MFA 를 지원하지 않는 서비스는 어떻게 하나요?

대체 기준은 두 조건입니다

답부터 적으면 CISA 의 랜섬웨어 지침은 가상사설망 연결에 다중 인증을 적용할 수 없는 경우 최소 15자 이상의 고유한 비밀번호를 요구하는 정책을 쓰라고 적습니다. 조건이 둘입니다. 길이 15자 이상, 그리고 고유함입니다. 길이만 늘리고 다른 계정과 같은 값을 쓰면 요건을 충족하지 않습니다.

15자라는 값이 나오는 자리

이 숫자는 NIST 의 인증 지침과 맞물립니다. NIST SP 800-63B-4 는 비밀번호를 단일 인증 요소로 쓸 때 최소 15자를, 다중 인증의 한 요소로 쓸 때 최소 8자를 요구합니다. 다중 인증이 없으면 비밀번호가 단일 요소가 되므로 15자 기준이 적용되는 구조입니다. 두 문서의 숫자가 같은 이유가 여기에 있습니다.

고유함이 더 어려운 조건입니다

길이는 정책으로 강제할 수 있지만 고유함은 사용자 습관에 걸립니다. 같은 값을 여러 서비스에 쓰면 한 곳의 유출이 다른 곳으로 번집니다. NIST 는 검증자가 흔한·예상 가능·유출된 비밀번호 목록과 대조해야 한다고 적고, 부분문자열이 아니라 비밀번호 전체를 비교하라고 적습니다. 즉 재사용과 유출 이력을 함께 걸러야 합니다.

길이를 늘릴 때 함께 풀리는 제약

NIST 는 검증자가 구성 규칙을 강제하지 못하게 하고, 출력 가능한 모든 ASCII 문자와 공백을 허용해야 하며 유니코드도 허용해야 한다고 적습니다. 그리고 최대 길이는 64자 이상을 허용해야 한다고 적습니다. 15자를 채우라고 하면서 문자 조합을 강제하면 사용자는 외우기 쉬운 변형을 만들게 되므로, 길이 요구와 제약 해제는 함께 가야 합니다.

주기적 변경은 요구하지 않습니다

NIST 는 가입자에게 비밀번호를 주기적으로 변경하도록 요구하지 말라고 적습니다. 다만 침해 증거가 있으면 변경을 강제해야 한다고 적습니다. 그래서 대체 기준을 적용한 계정에 90일 변경 같은 규칙을 덧붙이는 것은 지침과 어긋나는 방향입니다. 변경은 사건이 있을 때 하는 조치입니다.

사례: 미지원 계정 3개를 끝까지 처리하기

상황은 다중 인증을 지원하지 않는 업무 계정 3개입니다. 입력값은 확인일 2026년 10월 19일, 현재 비밀번호 길이 10자, 12자, 16자이고 16자 계정은 다른 서비스와 같은 값을 재사용, 세 계정 모두 유출 목록 대조 이력 없음입니다. 계산은 두 조건을 각각 보는 것입니다. 길이 조건은 10자와 12자 계정 2개가 미달이고 16자 계정은 충족합니다. 고유성 조건은 16자 계정이 재사용으로 미달이므로 결국 세 계정 모두 조건을 다 채우지 못한 상태입니다. 최종 결과는 길이 조정 2건, 재사용 제거 1건, 유출 목록 대조 3건이고 조치 후 세 계정 모두 두 조건을 충족합니다. 결과를 바꾸는 예외는 서비스가 최대 길이를 12자로 제한하는 경우로, 그때는 15자를 채울 수 없으므로 그 사실과 대안을 기록에 남기고 서비스 교체 검토 대상으로 둡니다. 다음 행동은 미지원 계정마다 현재 길이와 재사용 여부를 적는 것입니다.

미지원 목록을 유지해야 하는 이유

대체 기준은 미지원 계정에만 적용되는 예외입니다. 목록이 없으면 어느 계정에 예외가 적용 중인지 알 수 없고, 서비스가 나중에 다중 인증을 지원하게 되어도 전환하지 않은 채 남습니다. 같은 지침은 비활성·미승인 계정을 분기별로 검토하라고 적으므로, 미지원 목록 갱신을 같은 분기 점검에 붙이면 전환 시점을 놓치지 않습니다.

대체 기준의 두 조건