체인식정보 보관·처리 및 FIDO 기반 인증 쟁점

핵심 판단

생체인식정보(바이오정보)의 수집·이용에 별도 동의·법적근거가 있고, 원본 대신 특징정보·템플릿을 안전하게 저장(암호화)하거나 FIDO처럼 단말 내 보관·서버 미전송 방식을 채택하는지가 핵심이다.

배경

생체정보는 민감·고유식별성이 높아 유출 시 대체 불가하다. 원본 저장·서버 집중 보관, 암호화 미흡, 동의 근거 부재가 결함이 된다.

주요 쟁점 및 심사 포인트

• 생체정보 수집·이용의 법적 근거·별도 동의 여부
• 원본 대신 특징정보/템플릿 사용 및 암호화·분리보관 여부
• FIDO 등 단말 내 보관·서버 미전송 아키텍처 채택 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 3.1.4 민감정보 및 고유식별정보의 처리 제한
• 2.7.1 암호정책 적용
• 2.5.3 사용자 인증

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보 보호법」 제23조(민감정보의 처리 제한)
  • 생체인식정보 등 민감정보 처리 시 별도 동의 또는 법령 근거 필요.(바이오정보의 민감정보 해당 여부는 처리방식에 따름, 최신 해설 확인 권장)
• 「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화)
  • 바이오정보 등 저장·전송 시 암호화 의무.

참고 가이드

• 바이오정보 보호 가이드라인(개인정보보호위/KISA)
• 「개인정보의 안전성 확보조치 기준 안내서」 암호화 부분

심사 시 확인사항 (증적)

• 생체정보 수집 동의·법적근거 및 처리 목적
• 저장 형태(원본/특징정보)·암호화·분리보관 증적
• FIDO 등 인증 아키텍처 설계 문서

주요 결함 사례

지문 원본 이미지를 서버에 집중 저장하고 암호화가 미흡하며, 생체정보 수집에 대한 별도 동의 근거가 확인되지 않음.

보완 대책

1. 원본 대신 특징정보 사용·암호화·분리보관, 가능 시 FIDO 단말보관 채택
2. 생체정보 수집 별도 동의·법적근거 정비 및 접근통제 강화

연관 쟁점

• [ISSUE-011] 개인정보 암호화 알고리즘 적정성 및 KMS 암호키 관리 쟁점
• [ISSUE-028] 비밀번호 수립규칙 및 MFA(2차 인증) 적용 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)