CISA 가 말하는 기본 습관 네 가지, 순서가 있나요?

네 항목은 이렇게 적혀 있습니다

답부터 적으면 CISA 의 Secure Our World 는 기본 습관 네 가지를 적습니다. 피싱 사기를 피하고 신고할 것, 강한 비밀번호를 쓸 것, 다중 인증과 비밀번호 관리자를 쓸 것, 소프트웨어를 업데이트할 것입니다. 문서에 적힌 순서는 이 순서이지만, 적용 순서를 정해 주는 문장은 따로 없습니다.

이 문서에는 수치가 없습니다

확인해 보면 이 페이지에는 비밀번호 길이, 다중 인증의 방식이나 규격, 업데이트 주기, 피싱 식별 지표에 대한 구체 수치가 없습니다. 강한 비밀번호라는 표현만 있고 몇 자인지는 없습니다. 그래서 이 문서만 보고 실행하려 하면 각 항목에서 무엇을 어디까지 해야 하는지가 비어 있습니다.

수치는 다른 문서에서 가져옵니다

비어 있는 자리는 두 문서가 채웁니다. 비밀번호는 NIST SP 800-63B-4 가 단일 인증 요소일 때 최소 15자, 다중 인증의 한 요소일 때 최소 8자를 적습니다. 다중 인증은 CISA 의 랜섬웨어 지침이 피싱 저항성 방식을 요구하고 메일과 가상사설망, 중요 시스템 접근 계정을 먼저 지목합니다. 업데이트는 같은 지침이 인터넷 노출 서버를 우선하라고 적습니다.

그래서 적용 순서가 만들어집니다

수치를 채워 넣으면 순서가 보입니다. 다중 인증의 우선 범위가 메일부터인데, 메일 계정은 다른 계정의 재설정 경로를 쥐고 있습니다. 비밀번호 기준은 다중 인증 여부에 따라 15자와 8자로 갈립니다. 즉 다중 인증을 먼저 걸면 비밀번호 기준이 내려가므로, 다중 인증을 앞에 두는 순서가 작업량을 줄입니다.

조직 단위에는 항목이 더 붙습니다

같은 페이지는 규모가 큰 주체에 대해 추가 항목을 적습니다. 로깅 구현, 데이터 백업, 암호화, 도메인 등록 자격 확인, 사고 신고, 사고 대응 계획 수립, 시스템 중단 대비입니다. 개인용 네 항목과 조직용 항목을 섞으면 범위가 흐려지므로, 개인 네 항목을 먼저 끝내고 조직 항목으로 넘어가는 편이 분명합니다.

사례: 네 항목을 작업 8건으로 바꾸기

상황은 개인이 쓰는 주요 계정 12개와 기기 2대입니다. 입력값은 확인일 2026년 10월 19일, 다중 인증 적용 7개, 미적용 5개, 비밀번호 15자 미달이면서 다중 인증 미적용인 계정 3개, 비밀번호 관리자 미사용, 기기 2대 중 1대는 지원이 끝난 운영체제입니다. 계산은 항목별로 작업을 세는 것입니다. 다중 인증은 미적용 5개 중 지원하는 4개에 적용해 4건, 비밀번호는 3개 조정으로 3건, 관리자 도입 1건, 업데이트는 지원 종료 기기 1대 처리 1건입니다. 피싱 항목은 신고 경로를 적어 두는 작업 1건입니다. 최종 결과는 작업 10건이고, 다중 인증을 먼저 하면 비밀번호 조정이 3건에서 줄어들 수 있습니다. 결과를 바꾸는 예외는 미적용 5개 중 1개가 다중 인증을 지원하지 않는 경우로, 그 계정은 15자 이상 고유 비밀번호로 처리합니다. 다음 행동은 계정 12개에 다중 인증 여부와 현재 길이를 적는 것입니다.

신고 항목을 비워 두지 않는 이유

네 항목 중 첫 번째에 신고가 들어 있습니다. 피싱을 피하는 것과 신고하는 것이 함께 적혀 있는데, 신고 경로를 모르면 그 항목의 절반이 비어 있는 상태가 됩니다. 국내에서는 KISA 가 해킹·스팸·개인정보 침해 상담을 국번 없이 118 로 받고, 기업·사업자의 침해사고 접수 창구는 보호나라입니다. 경로를 미리 적어 두면 그때 찾지 않습니다.

네 항목과 수치의 출처