회사 홈페이지 관리자 비밀번호를 석 달마다 바꾸게 하면 더 안전할까요?

미국 NIST의 디지털 신원 지침 SP 800-63B는 비밀번호를 정기적으로 바꾸도록 요구하지 말고 유출 정황이 있을 때 바꾸게 하라고 정합니다. 회사 홈페이지 관리자 화면에 30일, 90일처럼 일정 기간마다 비밀번호를 바꾸게 하는 규칙을 넣을지 고민하고 있다면, 이 규칙이 실제로 어떤 위험을 줄이는지부터 따져 볼 필요가 있습니다. 청주·충북의 회사처럼 홈페이지 관리자 계정을 한두 사람이 맡는 경우라면 기준을 단순하고 분명하게 정해 두는 편이 운영하기 쉽습니다.

정기 변경 대신 유출 정황이 있을 때 바꿉니다

NIST SP 800-63B(개정 4판, 열람한 문서의 게시 시각 2025-08-26)는 비밀번호 검증 쪽 요구 사항에서 정기적인 비밀번호 변경을 요구해서는 안 된다고 적고, 대신 인증 수단이 유출됐다는 증거가 있으면 반드시 변경하게 해야 한다고 정합니다. 같은 절은 문자 종류를 섞도록 하는 식의 조합 규칙도 두지 말라고 하고, 비밀번호 하나만으로 로그인하는 경우에는 최소 15자, 다른 인증 수단과 함께 쓰는 경우에는 최소 8자를 요구하며, 최대 길이는 64자 이상 허용하도록 권합니다.

영국 국가사이버보안센터(NCSC)의 비밀번호 정책 안내도 정기적인 비밀번호 만료를 강제하지 말라고 권합니다. 이 안내가 드는 이유는 다음과 같습니다.

• 이용자는 새 비밀번호를 옛 비밀번호와 조금만 다르게 정하기 쉽습니다.
• 도난당한 비밀번호는 대개 곧바로 악용됩니다.
• 비밀번호를 다시 정해도 유출이 있었는지에 대한 정보는 얻지 못합니다.
• 계정에 접근한 공격자는 비밀번호 변경 요청도 함께 받아 볼 가능성이 큽니다.
• 안전하지 않은 곳에 적어 두다가 유출된 경우라면 공격자는 새 비밀번호도 같은 곳에서 찾을 수 있습니다.

AI로 생성한 개념 이미지. 실제 탱탱소프트 서버실 사진이 아닙니다.

정기 변경 대신 관리자 계정에 둘 장치

NIST SP 800-63B는 비밀번호를 새로 정하거나 바꿀 때 흔히 쓰이는 값, 짐작하기 쉬운 값, 이미 유출된 값을 모은 차단 목록과 비교하라고 정합니다. 목록의 예로 과거 유출 자료에서 나온 비밀번호, 사전 단어, 서비스 이름이나 사용자 아이디에서 파생된 말을 들고, 목록에 걸리면 다른 비밀번호를 고르게 하면서 거절 이유를 알려 주라고 합니다. 로그인 실패 횟수를 실제로 제한하는 장치를 두라는 요구와, 비밀번호 관리자와 자동 채우기를 허용하고 붙여넣기도 허용하도록 권하는 내용도 같은 문서에 있습니다.

NCSC 안내는 만료를 강제하는 대신 입사·이동·퇴사에 따른 계정 정리 절차를 갖추고, 쓰지 않는 계정을 자동으로 잠그고, 평소와 다른 시간이나 새 기기에서의 로그인처럼 의심스러운 접속을 살피고, 이상한 점을 알리도록 이용자를 독려하라고 권합니다. 여러 단계 인증(MFA)을 쓰면 비밀번호가 유출되더라도 공격자에게 덜 쓸모 있게 된다는 설명도 덧붙입니다.

AI로 생성한 개념 이미지. 실제 탱탱소프트 회의실 사진이 아닙니다.

회사 홈페이지 관리자 화면에서 점검하는 순서

탱탱소프트의 운영 권장은 관리자 계정 규칙을 한 번에 바꾸기보다 아래 순서로 현재 설정을 확인하고, 회사가 따라야 하는 기준을 먼저 정리하는 것입니다.

1. 회사 보안 규정, 고객사와의 계약, 업종별로 적용되는 국내 기준에 비밀번호 변경 주기가 따로 정해져 있는지 확인합니다. NIST 지침은 네트워크로 정부 정보 시스템에 접속하는 이용자의 인증을 다루는 미국 문서이므로, 별도 기준이 있다면 그 기준과 함께 검토합니다.
2. 관리자 화면에 일정 기간마다 변경을 강제하는 설정이 있는지 보고, 유출 정황이 있을 때 즉시 변경하게 하는 절차가 따로 마련돼 있는지 확인합니다.
3. 최소 길이와 문자 조합 규칙을 확인합니다. 길이 기준을 높이고 조합 규칙은 줄이는 방향이 NIST 지침과 맞습니다.
4. 회사 이름, 도메인, 관리자 아이디처럼 짐작하기 쉬운 말과 흔한 비밀번호를 거르는 차단 목록이 있는지 확인합니다.
5. 로그인 실패 횟수 제한, 비밀번호 붙여넣기와 비밀번호 관리자 허용, 여러 단계 인증 적용 여부를 차례로 확인합니다.
6. 퇴사하거나 담당이 바뀐 사람의 관리자 계정이 남아 있지 않은지, 오래 쓰지 않은 계정이 잠기는지 확인합니다.

이 글은 일반적인 회사 홈페이지 관리자 계정의 비밀번호 기준을 NIST·NCSC 문서에 따라 정리한 것이며 특정 회사의 보안 상태를 진단한 결과가 아닙니다. 관리자 화면을 제공하는 서비스나 솔루션마다 설정할 수 있는 항목이 다르므로, 실제 적용 전에는 해당 서비스의 설정 범위를 함께 확인해야 합니다.

참고 자료

• NIST Special Publication 800-63B (Digital Identity Guidelines, SP 800-63-4)
• NCSC, Password policy: updating your approach