정기적인 비밀번호 재설정, 생각만큼 안전하지 않다

핵심 요약

정기적인 비밀번호 재설정 정책이 오히려 공격자에게 사회공학적 기법을 통한 계정 침해의 빌미를 제공할 수 있음을 지적하는 내용입니다. 공격자는 헬프데스크를 대상으로 사회공학(Social Engineering) 기법을 활용하여 합법적인 비밀번호 재설정 요청으로 위장, 계정 조작(Account Manipulation, T1098)을 통해 시스템 접근 권한을 탈취할 수 있습니다. 이는 기존의 보안 통제인 정기적 비밀번호 변경 정책이 의도치 않게 공격 경로로 악용될 수 있음을 시사합니다. IT 감사인은 비밀번호 정책의 실효성을 재평가하고, 헬프데스크 운영 절차 및 임직원 보안 인식 수준에 대한 감사를 강화하여 이러한 유형의 계정 침해 리스크를 선제적으로 식별하고 관리해야 합니다.

💡 개선 권고안

• ✔기술적 조치비밀번호 재설정 관련 시스템 로그(예: Active Directory, IAM 시스템)를 중앙 집중적으로 수집하고, SIEM 또는 관련 시스템에 비정상적인 재설정 시도를 탐지하기 위한 규칙을 고도화하여 이상 징후 발생 시 즉각적인 알림 및 대응 체계를 구축할 것을 권고함.
• ✔관리적 조치헬프데스크의 비밀번호 재설정 절차에 대한 내부 통제를 강화하고, 본인 확인을 위한 다단계 인증(MFA) 도입 및 추가적인 검증 절차를 의무화하는 정책을 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 사회공학 공격, 피싱, 스미싱 등 최신 공격 기법에 대한 정기적이고 실질적인 보안 교육을 강화하고, 교육 효과를 측정하여 보안 인식 수준을 지속적으로 향상시킬 것을 권고함.
• ✔관리적 조치현재 운영 중인 비밀번호 정책(정기적 변경 주기, 복잡성, 길이 등)의 실효성과 보안성을 재평가하고, NIST SP 800-63B 등 최신 보안 표준을 참고하여 비밀번호 정책을 최적화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문