01_OWASP_ASVS_vs_NIST

1. OWASP ASVS vs NIST SP 800-63 차이점

가장 큰 차이는 “애플리케이션 전체를 보느냐(ASVS)“와 “인증과 신원 관리만 깊게 파느냐(NIST)“입니다.

성격: 웹 애플리케이션 및 API가 갖춰야 할 종합 보안 설계도입니다.
범위: 인증/인가뿐만 아니라 입력값 검증, 암호화, 에러 처리, API 안전성, 비즈니스 로직 등 소프트웨어 공학 전반의 보안 요건(14개 카테고리)을 다룹니다.
핵심 철학: “소프트웨어 자체가 해킹당하지 않도록 안전하게 빌드되었는가?”

성격: 사용자가 누구인지 확인하고 로그인하는 ‘인증(IAM)‘에 특화된 표준 가이드입니다.
범위: 회원가입 시 신원 확인(800-63A), 로그인 및 MFA 비밀번호 정책(800-63B), 연동 인증 및 OAuth/SAML(800-63C)로 나뉩니다.
핵심 철학: “로그인하는 사용자가 진짜 그 사람이 맞는지 어떻게 신뢰할 것인가?”

비교 항목	OWASP ASVS	NIST SP 800-63
주요 목적	소프트웨어 전체의 취약점 제거 및 안전한 설계	안전한 사용자 인증 체계 및 신원 검증 표준 확립
적용 범위	애플리케이션 전반 (API, 데이터베이스, 코드 수준 등)	로그인, 패스워드 규칙, MFA, 세션 관리, 토큰 발급
등급 체계	Level 1, 2, 3 (서비스 중요도 기반)	AAL 1, 2, 3 (인증 보증 레벨 - Authenticator Assurance)
아키텍트 활용법	시스템 전반의 보안 체크리스트를 만들 때 참조	로그인 기능, OAuth 기반 API 연동 구조를 설계할 때 참조

대한민국 정부와 KISA(한국인터넷진흥원)에서도 국내 법령(개인정보 보호법, 정보통신망법 등)과 국내 IT 환경을 반영한 훌륭한 가이드라인들을 다수 제공하고 있습니다. 실무나 아키텍처 설계 시 가장 많이 인용되는 핵심 문서 3가지를 소개합니다.

상응하는 글로벌 표준: OWASP Top 10 / ASVS
내용: 한국에서 개발자가 가장 많이 접하게 되는 가이드입니다. 행정안전부와 KISA가 주관하며, 공공기관이나 금융권 프로젝트를 진행할 때 필수로 준수해야 하는 법적 기준이 되기도 합니다.
특징: 입력 데이터 검증, 보안 기능(인증/인가), 시간 및 상태, 에러 처리 등 40여 개 이상의 구체적인 취약점 방어 코딩 가이드라인을 제공합니다.

상응하는 글로벌 표준: NIST SP 800-63 시리즈
내용: 국내 특유의 환경(패스워드 없는 PIN 번호, 생체인증, 카카오/네이버 등 민간 전자서명인증 활용)에 맞춰 안전하게 간편인증 연동 API를 설계할 수 있도록 통일된 규격을 제시한 가이드라인입니다.
특징: 암호화된 연계정보(CI/DI) 처리 방법, 연동 시 보안성 강화 방안 등을 다루어 국내 로그인 시스템 구축 시 실무적으로 매우 유용합니다.

성격: 국내 금융권(은행, 증권, 핀테크) 아키텍처의 끝판왕 가이드라인입니다.
내용: 금융보안원에서 발행하며, 일반 웹 가이드보다 훨씬 엄격합니다. API 통신 시 종단간 암호화, 구간 암호화 가이드라인, 강력한 세션 타임아웃, 중복 로그인 방지 등 아키텍처 단에서 강제해야 하는 강력한 통제 항목들이 명시되어 있습니다.핀테크 서비스를 설계한다면 사실상 컴플라이언스 통과를 위한 필수 지침서입니다.

국내 서비스를 설계할 때는 다음과 같은 조합으로 가이드라인을 참조하면 아키텍처의 완성도를 크게 높일 수 있습니다.

로그인 및 토큰 설계 시: 글로벌 트렌드는 NIST SP 800-63B를 따르되, 국내 본인인증/간편인증 연동 시에는 KISA 간편인증 가이드라인을 믹스합니다.
API 전체 아키텍처 검증 시: 설계 단계의 체크리스트는 OWASP ASVS를 뼈대로 잡고, 최종 구현 및 코드 검수 단계에서는 국내 규제 대응을 위해 KISA 소프트웨어 개발보안 가이드 항목을 매핑하여 검증합니다.

tags	지식, 보안
aliases	04-지식/보안/01_OWASP_ASVS_vs_NIST_비교, 04-지식/개발/01_OWASP_ASVS_vs_NIST_비교, 04-지식/개발/프로그래밍/01_OWASP_ASVS_vs_NIST_비교