비밀번호 길이, 8자와 15자 중 무엇이 내 기준인가요?

다중 인증이 켜져 있는지로 갈립니다

답부터 적으면 기준을 가르는 것은 길이에 대한 취향이 아니라 다중 인증 여부입니다. NIST SP 800-63B-4 는 비밀번호를 단일 인증 요소로 쓸 때 최소 15자를, 다중 인증의 한 요소로 쓸 때 최소 8자를 요구합니다. 다중 인증이 없으면 비밀번호가 단일 요소가 되므로 15자가 내 기준입니다.

8자가 느슨한 기준이 아닌 이유

두 숫자를 강약으로 읽으면 혼동이 생깁니다. 8자는 비밀번호 하나로 계정을 지키지 않는 상황의 값입니다. 다른 요소가 함께 걸려 있어서 비밀번호가 뚫려도 그것만으로 끝나지 않습니다. 그래서 8자는 보호가 약한 설정이 아니라 보호를 나눠 가진 설정의 값입니다.

다중 인증을 끄면 기준이 올라갑니다

여기서 실무적으로 중요한 함의가 나옵니다. 같은 계정에서 다중 인증을 해제하면 비밀번호가 단일 요소가 되고, 기존 10자 비밀번호가 그 순간 기준 미달이 됩니다. 비밀번호를 바꾸지 않았는데 기준이 바뀌는 구조입니다. 그래서 다중 인증 해제는 비밀번호 길이 점검과 함께 다뤄야 합니다.

랜섬웨어 지침도 같은 숫자를 씁니다

CISA 의 랜섬웨어 지침은 가상사설망 연결에 다중 인증을 적용할 수 없는 경우 최소 15자 이상의 고유한 비밀번호를 요구하는 정책을 쓰라고 적습니다. 다중 인증이 없을 때 15자라는 구조가 두 문서에서 같습니다. 그리고 고유함이라는 조건이 하나 더 붙습니다.

사례: 계정 12개의 기준을 각각 확정하기

상황은 개인이 쓰는 주요 계정 12개입니다. 입력값은 확인일 2026년 10월 19일, 다중 인증이 적용된 계정 7개, 미적용 5개이고 현재 길이는 적용군이 9자에서 14자 사이, 미적용군이 10자, 11자, 12자, 16자, 18자입니다. 계산은 계정마다 기준을 먼저 정하는 것입니다. 적용군 7개는 8자 기준이므로 9자 이상인 전부가 충족합니다. 미적용군 5개는 15자 기준이므로 10자, 11자, 12자 세 개가 미달이고 16자, 18자 두 개가 충족합니다. 최종 결과는 충족 9개, 미달 3개이고 조정 대상은 3개입니다. 결과를 바꾸는 예외는 미적용군 중 하나에 다중 인증을 새로 걸 수 있는 경우로, 그때 그 계정의 기준이 8자로 내려가 조정 대상에서 빠집니다. 다음 행동은 계정 12개에 다중 인증 여부와 현재 길이 두 열을 적는 것입니다.

길이를 올릴 때 함께 확인할 제약

15자를 채우려면 서비스가 그만큼 받아 주어야 합니다. NIST 는 검증자가 최대 길이를 64자 이상 허용해야 한다고 적지만, 실제 서비스가 12자로 제한하는 경우가 있습니다. 그러면 15자를 채울 수 없으므로 그 사실을 기록하고, 가능하면 다중 인증을 적용해 8자 기준으로 내려오는 쪽을 택합니다.

기준을 외우지 말고 함께 적는 방법

두 숫자만 기억하면 어느 상황의 값인지 헷갈립니다. 계정 목록에 다중 인증 여부 열을 두고 그 옆에 적용 기준 열을 두면 숫자를 외울 필요가 없습니다. 다중 인증이 켜지거나 꺼질 때 기준 열이 함께 바뀌므로, 설정 변경이 길이 점검으로 자동 연결됩니다.

상황별로 달라지는 최소 길이