전자서명 인증서 발급·갱신 전 확인할 것: 종류·유효기간·신원확인

관공서 사이트에 로그인하거나 전자계약을 하려다가 “인증서 유효기간이 지났다”는 안내를 받는 경우가 있습니다. 공동인증서, 간편인증, 전자서명인증서처럼 부르는 이름이 여러 가지라서 내가 쓰는 인증서가 어떤 종류인지, 어디서 다시 받아야 하는지 헷갈리기 쉽습니다. 아래에서는 발급이나 갱신을 하기 전에 전자서명법과 하위법령을 기준으로 무엇을 확인하면 되는지 순서대로 살펴봅니다.

법이 말하는 인증서와 전자서명의 효력

전자서명법은 인증서를 “전자서명생성정보가 가입자에게 유일하게 속한다는 사실 등을 확인하고 이를 증명하는 전자적 정보”로 정의합니다. 인증서를 내주는 쪽은 전자서명인증사업자, 사업자로부터 전자서명인증을 받은 사람은 가입자, 사업자의 전자서명인증서비스를 이용하는 사람은 이용자로 구분됩니다.

전자서명은 전자적 형태라는 이유만으로 서명, 서명날인 또는 기명날인으로서의 효력이 부인되지 않습니다. 법령의 규정이나 당사자 간의 약정에 따라 서명·서명날인·기명날인 방식으로 전자서명을 선택했다면 그 전자서명은 서명으로서의 효력을 가집니다.

이번에 참고한 법령 본문에는 ’공동인증서’나 ’간편인증’이라는 명칭이 따로 나오지 않습니다. 대신 국가가 생체인증, 블록체인 등 다양한 전자서명수단의 이용 활성화를 위해 노력해야 하고, 법률·대통령령 등에서 전자서명수단을 특정한 경우를 제외하면 특정한 전자서명수단만 쓰도록 제한해서는 안 된다고 정하고 있습니다. 그래서 이름보다는 발급한 사업자가 어떤 조건으로 서비스를 운영하는지를 보는 것이 실제 판단에 더 도움이 됩니다.

발급처가 ’인정받은 사업자’인지 먼저 볼 것

전자서명인증사업자는 인정기관으로부터 운영기준 준수사실의 인정을 받을 수 있고, 그 전에 평가기관의 평가를 먼저 받아야 합니다. 인정을 받으려는 사업자는 국가기관, 지방자치단체 또는 법인이어야 합니다. 인정기관으로는 한국인터넷진흥원이 지정될 수 있습니다.

인정기관은 사업자에게 인정 증명서를 발급하면 그 사실을 인터넷 홈페이지에 공고해야 하고, 인정을 취소한 경우에도 홈페이지에 공고해야 합니다. 인정을 받지 않았거나 유효기간이 지나는 등의 사유로 인정 효력을 잃은 자는 운영기준 준수 표시나 이와 비슷한 표시를 할 수 없습니다.

인정 여부가 중요한 이유는 신원확인, 인증업무준칙 게시, 손해배상과 보험 같은 가입자 보호 의무가 ’운영기준 준수사실의 인정을 받은 전자서명인증사업자’에게 걸려 있기 때문입니다. 보험은 연간 총 보상액의 한도가 10억 원 이상이어야 하고, 유효기간 동안 발생한 사고를 보장 대상으로 해야 합니다. 지금 어느 사업자가 인정을 받은 상태인지는 이번 자료에 목록이 없으므로 인정기관 공고에서 따로 확인이 필요합니다.

종류·요금·유효기간은 인증업무준칙에 나온다

인정받은 사업자는 인증업무준칙을 작성해 인터넷 홈페이지 등에 게시하고 성실히 지켜야 하며, 준칙을 바꿨을 때도 마찬가지입니다. 내 인증서가 어떤 종류이고 갱신 조건이 무엇인지는 해당 사업자의 준칙에서 확인할 수 있습니다. 법과 시행규칙이 준칙에 반드시 넣도록 한 항목은 다음과 같습니다.

표의 법 항목은, 시행규칙 항목은를 따랐습니다. 시행규칙은 ’발급’에 갱신·재발급·변경이 포함된다고 정하고 있어서, 갱신할 때 거치는 신원확인도 준칙에 적힌 방법을 따르게 됩니다.

가입·갱신할 때 거치는 신원확인 방식

인정받은 사업자는 가입하려는 사람의 신원을 대통령령에 따라 확인해야 합니다. 사업자가 본인확인기관인지 여부에 따라 방식이 나뉩니다.

본인확인기관인 사업자에 대한 부분은, 대면 확인과 법인 서류에 대한 부분은를 근거로 했습니다. 본인확인기관인 사업자라도 가입자의 신원이 실지명의 기준으로 이미 확인됐다는 사실을 확인할 수 있으면, 인정받은 가입자 확인방법으로 대신할 수 있습니다. 법인 명의 인증서를 담당 직원이 받으러 간다면 위임장과 법인인감증명서를 미리 챙겨야 하는 이유가 여기에 있습니다.

