네트워크 장비와 업무용 기기를 설치할 때는 인터넷이나 업무망에 연결하기 전에 제조사 기본 관리자 이름과 비밀번호를 바꾸거나 불필요한 기본 계정을 비활성화하세요. 장치마다 길고 고유한 비밀번호를 발급해 승인된 비밀번호 관리 도구에 보관하고, 지원되는 경우 관리자 다중인증을 적용합니다. 관리 화면은 관리자 전용 망이나 승인 단말에서만 열리게 제한하고 원격 관리는 필요할 때만 허용하세요. 자산 목록에 모델·책임자·관리 주소·지원 종료일을 기록하고, 정기적으로 기본 계정 재활성화와 낯선 관리자 로그인, 미등록 장치를 확인해야 합니다.
업무망에 연결하기 전에 초기 계정부터 확인합니다
공유기, 복합기, 출입·영상 장비와 회의실 기기는 설치 직후 바로 동작해 보여도 관리 화면에 제조사 공통 계정이나 예측 가능한 초기 비밀번호가 남아 있을 수 있습니다. 공개된 설명서에서 누구나 찾을 수 있는 인증정보라면 장비가 내부망에 있다는 이유만으로 안전하지 않습니다. 설치 담당자는 전원 연결, 초기 설정, 업무망 투입을 하나의 절차로 묶고 인증정보 변경이 끝나기 전에는 운영을 시작하지 않아야 합니다.
NSA와 CISA는 현장 점검에서 기본 설정과 기본 인증정보가 반복적으로 악용된다고 설명하며 제품을 운영 환경에 배치하기 전에 기본 구성을 변경하도록 권고합니다. 장비를 받으면 모델과 일련번호, 설치 위치, 내부 책임자, 관리 주소를 먼저 기록하고 제조사 공식 설명서에서 기본 계정, 초기화 방식과 지원되는 인증 기능을 확인하세요.
- 장비 모델·일련번호·설치 위치·책임자와 관리 주소 기록
- 공식 설명서에서 기본 계정·초기화·인증 기능 확인
- 인증정보 변경 완료 전 인터넷·업무망 운영 투입 금지
공통 비밀번호를 장치별 고유 인증정보로 바꿉니다
여러 장비에 같은 관리자 비밀번호를 쓰면 한 대에서 유출된 인증정보로 다른 장비까지 접근할 수 있습니다. 제조사 기본 사용자 이름과 비밀번호를 변경하고, 바꿀 수 없는 기본 계정은 제품이 지원하는 방법으로 비활성화하거나 로그인 경로를 제한하세요. 각 장치에는 서로 다른 길고 무작위한 비밀번호를 사용하고 개인 메모나 공동 문서가 아닌 조직이 승인한 비밀번호 관리 도구에 보관합니다.
관리자 계정을 여러 사람이 함께 쓰지 말고 가능하면 작업자를 구분할 수 있는 개인별 계정과 역할별 권한을 사용하세요. 다중인증을 지원하면 관리자 계정에 적용하되 비상 복구수단과 담당자 변경 절차도 함께 정합니다. 초기 설정표나 장비 상자에 적힌 비밀번호는 변경을 마친 뒤 안전하게 파기하거나 접근이 통제된 기록으로 옮기세요.
- 제조사 기본 계정 변경 또는 불필요한 기본 계정 비활성화
- 장치마다 서로 다른 긴 무작위 비밀번호 발급
- 개인별 관리자 계정·최소권한·지원되는 다중인증 적용
관리 화면은 필요한 사람과 경로에만 엽니다
비밀번호를 바꿔도 관리 화면이 인터넷 전체나 손님용 와이파이에 노출되면 공격 시도가 계속 들어올 수 있습니다. 웹 관리, 원격 셸, 전용 앱과 클라우드 관리 기능 중 실제로 쓰는 경로를 확인하고, 사용하지 않는 원격 관리와 서비스는 비활성화하세요. 관리는 승인된 단말과 관리자 전용 네트워크에서만 가능하게 하고 업무 사용자나 방문자 망에서는 접속하지 못하게 제한합니다.
NIST는 IoT 장치의 로컬·네트워크 인터페이스 접근을 승인된 주체로 제한하고 조직 요구사항에 맞게 구성을 안전하게 바꿀 수 있어야 한다고 제시합니다. 외부 유지보수가 필요하면 관리 포트를 직접 공개하지 말고 조직이 승인한 접속 경로와 시간 제한 계정을 사용하며, 작업이 끝난 뒤 접속과 권한이 실제로 닫혔는지 확인하세요.
