MFA 를 어느 계정부터 걸어야 하나요?

지침이 세 범위를 먼저 지목합니다

답부터 적으면 CISA 의 랜섬웨어 지침은 모든 서비스에 피싱 저항성 다중 인증을 적용하라고 적고, 특히 메일과 가상사설망, 중요 시스템에 접근하는 계정을 지목합니다. 한꺼번에 적용하기 어렵다면 이 세 범위가 앞 순서라는 뜻으로 읽을 수 있습니다. 목록이 아니라 순서를 주는 문장입니다.

메일이 먼저인 이유

메일 계정은 다른 계정의 비밀번호 재설정 경로를 쥐고 있습니다. 메일이 뚫리면 다른 서비스의 재설정 메일을 받아 계정을 차례로 넘길 수 있습니다. 그래서 메일에 적용하지 않은 상태에서 다른 서비스에 다중 인증을 거는 것은 뒷문을 열어 둔 채 앞문을 잠그는 일이 됩니다.

가상사설망과 중요 시스템이 다음인 이유

두 범위는 내부로 들어오는 경로입니다. 지침은 가상사설망 연결에 다중 인증을 적용할 수 없는 경우 최소 15자 이상의 고유한 비밀번호를 요구하는 정책을 쓰라고 적습니다. 적용이 불가능하더라도 그 경로를 그대로 두지 말라는 뜻이고, 그만큼 비중이 큰 자리라는 신호로 읽을 수 있습니다.

연동 계정을 범위 밖으로 두지 않습니다

분류에서 자주 빠지는 것이 외부 도구 계정입니다. 외부 도구가 중요 시스템에 연동되어 있으면 그 계정은 사실상 중요 시스템 접근 계정입니다. 이름이 외부 도구라는 이유로 후순위에 두면 지목된 범위를 비워 둔 채 적용을 마쳤다고 보게 됩니다. 연동 여부를 분류 열로 넣는 것이 안전합니다.

사례: 계정 34개를 네 묶음으로 배분하기

상황은 직원 18명 조직의 업무 계정 34개입니다. 입력값은 확인일 2026년 10월 19일, 메일 18개, 가상사설망 5개, 중요 시스템 접근 4개, 외부 도구 7개이고 외부 도구 중 2개가 중요 시스템에 연동, 전체 34개 중 다중 인증 미지원 3개입니다. 계산은 지목 범위부터 세는 것입니다. 메일 18개와 가상사설망 5개, 중요 시스템 4개에 연동 외부 도구 2개를 더해 29개가 우선 적용 대상입니다. 남은 외부 도구 5개 중 다중 인증을 지원하는 2개는 다음 순서이고, 미지원 3개는 15자 이상 고유 비밀번호로 대체합니다. 최종 결과는 우선 적용 29개, 후순위 2개, 비밀번호 대체 3개이고 합계 34개입니다. 결과를 바꾸는 예외는 가상사설망 5개 중 일부가 다중 인증을 지원하지 않는 경우로, 그때는 그 수가 우선 29개에서 빠지고 대체 3개에 더해집니다. 다음 행동은 계정 34개를 범위와 지원 여부 두 열로 적는 것입니다.

적용이 끝난 뒤에도 목록이 움직입니다

계정은 계속 늘어납니다. 같은 지침은 비활성·미승인 계정을 분기별로 검토하라고 적습니다. 분기 점검에서 새로 생긴 계정이 어느 범위에 들어가는지 분류하고, 다중 인증 미지원 계정 목록을 갱신합니다. 이 목록이 없으면 대체 기준을 적용해야 할 계정을 놓칩니다.

켰는지가 아니라 방식까지 봅니다

지침의 문장에는 피싱 저항성이라는 수식어가 붙어 있습니다. 적용 완료를 세는 기준도 그 수식어를 포함해야 합니다. 다중 인증이 켜져 있지만 피싱 상황에서 값이 함께 넘어갈 수 있는 방식이라면 완료로 세지 않고 전환 대상으로 둡니다. 분류 표에 방식 열을 하나 더 두면 이 구분이 유지됩니다.

범위별 적용 순서와 이유