규제 산업을 위한 비밀번호 모범 사례: 실용 보안 가이드

비밀번호 모범 사례는 짧고 다소 지루해 보이지만 실제로 효과가 있는 목록으로 요약됩니다. 비밀번호 관리자를 사용해 모든 계정에 길고 고유한 비밀번호를 생성하고, 다단계 인증(MFA)을 켜고, 여러 서비스에서 같은 비밀번호를 재사용하지 않는 것입니다. 의료, 법률, 금융 분야 팀에게 가장 큰 위험은 지나치게 단순한 비밀번호가 아닌 경우가 많습니다. 재사용되었거나 도난당한 비밀번호가 문제입니다. 오늘날 대부분의 계정 침해는 공격자가 추측한 비밀번호가 아니라 이미 확보하고 있는 인증 정보에서 시작됩니다. 따라서 진짜 목표는 재사용을 없애고 두 번째 인증 요소를 추가하는 것입니다.

‍

핵심 요약

• 비밀번호 관리자와 MFA를 함께 사용하면 자동화된 계정 탈취 공격의 대부분을 막을 수 있습니다. 기발한 문자열을 외우는 것이 아니라 이 조합이 비밀번호 보안의 핵심입니다.
• 재사용이 가장 큰 취약점입니다. 업계 조사에서는 대부분의 사람이 비밀번호를 재사용한다는 결과가 꾸준히 나타나므로, 한 번의 유출이 같은 비밀번호를 쓰는 모든 계정으로 연쇄적으로 번질 수 있습니다.
• 취약한 비밀번호는 대개 무작위가 아니라 예측 가능합니다. 계절에 따라 바꾼 문구, 반려동물 이름, 회사 이름은 공격자가 가장 먼저 시도하는 것들입니다.
• 위협은 비밀번호를 추측하는 방식에서 훔치는 방식으로 옮겨갔습니다. 그래서 단순한 문자 복잡성보다 고유성과 MFA가 더 중요합니다.
• 업무용 인증 정보와 개인용 인증 정보는 절대 섞지 마세요. 분리해 두면 어느 한쪽이 침해되더라도 피해를 제한할 수 있습니다.

‍

비밀번호 모범 사례란 무엇인가요?

비밀번호 모범 사례는 계정 인증 정보가 추측, 해독, 재사용 또는 도난당하는 것을 막기 위한 습관과 통제의 모음입니다. 여기에는 비밀번호를 만드는 방법(길이와 무작위성), 보관하는 방법(포스트잇, 스프레드시트, 브라우저가 아닌 비밀번호 관리자), 보호하는 방법(MFA), 공유하는 방법(보안 채널을 통해서만)이 포함됩니다. 표준 기관의 최신 지침은 복잡한 문자 규칙과 잦은 변경을 강제하는 방식에서 벗어나, 길이와 고유성, 강력한 두 번째 인증 요소를 중시하는 방향으로 바뀌었습니다.

‍

비밀번호 보안이 그 어느 때보다 중요한 이유

공격자의 수법이 달라졌습니다. 10년 전에는 누군가 여러 조합을 대입해 취약한 비밀번호를 무차별 대입으로 뚫는 것이 주된 걱정거리였습니다. 오늘날 더 큰 위협은 인증 정보 탈취입니다. 공격자는 데이터 유출, 피싱, 인포스틸러 악성코드(감염된 기기에서 저장된 비밀번호와 로그인 세션을 몰래 수집하는 소프트웨어)를 통해 유효한 비밀번호를 확보한 뒤 그냥 로그인합니다. Verizon 데이터 침해 조사 보고서에 따르면 탈취된 인증 정보는 공격자가 최초 거점을 확보하는 가장 흔한 방법 중 하나이며, IBM X-Force는 취약점 악용 없이 탈취한 유효한 인증 정보를 이용한 침입이 상당 부분을 차지한다고 보고했습니다.

‍

여기에는 현실적인 이유가 하나 있습니다. 공격자가 이미 작동하는 비밀번호를 사거나 훔칠 수 있다면, 그 비밀번호의 강도는 더 이상 여러분을 보호하지 못합니다. 여러분을 보호하는 것은 비밀번호가 고유해서 다른 어떤 것도 열 수 없다는 점, 그리고 탈취된 비밀번호와 계정 사이에 두 번째 인증 요소가 가로막고 있다는 점입니다. 민감한 기록을 다루는 규제 대상 팀에게는 이러한 변화가 아래 모범 사례를 따라야 하는 이유의 전부입니다.

‍

강력한 비밀번호의 조건은 무엇인가요?

