2026년 1월 16일
도입
PDF에 전자서명을 추가할 때 가장 먼저 확인해야 할 것은 서명 이미지의 위치가 아니라 어떤 최종본에 누가 서명했고, 서명 이후 문서가 변경되지 않았는지를 어떻게 검증할 것인가입니다.
예를 들어 계약 담당자가 내부 승인을 마친 용역 계약서 PDF를 서명 절차에 올린다고 가정해 보겠습니다. 서명이 끝난 뒤에도 실제 승인된 문서가 무엇이었는지, 어느 서명자가 어떤 방식으로 서명했는지, 서명된 내용이 이후 변경되지 않았는지를 확인할 수 있어야 합니다.
이를 위해 다음 세 가지를 구분해 관리하는 것이 좋습니다.
- 서명 전 승인된 PDF
- 전자서명이 적용된 최종 PDF
- 서명자, 인증서, 검증 결과 등 관련 증적
한국 「전자서명법」 제2조제2호는 전자서명을 서명자의 신원과 해당 전자문서에 서명했다는 사실을 나타내기 위해 전자문서에 첨부되거나 논리적으로 결합된 전자적 형태의 정보로 정의합니다. 또한 제3조는 전자서명이 전자적 형태라는 이유만으로 서명 등의 효력이 부인되지 않도록 하고, 법령 또는 당사자 간 약정에 따라 전자서명을 선택한 경우 그에 따른 효력을 규정합니다.
따라서 PDF에 보이는 서명 이미지만으로 전자서명 여부나 법적 효력을 판단해서는 안 됩니다. 특히 인증서 기반 디지털 서명을 사용하는 경우에는 서명 자체와 함께 인증서, 문서 무결성, 필요 시 타임스탬프 등의 검증 결과를 확인해야 합니다.
실무 흐름은 최종본 확정 → 서명자와 서명 방식 확인 → 전자서명 실행 → 서명 및 인증서 검증 → 증적 보관의 순서로 정리할 수 있습니다.
서명할 PDF 최종본을 확정한다
전자서명을 시작하기 전에 실제 서명 대상이 되는 PDF를 하나의 최종본으로 확정합니다.
용역 계약서라면 최소한 다음 항목을 확인합니다.
- 계약 당사자
- 업무 범위
- 계약 금액과 지급 조건
- 계약 기간
- 서명자
- 첨부 문서
- 파일 버전
검토 의견, 변경 추적, 임시 문구 또는 교체 전 첨부파일이 남아 있다면 먼저 정리합니다. 승인되지 않은 수정 사항이 포함된 PDF를 그대로 서명 절차에 올리면 나중에 어떤 문서가 실제 최종본이었는지 확인하기 어려워집니다.
승인된 PDF에는 계약 식별자, 파일명, 버전 번호, 승인일 등 나중에 다시 특정할 수 있는 정보를 연결해 두는 것이 좋습니다.
문서 관리 수준이 높은 조직이라면 이 단계에서 승인된 PDF의 파일 해시값을 계산해 기록할 수도 있습니다. 이 해시는 승인 당시의 PDF가 정확히 어떤 파일이었는지 식별하는 기준값으로 사용합니다.
예를 들어 다음과 같이 관리할 수 있습니다.
승인 이후 내용이 바뀌었다면 기존 최종본을 그대로 덮어쓰지 않는 것이 좋습니다. 새 버전을 만들고 필요한 승인 절차를 다시 거친 뒤 새로운 파일을 서명 대상으로 지정합니다.
전자서명과 인증서 기반 서명을 구분한다
한국 전자서명법에서 말하는 전자서명과 인증서를 이용한 디지털 서명은 항상 같은 개념은 아닙니다.
전자서명법 제2조제2호의 정의는 특정 기술이나 특정 인증서 사용만을 전제로 하지 않습니다. 핵심은 전자문서에 결합된 전자적 정보가 서명자의 신원과 해당 문서에 서명했다는 사실을 나타내는 데 이용되는지입니다.
