비밀번호·OTP 관리 — IT 보안 기초
요약
- 회사 시스템 비밀번호 정책 (복잡도·변경 주기), OTP·MFA 활용, 분실·도난 대응, 외부 위협 방어를 정리했어요.
비밀번호·OTP 관리란?
회사 시스템·계좌·자금에 접근하는 인증 수단 관리.
부정·해킹 방지의 가장 기본. 신입 회계 담당자는 비밀번호·OTP 안전 관리를 알아야 해요.
---
인증 수단 종류
| 수단 | 보안 | 사용 |
|---|---|---|
| 비밀번호 | 보통 | 모든 시스템 |
| OTP (One-Time Password) | ↑ | 인터넷뱅킹·VPN |
| 공인인증서 | ↑ | 금융·세무 |
| 생체 (지문·얼굴) | ↑↑ | 모바일·일부 시스템 |
| MFA (Multi-Factor) | 매우 ↑ | 비밀번호 + OTP |
---
비밀번호 정책
회사 표준 정책
복잡도:
- 최소 12자
- 대문자·소문자·숫자·특수문자 조합
- 사전 단어 ❌
- 본인 정보 (생일·이름) ❌
변경 주기:
- 시스템 비밀번호: 3개월
- 인터넷뱅킹: 3~6개월
- 공인인증서: 1년
중복 사용 ❌:
- 다른 시스템과 동일 ❌
- 과거 3회 비밀번호 ❌
비밀번호 관리 도구
비밀번호 관리자 (Password Manager):
- 1Password, LastPass, Bitwarden
- 강한 비밀번호 자동 생성·저장
- 마스터 비밀번호 1개만 기억
주의:
- 마스터 비밀번호 강력
- 회사 정책 허용 여부
---
OTP (One-Time Password)
OTP 종류
- 하드웨어 OTP: 별도 토큰
- 소프트웨어 OTP: 앱 (Google Authenticator·Authy)
- SMS OTP: 휴대전화 문자
OTP 사용처
- 인터넷뱅킹
- 회사 VPN
- 중요 시스템 로그인
OTP 관리 수칙
- 본인만 사용
- 분실 시 즉시 재발급
- 공유 ❌
---
MFA (Multi-Factor Authentication)
MFA 정의
2개 이상 인증 수단 조합:
- 비밀번호 (지식) + OTP (소유)
- 비밀번호 + 지문 (생체)
MFA 효과
- 비밀번호만 유출 시도 보안 ↑
- 해킹 방어 ↑↑
MFA 적용 시스템
- 인터넷뱅킹 (의무)
- VPN
- ERP 관리자
- 클라우드 (Google·MS)
---
인증서 관리
공인인증서 (지문)
- 금융·세무 의무
- 본인 PC에만 저장
- USB 보관 ❌
- 비밀번호 강력
사업자 인증서
- 회사 명의
- 자금부장·회계 책임
- 만료일 관리 (1~2년)
---
단계별 보안 강화
1단계: 정책 수립
- 비밀번호 복잡도·주기
- OTP 의무 시스템
- MFA 적용 범위
2단계: 시스템 설정
- 비밀번호 정책 자동 적용
- OTP·MFA 의무화
- 로그인 시도 제한 (5회 실패 시 차단)
3단계: 임직원 교육
- 강한 비밀번호 작성법
- OTP·MFA 사용
- 피싱 식별
4단계: 모니터링
- 로그인 실패 알림
- 비정상 접근 (시간·위치)
- 비밀번호 만료 알림
5단계: 사고 대응
- 비밀번호 유출 시 즉시 변경
- OTP 분실 시 재발급
- 인증서 분실 시 폐기·재발급
---
사고 대응
비밀번호 유출
즉시:
- 해당 시스템 비밀번호 변경
- 동일 비밀번호 사용 시스템 모두 변경
- 부정 접근 모니터링
OTP 분실
즉시:
- 사용 정지
- 재발급 신청
- 부정 사용 조사
인증서 도난
즉시:
- 인증서 폐기
- 신규 발급
- 부정 거래 확인
---
자주 하는 실수
- 비밀번호 메모: 책상·스티커
- 동일 비밀번호: 모든 시스템 동일
- 단순 비밀번호: "1234·password"
- OTP 공유: 부장이 직원에 빌려줌
- 인증서 USB 보관: 분실·도난 위험
---
자주 묻는 질문 (FAQ)
Q1. 비밀번호 적기 가능?
❌ 절대. 비밀번호 관리자 활용.
Q2. OTP 부장이 들고 다니기 부담?
소프트웨어 OTP (앱) 활용. 휴대전화에 설치.
Q3. MFA 도입 비용?
대부분 무료 (Google Authenticator). 일부 유료.
Q4. 비밀번호 유출 확인?
Have I Been Pwned (haveibeenpwned.com)에서 본인 이메일 확인.
Q5. 공유 계정 비밀번호?
가급적 ❌. 권한 분리. 불가피 시 정기 변경 + 사용 기록.
---
실무 체크리스트
- 회사 비밀번호 정책이 있나요? (복잡도·주기)
- 인터넷뱅킹·VPN·ERP에 OTP·MFA 적용하나요?
- 비밀번호 관리자 사용을 허용·권장하나요?
- 공인인증서를 본인 PC에 안전 저장하나요?
- 임직원에 비밀번호·피싱 교육을 정기 시행하나요?
- 로그인 실패·비정상 접근 모니터링하나요?
- 비밀번호 유출·OTP 분실 시 즉시 대응 절차가 있나요?
---