비밀번호 주기적 변경 규칙은 왜 폐기됐나요?

금지된 것은 주기적 요구입니다

답부터 적으면 NIST SP 800-63B-4 는 검증자와 자격증명 서비스 제공자가 가입자에게 비밀번호를 주기적으로 변경하도록 요구하지 말아야 한다고 적습니다. 변경이 나쁘다는 문장이 아니라, 주기로 강제하는 방식을 금지하는 문장입니다. 사용자가 스스로 바꾸는 것은 막는 대상이 아닙니다.

대신 강제해야 하는 경우가 있습니다

같은 문서는 인증 수단이 침해됐다는 증거가 있으면 변경을 강제해야 한다고 적습니다. 즉 규칙이 사라진 것이 아니라 발동 조건이 날짜에서 사건으로 바뀐 것입니다. 90일마다 바꾸는 규칙을 지우고 아무 규칙도 두지 않으면 지침을 절반만 따른 상태가 됩니다.

주기적 요구가 역효과를 내는 지점

주기로 강제하면 사용자는 외우기 쉬운 변형을 만듭니다. 끝의 숫자만 올리는 방식이 전형입니다. 그 결과 길이와 복잡도는 유지되지만 예측 가능성이 올라갑니다. NIST 가 구성 규칙 강제를 금지하는 것과 같은 맥락이고, 두 금지는 같은 문제를 다른 각도에서 다룹니다.

무엇이 침해 증거인지 정해 두어야 합니다

사건 기반 규칙은 사건의 정의가 있어야 작동합니다. 유출 목록에서 해당 값이 확인된 경우, 계정에서 비정상 접속이 확인된 경우, 사고 조사에서 자격 증명 탈취가 확인된 경우가 전형입니다. 정의를 적어 두지 않으면 사건이 생겨도 누가 판단할지 애매해져 변경이 늦어집니다.

유출 목록 대조가 규칙을 작동시킵니다

NIST 는 검증자가 흔한·예상 가능·유출된 비밀번호 목록과 대조해야 한다고 적고, 부분문자열이 아니라 비밀번호 전체를 비교하라고 적습니다. 이 대조가 침해 증거를 만들어 내는 장치입니다. 대조를 하지 않으면 사건이 발생해도 인지하지 못하므로 사건 기반 규칙이 발동하지 않습니다.

사례: 90일 정책을 바꾸는 작업 네 가지

상황은 90일 주기 변경 정책을 운영해 온 조직입니다. 입력값은 확인일 2026년 10월 19일, 계정 34개, 현재 정책은 90일 주기 변경과 대소문자·숫자·특수문자 조합 강제, 유출 목록 대조 없음, 침해 시 변경 규칙 없음입니다. 계산은 지침과 어긋나는 항목을 세는 것입니다. 첫째 90일 주기 요구를 제거합니다. 둘째 구성 규칙 강제를 제거합니다. 셋째 유출 목록 대조를 도입합니다. 넷째 침해 증거 시 변경 강제 규칙을 추가합니다. 최종 결과는 제거 2건과 추가 2건으로 작업 4건이고, 계정 34개의 비밀번호를 지금 당장 전부 바꾸게 하는 조치는 포함되지 않습니다. 결과를 바꾸는 예외는 유출 목록 대조에서 해당 값이 걸린 계정이 나오는 경우로, 그 계정은 침해 증거에 해당하므로 변경을 강제합니다. 다음 행동은 현재 정책 문서에서 주기와 구성 규칙 문장을 찾아 표시하는 것입니다.

정책을 고칠 때 함께 공지할 내용

주기 요구를 없애면 사용자는 보안이 느슨해졌다고 읽을 수 있습니다. 그래서 바뀐 이유와 대신 생긴 규칙을 함께 알리는 편이 낫습니다. 주기 변경이 사라진 대신 유출 목록 대조가 상시로 돌고, 걸리면 즉시 변경을 요구한다는 설명입니다. 규칙이 약해진 것이 아니라 발동 방식이 바뀐 것이라는 점이 요지입니다.

바뀐 것과 유지되는 것