반면 인증서 기반 디지털 서명에서는 공개키 암호기술과 전자서명 인증서를 이용해 서명자를 확인하고 서명된 데이터의 무결성을 검증할 수 있습니다.
따라서 계약 담당자는 먼저 다음을 구분해야 합니다.
전자서명 방식
어떤 방식으로 서명 의사를 표시하고 서명자를 확인할 것인지 결정합니다.
인증 방식
이메일, 휴대전화, 본인확인, 인증서 등 해당 워크플로에서 어떤 방식으로 서명자를 인증할 것인지 확인합니다.
인증서
인증서 기반 서명을 사용하는 경우 어떤 인증서와 인증사업자 또는 신뢰 체계를 사용할지 확인합니다.
서명 권한
인증서가 특정 개인의 신원이나 키와 연결되어 있다는 사실과 그 사람이 회사 명의로 해당 계약을 체결할 권한이 있다는 사실은 별개의 문제입니다. 필요한 경우 직책, 내부 승인, 위임장 등 조직의 권한 체계를 별도로 확인합니다.
이 구분을 해두면 인증서가 있다는 이유만으로 모든 계약의 법적 요건이 자동으로 충족된다고 오해하는 것을 피할 수 있습니다.
전자서명법 제2조와 제3조를 실무에 적용한다
전자서명법 제2조제2호는 전자서명의 정의를 정하고, 제3조는 전자서명의 효력에 관한 기본 원칙을 규정합니다.
실무에서는 두 조항을 다음과 같이 구분해서 이해하는 것이 좋습니다.
제2조제2호: 무엇이 전자서명인가
전자문서와 결합된 정보가 다음 사항을 나타내는 데 이용되는지를 봅니다.
- 서명자의 신원
- 서명자가 해당 전자문서에 서명했다는 사실
따라서 단순히 서명 이미지를 PDF 위에 배치했다는 사실만으로는 사용된 전자서명 방식 전체를 설명할 수 없습니다.
제3조: 전자서명의 효력을 어떻게 보는가
전자서명은 전자적 형태라는 이유만으로 서명, 서명날인 또는 기명날인으로서의 효력이 부인되지 않습니다.
또한 법령 또는 당사자 간 약정에 따라 전자서명을 서명 등의 방식으로 선택한 경우에는 전자서명법 제3조제2항에 따른 효력이 인정됩니다.
다만 이것이 모든 전자서명으로 체결된 모든 계약이 언제나 동일한 법적 결과를 갖는다는 뜻은 아닙니다. 실제 계약의 효력과 필요한 서명 방식은 문서 유형, 당사자의 권한, 별도 법령, 계약 조건 등 구체적인 상황을 함께 검토해야 합니다.
인증서 기반 전자서명을 실행한다
인증서를 사용하는 디지털 서명 방식이라면 서명 전에 대상 PDF와 서명자를 다시 확인합니다.
승인된 PDF의 해시를 별도로 관리하는 조직에서는 이 시점에 실제 서명 시스템에 등록된 파일의 해시를 승인 기록과 비교할 수 있습니다. 값이 일치하면 승인된 파일이 서명 시작 전까지 변경되지 않았음을 확인하는 데 도움이 됩니다.
그다음 다음 항목을 확인합니다.
- 서명자가 올바르게 지정되어 있는지
- 사용할 인증서가 올바른지
- 여러 명이 서명한다면 순서가 맞는지
- 첨부 문서가 빠지지 않았는지
- 보이는 서명 영역이 중요한 계약 내용을 가리지 않는지
서명 이미지가 표시되는 경우에도 이를 인증서 기반 전자서명 자체와 혼동하지 않아야 합니다.
보이는 서명 영역은 사람이 문서를 읽을 때 서명 위치를 쉽게 인식하도록 하는 시각적 요소입니다. 디지털 서명의 검증은 PDF 내부에 포함된 서명 데이터와 인증서를 대상으로 이루어집니다.
인증서 기반 디지털 서명은 보이는 서명 이미지 없이도 구현될 수 있습니다. 반대로 손글씨나 도장 이미지만 표시되어 있다고 해서 인증서 기반 디지털 서명이 존재한다고 볼 수는 없습니다.