강력한 비밀번호에는 세 가지 특성이 있습니다. 길이, 무작위성, 고유성입니다. 그중 길이가 가장 중요합니다. 미국 국립표준기술연구소(NIST)는 특별 간행물 800-63B-4에서 단일 인증 요소로 사용하는 비밀번호에 최소 15자를 권장하며(최소 64자까지 허용하도록 지원), 사이버보안 및 인프라 보안국(CISA)은 최소 16자 이상을 목표로 할 것을 권장합니다. 무작위성이란 사전에 나오는 단어와 개인 정보를 피하는 것을 의미합니다. 고유성이란 모든 계정에 서로 다른 비밀번호를 쓰는 것을 의미합니다.

‍

무작위 문자열의 유용한 대안은 패스프레이즈입니다. 서로 관련 없는 단어 네 개에서 일곱 개를 이어 붙인 것으로, 길고 해독하기 어려우며 훨씬 기억하기 쉽습니다. CISA는 서로 관련 없는 단어 몇 개를 하나의 문구로 조합한 예시를 제시합니다.

‍

‍

실제 차이는 다음과 같습니다.

‍

‍

강력한 비밀번호를 만드는 방법

가장 빠르고 확실한 방법은 비밀번호 관리자가 대신 생성하게 하는 것입니다. 직접 만들어야 할 때(예: 비밀번호 관리자를 잠금 해제하는 마스터 비밀번호)는 패스프레이즈를 만드세요.

‍

1. 서로 관련 없는 무작위 단어를 네 개에서 일곱 개 고르세요. 본인, 소속 회사, 날짜와 관련된 단어는 피하세요.
2. 고른 단어를 하나의 문구로 결합하세요. 공백은 유지해도 되고 제거해도 됩니다.
3. 복잡성보다 길이를 늘리세요. 긴 문구가 기호를 섞은 짧은 문자열보다 더 안전합니다.
4. 반드시 한 곳에서만 사용하고 다른 곳에는 절대 사용하지 마세요.
5. 평문으로 저장하지 마세요. 마스터 비밀번호만 외우고 나머지는 비밀번호 관리자에 맡기세요.

‍

예측 가능한 구성 요소는 아예 피하세요. 공격자는 사전 공격(흔한 단어와 알려진 비밀번호 목록을 이용한 자동 추측)과 크리덴셜 스터핑(다른 유출 사고에서 유출된 사용자 이름과 비밀번호 쌍을 재사용하는 공격)을 수행합니다. 123456, admin, password처럼 유출된 적이 있는 흔한 비밀번호(NordPass 조사에서 정기적으로 확인됨)는 즉시 뚫리며, 반려동물 이름, 회사 이름, 계절과 연도 같은 맥락 기반 선택도 마찬가지입니다.

‍

비밀번호 재사용 중단: 가장 중요한 해결책

습관 하나만 바꾼다면 이것을 바꾸세요. 보안 연구에서 인용되는 설문조사에 따르면 대부분의 사람이 여러 계정에서 비밀번호를 재사용하며(Forbes Advisor는 약 78퍼센트라는 수치를 보도했습니다), SpyCloud의 유출 분석에서는 유출 사고로 노출된 사람 중 상당수가 이미 노출된 적 있는 비밀번호를 재사용한 것으로 나타났습니다. 재사용은 한 번의 유출을 연쇄 반응으로 바꿉니다. 유출된 서비스 하나가 공격자에게 이메일의 열쇠를 넘기고, 이메일은 나머지 모든 계정의 재설정 경로가 되기 때문입니다.

‍

여기서 두 가지 규칙이 바로 도출됩니다. 첫째, 서비스마다 비밀번호를 하나씩 사용하고 예외를 두지 마세요. 둘째, 업무용과 개인용 인증 정보를 완전히 분리하세요. 스트리밍 서비스 비밀번호가 회사 시스템 근처에 있어서는 안 되며, 회사 비밀번호로 개인 계정을 보호해서도 안 됩니다. 분리는 예절이 아니라 보안 통제로 취급하세요. 분리는 피해 범위를 제한하여 한쪽의 침해가 다른 쪽으로 번지지 않게 합니다.

‍

비밀번호 관리자란 무엇이며, 사용해야 할까요?

비밀번호 관리자는 암호화된 보관함 안에서 비밀번호를 생성, 저장, 자동 입력해 주는 애플리케이션입니다. 강력한 마스터 비밀번호 하나만 기억하면 나머지는 관리자가 기억하며, 외울 수 없을 만큼 긴 무작위 비밀번호도 포함됩니다. 또한 취약하거나 중복된 비밀번호를 알려 주어 바로잡을 수 있게 해 줍니다. CISA와 대부분의 보안팀은 비밀번호 관리자를 모든 계정에 강력하고 고유한 비밀번호를 현실적으로 적용할 수 있는 가장 쉬운 방법으로 봅니다.

