보안 기준: 계정과 로그인 (MFA와 세션)

보안·개인정보·권리2026년 9월 18일 5분 읽기보안구축기준docspublic-doc

업무 시스템에 로그인하는 방식과, 로그인한 뒤 그 상태가 얼마나 유지될지를 정리한 문서입니다. 전체 구성은 업무 시스템 보안 기준에 있습니다.

확인 기준. 2026년 9월 18일에 OWASP 의 다중 인증·세션 관리 가이드를 확인해 작성했습니다. 실제 적용 범위는 프로젝트마다 협의합니다.

계정은 사람마다 하나

업무 시스템에서 계정을 공유하면 세 가지가 함께 무너집니다. 누가 무엇을 했는지 알 수 없고, 권한을 사람별로 다르게 줄 수 없으며, 퇴직자의 접근을 끊으면 남은 직원도 함께 끊깁니다.

그래서 계정은 사람마다 하나를 원칙으로 합니다. 공용 단말을 여럿이 쓰는 현장이라면, 단말은 공용이더라도 로그인은 각자 하도록 설계합니다.

비밀번호는 유출될 수 있습니다. 다른 사이트에서 새어 나온 비밀번호를 그대로 쓰는 경우가 흔하고, 그때는 정상적인 로그인처럼 보입니다. 다중 인증은 비밀번호 외에 한 가지를 더 확인해 이 경우를 막습니다.

OWASP 의 다중 인증 가이드는 출발점으로 다음을 권합니다.

같은 문서는 패스키(FIDO2)를 피싱에 강하면서도 사용자 부담이 적은 방식으로 소개합니다.

재설정 절차를 꼭 정해 두시기 바랍니다. 휴대폰을 바꾼 직원의 MFA 를 관리자가 그냥 꺼 주는 운영이 되면, 그 화면이 우회로가 됩니다. 본인 확인 방법과 기록 남기는 방식을 함께 정합니다.

로그인한 상태를 세션이라고 합니다. OWASP 세션 관리 가이드는 세션에 세 가지 만료를 두라고 안내합니다.

이 값은 업무 성격에 따라 다릅니다. 현장에서 태블릿을 오래 켜 두고 쓰는 시스템과, 사무실에서 단가를 다루는 시스템은 기준이 달라야 합니다.

같은 가이드는 권한이 바뀌는 시점에 세션 식별값을 새로 발급하라고 합니다. 로그인 직후가 대표적입니다. 듀오랩스는 이 처리를 기본으로 넣습니다.

로그아웃도 화면에서 지우는 것으로 끝내지 않고 서버에서 세션을 무효화합니다. 공용 단말에서 로그아웃한 뒤 브라우저 뒤로 가기로 화면이 다시 보이는 상황을 막기 위해서입니다.

계정 정지는 고객사가 하는 일이고, 시스템은 그 일을 쉽게 만드는 기능을 제공합니다.

인사 절차와 연결해 두시기 바랍니다. 퇴직 처리 체크리스트에 「업무 시스템 계정 비활성화」를 넣어 두면 빠뜨리지 않습니다.