피싱 저항성 MFA 란 정확히 무엇을 말하나요?

요건은 MFA 가 아니라 피싱 저항성 MFA 입니다

답부터 적으면 지침의 문장에 수식어가 붙어 있습니다. CISA 의 랜섬웨어 지침은 모든 서비스에 피싱 저항성 다중 인증을 적용하라고 적습니다. 다중 인증을 켰다는 사실만으로 충족되는 요건이 아니라는 뜻입니다. 방식에 따라 피싱 상황에서 버티는 정도가 다르기 때문에 수식어가 요건의 일부로 들어가 있습니다.

지침이 먼저 지목하는 범위

같은 문장은 특히 메일, 가상사설망, 중요 시스템에 접근하는 계정을 지목합니다. 전부 한꺼번에 적용하기 어렵다면 이 세 범위가 앞 순서라는 뜻으로 읽을 수 있습니다. 메일이 먼저 오는 이유는 메일 계정이 다른 계정의 재설정 경로를 쥐고 있기 때문이고, 가상사설망과 중요 시스템은 내부 접근 경로이기 때문입니다.

피싱 저항성이 문제가 되는 지점

피싱은 사용자를 속여 자격 증명을 넘기게 만드는 방식입니다. 그래서 사용자가 화면을 보고 값을 옮겨 적는 구조라면 그 값도 함께 넘어갈 수 있습니다. 반대로 접속하려는 상대가 누구인지 기기가 확인하고, 사용자가 옮겨 적을 값이 아예 없는 구조라면 같은 수법이 통하지 않습니다. 이 차이가 피싱 저항성이라는 수식어가 가리키는 지점입니다.

MFA 를 걸 수 없는 서비스의 대체 기준

지침은 가상사설망 연결에 다중 인증을 적용할 수 없는 경우 최소 15자 이상의 고유한 비밀번호를 요구하는 정책을 쓰라고 적습니다. 이 값은 NIST 의 인증 지침과도 맞물립니다. NIST SP 800-63B-4 는 비밀번호를 단일 인증 요소로 쓸 때 최소 15자를, 다중 인증의 한 요소로 쓸 때 최소 8자를 요구합니다. 다중 인증이 없으면 비밀번호가 단일 요소가 되므로 15자 기준이 적용되는 구조입니다.

그래서 8자와 15자는 상황이 다른 숫자입니다

두 숫자를 같은 선에 놓으면 혼동이 생깁니다. 8자는 다중 인증이 함께 걸려 있을 때의 최소값이고, 15자는 비밀번호만으로 인증할 때의 최소값입니다. 다중 인증을 끄면 같은 비밀번호가 기준 미달이 될 수 있다는 뜻입니다. 숫자를 외우기보다 어떤 상황의 값인지를 함께 적어 두는 편이 안전합니다.

사례: 계정 20개의 적용 순서를 정하기

상황은 소규모 팀에서 쓰는 업무 계정 20개입니다. 입력값은 확인일 2026년 10월 19일, 메일 계정 6개, 가상사설망 계정 4개, 중요 시스템 접근 계정 3개, 나머지 7개는 외부 도구 계정입니다. 그중 2개는 다중 인증을 지원하지 않습니다. 계산은 지침이 지목한 범위부터 세는 것입니다. 메일 6개와 가상사설망 4개, 중요 시스템 3개를 합쳐 13개가 우선 적용 대상입니다. 나머지 7개 중 다중 인증을 지원하는 5개는 다음 순서이고, 지원하지 않는 2개는 15자 이상 고유 비밀번호로 대체합니다. 최종 결과는 우선 적용 13개, 후순위 적용 5개, 비밀번호 대체 2개입니다. 결과를 바꾸는 예외는 외부 도구 계정 중 하나가 중요 시스템에 연동되어 있는 경우로, 그 계정은 후순위가 아니라 우선 13개에 포함됩니다. 다음 행동은 계정 20개를 메일·망·중요 시스템·기타로 분류한 표를 만드는 것입니다.

적용 뒤에 남는 점검 항목

적용은 한 번으로 끝나지 않습니다. 같은 지침은 비활성·미승인 계정을 분기별로 검토하라고 적습니다. 계정이 늘어나면 적용 범위 밖의 계정도 같이 늘어나기 때문입니다. 분기 점검에서 새로 생긴 계정이 어느 범위에 들어가는지 분류하고, 다중 인증을 지원하지 않는 계정 목록을 갱신합니다. 이 목록이 없으면 대체 기준을 적용해야 할 계정을 놓칩니다.

지침이 요구하는 범위와 방식