‍

비밀번호 관리자는 크게 두 가지로 나뉩니다. 개인용 비밀번호 관리자는 개인 사용자와 소규모 팀을 위한 것입니다. 엔터프라이즈 솔루션은 흔히 특권 액세스 관리(PAM, 중요도가 높은 관리자 인증 정보를 보호하고 모니터링하는 방식)의 일부로, 중앙 집중식 제어, 접근 제한, 감사, 싱글 사인온(SSO, 사용자가 한 번 인증하면 승인된 여러 애플리케이션에 접근할 수 있게 하는 기능)을 추가로 제공합니다. 한 가지 주의할 점은, 중요한 인증 정보를 브라우저 내장 저장소에 의존하지 말라는 것입니다. 브라우저에 저장된 비밀번호는 침해되거나 도난당한 기기에서 전용 암호화 관리자에 저장된 비밀번호보다 추출하기가 더 쉬울 수 있습니다.

‍

다단계 인증(MFA) 켜기

다단계 인증(MFA)은 비밀번호 외에 인증 앱의 코드, 하드웨어 키, 생체 인증 같은 두 번째 신원 증명을 요구합니다. 도난당했거나 추측된 비밀번호만으로는 접속할 수 없으므로, MFA는 자동화된 대량 공격의 대부분을 차단하며 CISA와 Microsoft 모두 기본 통제 수단으로 권장합니다.

‍

모든 인증 요소가 동등하지는 않습니다. 지원되는 경우 FIDO2 및 WebAuthn 표준에 기반한 피싱 방지 방식을 우선 사용하세요. 여기에는 패스키(비밀번호를 완전히 대체하며 단순한 두 번째 요소가 아니라 독립적인 로그인 방식으로 작동하는, 기기에 연결된 암호화 키)가 포함됩니다. SMS로 전송되는 일회용 코드는 흔히 쓰이는 인증 요소 중 가장 취약합니다. SIM 스와핑과, 네트워크 수준에서 SMS 메시지를 가로챌 수 있는 SS7 프로토콜 공격에 취약하기 때문이며, NIST와 CISA 모두 더 강력한 대안이 있을 때는 SMS에 의존하지 말라고 권고합니다.

‍

비밀번호를 정기적으로 변경해야 할까요?

아니요, 적어도 일반 사용자 계정에는 정해진 주기로 변경할 필요가 없습니다. NIST는 이제 사용자 비밀번호의 의무적 주기 변경을 권장하지 않습니다. 강제 교체는 사람들이 예측 가능한 패턴(Summer2025가 Summer2026이 되는 식)을 쓰고 비밀번호를 적어 두게 만들기 때문입니다. 대신 이유가 있을 때 비밀번호를 변경하세요. 침해가 확인되었거나 의심될 때, 유출 알림을 받았을 때, 더 이상 관리 상태를 파악할 수 없는 인증 정보가 있을 때가 그런 경우입니다. "아마 괜찮을 것"이라고 생각하더라도, 노출이 확인되었다면 교체해야 하는 충분한 이유가 됩니다. (높은 권한을 가진 관리자 인증 정보는 예외이며, 정기적으로 교체하는 경우가 많습니다.)

‍

비밀번호를 안전하게 공유하는 방법

때로는 인증 정보를 꼭 공유해야 합니다. 그럴 때는 비밀번호 자체만큼 전달 경로도 중요합니다. Slack, 이메일, 문자로 비밀번호를 보내지 마세요. 검색 가능한 기록에 남거나, 전달되거나, 둘 중 한 계정이 침해되면 노출될 수 있습니다. 대신 비밀번호 관리자의 안전한 공유 기능을 통해 공유하세요. 인증 정보가 암호화된 상태로 유지되고 나중에 접근 권한을 취소할 수 있습니다. 비밀번호가 채팅이나 이메일을 거쳤다면 노출된 것으로 간주하고 교체하세요.

‍

규제 산업을 위한 비밀번호 모범 사례

의료, 법률, 금융 기관은 해당 계정이 규제 대상 데이터를 보호하는 경우가 많기 때문에 추가적인 책임을 집니다. 의료 분야에서는 보호 대상 건강 정보(PHI, 개인을 식별할 수 있는 건강 데이터)가 이에 해당합니다. 각종 규정 체계는 인증 정보 관리 수칙이 충족하는 데 도움이 되는 기준을 제시합니다. 예를 들어 HIPAA 보안 규칙은 PHI를 다루는 시스템에 접근 제어와 인증 보호 조치를 요구하며, 고유한 인증 정보와 MFA는 이러한 요건을 뒷받침하는 현실적인 방법입니다. (HIPAA는 또한 Business Associate Agreement, 즉 BAA를 통해 공급업체와의 관계도 규율합니다. BAA는 서비스 제공업체가 PHI를 안전하게 보호할 책임을 지도록 하는 계약입니다.)