서명 전후의 파일 해시는 같아야 하는가
아닙니다.
PDF에 인증서 기반 디지털 서명을 적용하면 PDF 내부에 서명 데이터가 추가되므로, 서명 전 PDF와 서명 후 PDF 전체의 파일 해시값은 일반적으로 달라집니다.
따라서 다음과 같은 비교를 전자서명의 유효성 기준으로 사용해서는 안 됩니다.
서명 전 PDF 해시 = 서명 후 PDF 해시
대신 두 해시의 역할을 구분합니다.
승인된 PDF의 해시
서명을 시작하기 전에 승인된 원본 파일을 식별하는 데 사용할 수 있습니다.
서명 완료 PDF의 해시
서명이 끝난 최종 파일 자체를 식별하고, 이후 보관된 파일이 동일한 파일인지 확인하는 데 사용할 수 있습니다.
두 해시는 서로 다른 파일을 대상으로 하므로 값이 달라지는 것이 정상입니다.
서명 후 문서가 변경되지 않았는지를 확인하려면 단순한 전후 파일 해시 비교가 아니라 PDF에 포함된 디지털 서명을 검증해야 합니다.
PDF의 전자서명과 인증서를 검증한다
서명이 완료되면 사용한 서명 방식에 적합한 검증 도구로 최종 PDF를 확인합니다.
인증서 기반 디지털 서명의 경우 다음 항목을 함께 살펴보는 것이 좋습니다.
서명자 확인
서명에 연결된 인증서에서 확인되는 주체가 계약상 예상한 서명자와 맞는지 확인합니다.
다만 인증서의 이름과 실제 계약 체결 권한은 동일한 문제가 아닙니다. 해당 사람이 회사 또는 다른 당사자를 대표할 권한이 필요한 경우에는 별도의 권한 검토가 필요합니다.
문서 무결성
디지털 서명 검증을 통해 서명된 내용이 이후 변경되었는지 확인합니다.
여기서도 서명 전 파일과 현재 파일의 전체 해시를 비교하는 것이 아니라, PDF의 서명 데이터가 보호하는 내용에 변경이 있었는지를 서명 검증 결과로 판단합니다.
여러 명이 순차적으로 서명하는 PDF라면 후속 서명이 추가되면서 파일 구조가 변경될 수 있습니다. 적절한 PDF 디지털 서명 방식에서는 각 서명이 어느 문서 버전에 적용되었고 이후 어떤 변경이 있었는지를 개별적으로 확인할 수 있습니다.
인증서 신뢰 체인
인증서 기반 서명에서는 서명자 인증서만 확인하는 것으로 끝나지 않을 수 있습니다.
검증 도구는 일반적으로 다음과 같은 신뢰 관계를 평가합니다.
- 서명자 인증서
- 필요한 경우 중간 인증서
- 신뢰할 수 있는 루트 인증서
- 인증서 체인의 검증 상태
체인이 정상적으로 구성되더라도 인증서의 현재 또는 관련 시점 상태를 별도로 확인해야 할 수 있습니다.
인증서 유효기간과 폐지 상태
인증서의 유효기간과 폐지 여부도 검증 항목에 포함될 수 있습니다.
단, 현재 인증서의 유효기간이 지났다는 이유만으로 과거에 만들어진 서명이 자동으로 무효라고 단정해서는 안 됩니다.
검증 시에는 서명이 생성된 시점, 인증서의 당시 상태, 폐지 정보, 타임스탬프 및 서명에 포함된 검증 정보 등을 함께 고려할 수 있습니다.
따라서 인증서의 만료일 하나만 확인하기보다 해당 서명 형식을 지원하는 검증 도구의 전체 결과를 확인하는 것이 적절합니다.
타임스탬프
서명 과정에서 신뢰할 수 있는 타임스탬프를 사용했다면 타임스탬프 검증 결과도 확인합니다.
타임스탬프는 서명 또는 관련 데이터가 특정 시점에 존재했다는 것을 확인하는 데 활용될 수 있으며, 장기간 서명 검증이 필요한 워크플로에서 특히 유용할 수 있습니다.
