안전한 비밀번호 길이는 몇 자일까: NIST 15자 기준과 국내 고시 비교

비밀번호 길이 기준으로 자주 인용되는 문서는 미국 국립표준기술연구소(NIST)의 SP 800-63B예요. 현재 판은 800-63B-4이고, 미국 정부 정보시스템의 인증을 다루는 지침이에요. 비밀번호 부분의 요구 사항은 이래요.

• 비밀번호 하나로만 로그인하는 경우: 최소 15자
• 다른 인증 수단과 함께 쓰는 비밀번호: 더 짧아도 되지만 최소 8자
• 최대 길이: 64자 이상 허용 권장
• 길이는 유니코드 코드 포인트 하나를 한 글자로 계산
• 문자 종류를 섞으라는 조합 규칙 강요 금지
• 주기적으로 바꾸라는 요구 금지, 유출 증거가 있으면 변경 강제
• 흔하거나 예상 가능하거나 유출된 비밀번호 목록(블록리스트)에 있으면 다른 비밀번호를 고르게 함
• 비밀번호 관리자와 자동 입력 허용, 붙여넣기 허용 권장
• 한 계정의 연속 인증 실패는 100회 이하로 제한

부록 A에는 이유도 적혀 있어요. 길이·복잡도 요구를 이보다 늘리면 사용자 불편이 커지고, 사용자가 규칙을 역효과 나는 방식으로 피해 간다는 설명이에요. 무차별 대입 공격에는 블록리스트, 안전한 해시 저장, 기계가 만든 무작위 비밀번호, 시도 횟수 제한이 더 효과적이라고 해요.

국내에서 개인정보를 다루는 사업자에게 적용되는 기준은 개인정보보호위원회의 「개인정보의 안전성 확보조치 기준」이에요. 2026년 7월 1일 시행된 현행 고시 본문을 확인해 보니, 비밀번호 몇 자리나 몇 종류 조합 같은 숫자는 없어요. 대신 이렇게 적혀 있어요.

• 제5조 제5항: 개인정보취급자나 정보주체의 인증수단을 안전하게 적용하고 관리해야 해요.
• 제5조 제6항: 일정 횟수 이상 인증에 실패하면 접근을 제한하는 등 필요한 조치를 해야 해요.
• 제7조 제1항: 비밀번호를 저장할 때는 복호화되지 않도록 일방향 암호화해야 해요.

그래서 몇 자 이상을 요구할지는 서비스마다 정해요. 가입 화면의 비밀번호 규칙이 사이트마다 다른 이유예요. 이 고시의 해설서는 이번에 확인하지 못해 다루지 않았어요.

툴키오 비밀번호 생성기는 길이를 4자부터 64자까지 고를 수 있어요. 문자 종류는 소문자 26자, 대문자 26자, 숫자 10자, 특수문자 26자예요. 글자는 브라우저의 crypto.getRandomValues로 뽑아요.

강도 표시는 '길이 × log2(고른 문자 종류의 글자 수)'로 계산한 비트 수에 따라 붙어요. 40 미만은 약함, 60 미만은 보통, 80 미만은 강함, 그 이상은 매우 강함이에요. 이 구간은 생성기가 정한 값이고 공식 표준은 아니에요. 같은 식으로 계산한 값을 표로 옮겼어요.

표에서 읽을 수 있는 것은 두 가지예요.

• 소문자만 쓴 15자(70.5)가 네 종류를 다 섞은 10자(64.6)보다 높아요. 글자를 늘리는 쪽이 종류를 섞는 쪽보다 효과가 커요.
• 소문자+숫자 12자(62.0)와 전부 섞은 12자(77.5)는 15.5비트 차이예요. 소문자+숫자로 3자만 더 쓰면(15자, 77.5) 같은 값이 나와요.

이 계산은 모든 글자를 무작위로 뽑았을 때만 맞아요. 사람이 고른 단어나 생일은 경우의 수가 훨씬 적어서, 같은 길이라도 표의 값이 나오지 않아요.

• 비밀번호 하나로만 로그인하는 계정은 NIST 기준인 15자 이상으로 만드세요.
• 가입 규칙이 특수문자를 요구하면 따르되, 강도는 길이로 올리세요.
• 외울 필요가 없도록 생성기로 만들고 비밀번호 관리자에 저장하세요. NIST도 관리자·자동 입력·붙여넣기를 허용하라고 해요.
• 다른 인증 수단을 함께 쓰는 계정은 NIST 기준으로 8자까지 허용되지만, 길게 만들어서 손해 볼 일은 없어요.

• NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management: pages.nist.gov/800-63-4/sp800-63b.html
• 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」(2026. 7. 1. 시행): 국가법령정보센터

모두 2026년 9월 28일에 확인했어요.