‍

기억해 둘 만한 관점이 하나 있습니다. 규정 준수와 보안은 서로 관련되어 있지만 같지는 않다는 점입니다. 비밀번호 정책이 기술적으로는 오래된 점검 목록을 충족하면서도 실제 위험은 그대로 남겨 둘 수 있습니다. 또한 엄격해 보이는 정책(잦은 강제 변경, 복잡한 문자 규칙)이 길이, 고유성, 비밀번호 관리자, MFA를 기반으로 한 단순한 정책보다 실제로는 더 취약할 수 있습니다. 규제 대상 팀의 목표는 감사인에게 타당성을 입증할 수 있으면서 오늘날 공격자의 수법에 실제로 효과적인 정책을 갖추는 것입니다. 강력하고 고유한 인증 정보, MFA, 안전한 공유, 암호화된 보관함은 사용성을 해치지 않으면서 HIPAA, SOC 2, ISO 27001 같은 규정 체계의 공인된 통제 항목을 뒷받침합니다.

‍

자주 묻는 질문

‍

가장 안전한 비밀번호 유형은 무엇인가요?

가장 안전한 비밀번호는 비밀번호 관리자가 생성하고 저장하는 길고 무작위적인 비밀번호입니다. 기억하거나 직접 입력할 필요가 없기 때문입니다. 반드시 외워야 하는 하나의 비밀번호라면, 서로 관련 없는 단어 네 개에서 일곱 개로 이루어진 패스프레이즈가 길이와 기억하기 쉬움을 동시에 제공합니다. 두 경우 모두 비밀번호는 하나의 계정에만 고유하게 사용해야 합니다.

‍

피해야 할 가장 흔한 비밀번호는 무엇인가요?

NordPass의 연례 분석처럼 유출된 인증 정보를 조사한 연구에서는 123456, admin, password가 항상 상위권에 오릅니다. 사전에 나오는 단어 하나, 이름이나 반려동물 이름, 회사 이름, 계절 뒤에 연도를 붙인 것도 같은 함정에 해당합니다. 이는 자동화된 공격이 가장 먼저 시도하는 추측 값이므로 완전히 피하세요.

‍

비밀번호 관리자는 안전한가요?

네, 거의 모든 사용자에게 신뢰할 수 있는 비밀번호 관리자는 재사용, 취약한 비밀번호, 포스트잇 같은 대안보다 훨씬 안전합니다. 보관함은 암호화되어 있으며, MFA를 켠 상태에서 강력한 마스터 비밀번호(가급적 패스프레이즈) 하나만 보호하면 됩니다. 또한 이러한 편의성 덕분에 수십 개의 계정에 걸쳐 강력하고 고유한 비밀번호를 현실적으로 사용할 수 있습니다.

‍

비밀번호는 얼마나 길어야 하나요?

길수록 강력합니다. NIST는 단일 요소 비밀번호에 최소 15자를 권장하고 최소 64자까지의 길이를 지원할 것을 권고하며, CISA는 최소 16자를 목표로 할 것을 제안합니다. 패스프레이즈는 기억할 수 없을 만큼 복잡하지 않으면서 그 길이에 도달할 수 있는 쉬운 방법입니다.

‍

비밀번호를 정기적으로 변경해야 하나요?

일반 계정이라면 정해진 주기로 변경할 필요는 없습니다. NIST는 주기적인 의무 변경이 예측 가능한 패턴을 유도하기 때문에 권장하지 않습니다. 유출 알림을 받았거나 침해 징후가 있는 등 실제 계기가 있을 때 비밀번호를 변경하세요.

‍

브라우저에 비밀번호를 저장해도 안전한가요?

중요한 계정에는 브라우저에 내장된 저장 기능보다 전용 비밀번호 관리자가 더 안전합니다. 브라우저에 저장된 비밀번호는 분실했거나 도난당했거나 악성코드에 감염된 기기에서 더 쉽게 추출될 수 있습니다. 브라우저의 로그인 정보 저장 제안은 중요도가 낮은 계정에만, 그것도 꼭 필요한 경우에만 사용하세요.

‍

동료와 비밀번호를 어떻게 공유해야 하나요?

비밀번호 관리자의 안전한 공유 기능을 사용하세요. 인증 정보가 암호화된 상태로 유지되며 나중에 접근 권한을 취소할 수 있습니다. Slack, 이메일, 문자 메시지로는 보내지 마세요. 비밀번호가 이러한 채널을 한 번이라도 거쳤다면 변경하세요.