모든 전자서명에 타임스탬프가 반드시 필요한 것은 아닙니다. 적용 여부는 서명 방식, 계약 요건, 내부 정책 및 관련 규제에 따라 정합니다.
검증 결과를 증적으로 남긴다
계약 담당자가 단순히 검증 화면에서 ‘유효함’을 확인하는 것으로 절차를 끝내면 나중에 어떤 파일을 어떤 조건에서 확인했는지 재구성하기 어렵습니다.
조직의 관리 수준에 따라 다음 정보를 연결해 보관할 수 있습니다.
- 계약 식별자
- 서명된 PDF의 파일명 또는 식별자
- 필요 시 서명된 PDF의 해시값
- 서명자
- 인증서 식별 정보
- 인증서 발급 주체
- 서명 일시
- 전자서명 검증 결과
- 문서 무결성 검증 결과
- 인증서 상태 확인 결과
- 타임스탬프 정보가 있는 경우 그 검증 결과
- 검증 도구 또는 시스템
- 검증 일시
이렇게 하면 나중에 Legal, Compliance, Procurement 또는 감사 담당자가 실제 검증 대상과 결과를 보다 쉽게 추적할 수 있습니다.
검증 화면의 캡처는 보조 자료가 될 수 있지만, 화면 이미지 하나만을 전체 증적으로 사용하는 것보다 구조화된 검증 결과와 원본 PDF를 함께 보관하는 편이 관리에 유리합니다.
서명된 PDF와 관련 기록을 함께 보관한다
서명 절차가 끝났다면 계약 폴더에는 최종 PDF만 저장하는 것이 아니라, 필요에 따라 서명 과정을 재구성할 수 있는 관련 기록도 함께 관리합니다.
예를 들면 다음과 같습니다.
- 승인된 서명 전 PDF
- 문서 버전과 계약 식별자
- 필요 시 승인본의 해시값
- 최종 서명 PDF
- 필요 시 최종 PDF의 해시값
- 서명자와 서명 이벤트
- 인증서 관련 정보
- 전자서명 검증 결과
- 타임스탬프 관련 정보
- 감사 추적 기록
- 내부 승인 기록
승인본과 서명본은 서로 다른 역할을 하므로 동일한 파일명으로 덮어쓰지 않는 것이 좋습니다.
이미 서명된 계약의 내용을 수정해야 한다면 서명된 PDF를 직접 편집하기보다 수정본을 새 버전으로 만들고 필요한 승인 및 서명 절차를 다시 진행합니다.
보관 기간이나 접근권한은 문서 종류, 관련 법령, 계약 조건 및 회사 내부 정책에 따라 설정합니다. 모든 계약에 동일한 보관 기간이 자동으로 적용된다고 가정해서는 안 됩니다.
Nota Sign에서 PDF 전자서명과 검증 흐름을 관리한다
계약 건수가 늘어나면 승인된 PDF, 서명자, 인증 방식, 인증서와 검증 결과를 각각 수작업으로 연결하기 어려워집니다.
Nota Sign에서는 PDF 계약서를 전자서명 워크플로에 등록하고 문서 버전, 서명자, 서명 순서와 서명 이벤트를 하나의 흐름으로 관리할 수 있습니다.
지원되는 인증서 및 서비스 제공자와 구성된 워크플로에서는 인증서 기반 서명을 포함한 전자서명 프로세스를 운영할 수 있으며, 국내 계약뿐 아니라 국경 간 서명이 필요한 시나리오에서도 해당 계약에 적합한 서명 방식을 구성할 수 있습니다.
다만 Nota Sign이 특정 계약에 법적으로 필요한 서명 방식을 자동으로 결정하는 것은 아닙니다.
어떤 서명 방식과 인증 수준을 적용할지는 계약 유형, 당사자, 서명 권한, 적용 법령, 내부 정책 및 필요한 증명 수준을 검토한 뒤 결정해야 합니다. Nota Sign은 결정된 방식에 따라 문서와 서명 프로세스, 관련 증적을 연결해 관리하는 데 활용할 수 있습니다.