- 인터넷 직접 노출과 사용하지 않는 원격 관리·서비스 해제
- 관리자 전용 망·승인 단말·허용 주소로 접속 범위 제한
- 외부 유지보수는 승인 경로와 임시 권한으로 열고 종료 확인
초기화와 교체 뒤에도 안전한 상태를 다시 만듭니다
장애 조치나 중고 장비 재사용 과정에서 공장 초기화를 하면 바꿨던 비밀번호와 제한 설정이 기본값으로 돌아갈 수 있습니다. 초기화가 발생한 장비는 새 장비와 같은 절차로 취급해 업무망에 다시 연결하기 전에 계정, 펌웨어, 원격 관리, 시간 설정과 로그 전송 상태를 확인하세요. 백업 설정을 복원할 때도 이전 담당자 계정과 오래된 인증정보가 함께 되살아나지 않는지 살펴야 합니다.
장비를 교체하거나 폐기할 때는 관리 서비스와 모바일 앱에서 등록을 해제하고 저장된 계정, 인증서, 무선망과 개인정보를 제조사 절차에 따라 삭제합니다. 장비 목록에는 초기화·재설정·담당자 변경과 폐기 시점을 남겨 현재 운영 중인 장비와 창고 또는 반출 장비를 구분하세요.
- 공장 초기화 장비는 재연결 전 전체 보안 설정 재적용
- 설정 복원 시 이전 계정·인증정보·불필요한 서비스 확인
- 교체·폐기 때 클라우드 등록 해제와 저장정보 삭제 기록
목록과 로그인 기록으로 기본값의 재등장을 찾습니다
한 번 변경한 뒤 끝내면 펌웨어 업데이트, 설정 복구나 담당자 교체 과정에서 기본 계정이 다시 활성화된 사실을 놓칠 수 있습니다. 정기 점검 때 자산 목록과 실제 네트워크 장치를 대조하고 미등록 장치, 알 수 없는 관리 주소, 공용 계정과 장기간 사용하지 않은 관리자 계정을 찾으세요. NIST는 네트워크를 보호하려면 어떤 장치가 있고 각 장치에 어떤 통신이 필요한지 이해해야 한다고 설명합니다.
관리자 로그인 성공·실패, 설정 변경, 계정 추가와 초기화 기록을 가능한 범위에서 수집하고 평소와 다른 시간·출발지의 접속을 확인하세요. 기본 인증정보 사용이나 낯선 관리자 계정을 발견하면 장비를 무작정 초기화하기보다 네트워크에서 격리하고 관련 로그와 설정을 보존한 뒤 인증정보 변경, 영향 범위 조사와 복구 순서를 따릅니다.
- 자산 목록과 실제 연결 장치를 대조해 미등록 장치 확인
- 기본·공용·휴면 관리자 계정과 불필요한 권한 정기 검토
- 이상 로그인 발견 시 격리·기록 보존·인증정보 교체·영향 조사
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 초기 비밀번호만 길게 바꾸면 장비 보안은 끝인가요?
아닙니다. 관리 화면의 접근 범위, 원격 관리와 불필요한 서비스, 펌웨어 업데이트, 관리자 계정과 로그도 함께 확인해야 합니다. 비밀번호 변경은 운영 전 필수 단계이지만 전체 장비 관리 절차의 일부입니다.
Q. 장비가 내부망에만 있으면 기본 비밀번호를 써도 되나요?
권장하지 않습니다. 감염된 내부 단말, 방문자 망의 잘못된 연결이나 다른 장비의 침해를 통해 관리 화면에 접근할 수 있습니다. 운영 투입 전에 기본 인증정보를 없애고 관리 경로도 승인된 범위로 제한하세요.
Q. 공장 초기화 뒤에는 무엇을 다시 확인해야 하나요?
기본 계정과 비밀번호, 관리자 접속 범위, 원격 관리, 펌웨어, 시간과 로그 설정을 새 장비처럼 다시 점검하세요. 이전 설정을 복원한다면 퇴사자 계정이나 오래된 인증정보까지 복구되지 않았는지도 확인해야 합니다.
참고 출처 및 업데이트
KISA 보호나라, IP카메라&공유기 안전 이용법, 작성기관 과학기술정보통신부·한국인터넷진흥원(KISA), 작성자 미표기, 작성일 2020-02-17, 수집일 2026-09-12NIST SP 800-213, IoT Device Cybersecurity Guidance for the Federal Government, 작성기관 미국 국립표준기술연구소(NIST), 작성자 Michael Fagan·Katerina N. Megas·Jeffrey Marron·Kevin Gerard Brady·Barbara Bell Cuthill·Rebecca Herold·David Lemire·Noel Hoehn, 작성일 2021-11-29, 수집일 2026-09-12NSA·CISA, Top Ten Cybersecurity Misconfigurations, 작성기관 미국 국가안보국(NSA)·사이버보안 및 인프라 보안국(CISA), 작성자 기관 공동명의, 작성일 2023-10-05, 수집일 2026-09-12NIST, Final NIST IR 8349 Released: Characterize & Secure Your IoT Devices, 작성기관 미국 국립표준기술연구소(NIST)·NCCoE, 작성자 NIST NCCoE 편집팀, 작성일 2025-08-28, 수집일 2026-09-12최초 작성 2026-09-12 · 최종 수정 2026-09-12
