보안
2단계 인증 (OTP)
요약
2단계 인증(2FA·OTP) 은 비밀번호 인증을 통과한 사용자에게 인증 앱(Google · Microsoft Authenticator)의 6자리 코드를 한 번 더 요구하는 보안 기능입니다.
관리자는 조직 단위로 적용 범위(사용 안 함 / 관리자만 / 전체)를 정해, 비밀번호 유출 시에도 외부에서 로그인할 수 없도록 차단할 수 있습니다.
이 페이지는 정보 보안 관리 → 2단계 인증 (OTP) 탭에서 확인할 수 있으며, 조직에 2단계 인증 기능이 활성화된 경우에만 노출됩니다.
적용 범위 정책
세 가지 정책 중 하나를 선택해 저장하면 즉시 조직 전체에 적용됩니다.
| 정책 | 동작 | 권장 상황 |
|---|---|---|
| 전체 해제 | OTP를 강제하지 않습니다. 어떤 사용자도 로그인 시 추가 인증을 거치지 않습니다. | 도입 검토 단계, 기능 일시 중단 |
| 관리자만 적용 (권장) | 관리자 권한 계정은 로그인 시 OTP가 필수입니다. 일반 사용자에게는 적용되지 않습니다. | 보안 위험이 높은 운영자 계정만 우선 보호 |
| 전체 적용 | 모든 계정이 로그인 시 OTP 인증을 거칩니다. | 컴플라이언스 요구, 외부 접속 차단 |
선택 후 우측 하단 저장 버튼을 누르면 변경 사항 확인 모달이 한 번 더 열립니다.
저장 시 동작
- 변경된 정책으로 새로 2단계 인증 대상이 되는 사용자는 현재 로그인 세션이 모두 종료됩니다.
- 해당 사용자는 다시 로그인한 뒤 등록 또는 인증을 완료해야 서비스를 이용할 수 있습니다.
- 이미 2FA가 등록된 사용자에게는 영향이 없습니다.
정책 변경은 저장 즉시 적용되어 영향 받는 사용자의 세션이 종료됩니다. 운영 중인 환경이라면 영업시간 외 또는 사전 공지 후 변경하는 것을 권장합니다.
사용자 시점의 흐름
관리자가 정책을 적용한 뒤 사용자는 다음 순서로 2단계 인증을 사용하게 됩니다.
| 단계 | 화면 | 주요 동작 |
|---|---|---|
| 1. 등록 (최초 1회) | /auth/2fa/setup | 인증 앱에서 QR 또는 설정 키 등록 → 6자리 코드 입력 |
| 2. 재로그인 | /auth/2fa | 비밀번호 통과 후 6자리 코드 입력 |
| 3. 잠금 | 잠금 화면 | 5회 실패 또는 5분 만료 시 잠금 화면으로 이동 |
상세한 사용자 안내는 사용자용 2단계 인증 가이드를 참고하세요. 관리자가 도입 공지에 함께 첨부하면 좋습니다.
잠금(Lockout) 정책
| 트리거 | 동작 |
|---|---|
| 6자리 코드 입력 5회 실패 | 5분 동안 잠금. 시간이 지나면 자동 해제, 처음부터 로그인 다시 시도 |
| 인증 도전 시간(5분) 만료 | 도전 무효화. 처음부터 로그인 다시 시도 |
| 인증 서비스 일시 장애 | 잠시 후 재시도 안내 |
5분 자동 해제 후에도 계속 인증에 실패하거나 인증 앱을 분실한 사용자는 백업 코드가 제공되지 않으므로 관리자 측의 초기화가 유일한 복구 수단입니다.
잠긴 사용자 초기화 절차
잠긴 사용자가 발생하면 다음 절차로 처리해주세요.
- 사용자가 본인 확인이 가능한 채널(사내 메신저, 사번/이메일)로 관리자에게 초기화를 요청합니다.
- 관리자가 해당 사용자의 2FA를 초기화합니다.
- 초기화 완료 후 사용자는 처음부터 다시 로그인해 새 인증 앱을 등록합니다.
2FA를 등록한 인증 앱(또는 단말기)을 분실한 경우 자가 복구 수단(백업 코드 등)이 제공되지 않습니다. 분실 즉시 관리자에게 알리도록 사내 가이드를 마련해주세요.
감사 로그 연동
2단계 인증 관련 활동은 정보 보안 관리 → 감사 로그 페이지에서 추적할 수 있습니다.
| 이벤트 | 의미 |
|---|---|
mfa_enrolled | 사용자가 인증 앱을 등록 완료 |
mfa_reset | 사용자의 2FA가 초기화됨 |
mfa_policy_changed | 조직 정책이 변경됨 (이전/이후 값 함께 기록) |
각 로그인 시도에는 다음 결과가 함께 기록됩니다.
| 결과 | 의미 |
|---|---|
mfa_required | 비밀번호 통과 후 OTP 인증이 요구된 상태 |
mfa_failed | 6자리 코드 검증 실패 |
mfa_locked | 5회 실패로 잠금 상태 진입 |
자세한 검색·내보내기 방법은 감사 로그 문서를 참고하세요.
마지막 수정 날짜: Jun 17, 2026