유효기간이 지나면 왜 다시 받아야 하나

인증서에는 일련번호, 유효기간, 인증서 주체(소유자), 전자서명검증키(공개키) 등이 들어 있고, 인증기관이 이 내용에 전자서명을 한 뒤 발급합니다. 기록물 관리 표준에 따르면 민간용 인증서는 보통 1년이 유효기간이며, 행정전자서명용 인증서는 유효기간이 2년 3개월입니다. 이 수치는 기록물 표준의 설명이므로, 내가 쓰는 인증서의 실제 유효기간은 발급 사업자의 준칙에서 확인해야 합니다.

유효기간이 끝나면 그 인증서의 유효성을 검증할 수 없게 되고, 서명 당시에는 유효했던 인증서라도 그 전자서명을 검증하지 못하는 상황이 생길 수 있습니다. 유효기간이 남아 있어도 개인키 분실, 퇴직, 보직 변경 같은 사유로 쓸 수 없게 된 인증서는 인증서폐기목록(CRL)에 올라갑니다. 같은 표준은 인증서폐기목록(CRL)의 유효기간이 1~2일에 불과하다고 설명합니다. 즉, 인증서를 잃어버렸거나 더 쓰지 않을 이유가 생겼다면 기간이 남아 있어도 효력정지나 폐지를 신청하는 것이 맞고, 그 절차는 준칙에 적혀 있습니다.

사업자가 서비스를 멈추거나 접을 때 받는 통보

인정받은 사업자가 인증업무를 쉬거나 그만둘 때는 미리 가입자에게 알리고 홈페이지 등에 게시해야 합니다.

통보하거나 게시하는 내용에는 요금 반환, 가입자 개인정보 폐기 같은 가입자 보호조치가 들어가야 합니다. 통보는 서면, 전자우편, 팩스, 전화 또는 이와 비슷한 방법 중 하나 이상으로 해야 합니다. 가입자의 연락처를 알 수 없는 등 불가피한 사유가 있으면 인터넷 홈페이지에 30일 이상 게시하는 것으로 통보를 갈음할 수 있습니다. 그래서 가입할 때 등록한 연락처가 바뀌었다면 갱신하면서 함께 고쳐 두는 편이 안전합니다.

인증서를 남에게 넘기거나 빌려주면

누구든지 타인의 전자서명생성정보를 도용하거나 누설해서는 안 되고, 거짓이나 부정한 방법으로 타인 명의 인증서를 발급받는 행위도 금지됩니다. 도용·누설이나 타인 명의 부정 발급에 해당하면 3년 이하의 징역 또는 3천만원 이하의 벌금 대상입니다. 부정 행사 목적으로 인증서를 양도·대여하거나 양도·대여받은 자는 1년 이하의 징역 또는 1천만원 이하의 벌금 대상입니다.

반대로 인정받은 사업자가 인증업무를 하다가 가입자나 이용자에게 손해를 입혔다면 배상해야 합니다. 다만 사업자가 고의나 과실이 없음을 입증하면 책임이 면제됩니다. 전자서명과 관련한 분쟁은 전자문서·전자거래분쟁조정위원회에 조정을 신청할 수 있습니다.

발급·갱신 전에 스스로 점검할 것

• 지금 쓰는 인증서를 어느 사업자가 발급했는지 확인했는가
• 그 사업자가 운영기준 준수사실의 인정을 받은 상태인지 인정기관 공고에서 확인했는가(현재 인정 현황은 확인 필요)
• 사업자 홈페이지의 인증업무준칙에서 인증서 종류, 요금, 이용범위, 유효기간을 봤는가
• 갱신·재발급 때 필요한 신원확인 방법(대면 또는 인정받은 비대면 방법)을 확인했는가
• 법인 명의라면 대표자 위임장, 법인인감증명서, 대리인 신분 서류를 준비했는가
• 인증서를 잃어버렸거나 더 쓰지 않을 이유가 생겼다면 효력정지·폐지 절차를 확인했는가
• 휴지·폐지 통보를 받을 수 있도록 등록 연락처가 최신인지 확인했는가

전자서명법은 2022년 10월 20일 시행본을 기준으로 했습니다. 전자서명법 시행령은 2023년 9월 15일 시행본을 기준으로 했습니다. 전자서명법 시행규칙은 2020년 12월 10일 시행본을 기준으로 했습니다. 이 내용은 일반적인 제도 안내이며 법률 자문이 아닙니다. 구체적인 사안은 발급 사업자나 관련 기관, 전문가에게 확인이 필요합니다.