고객 편의를 감안한 초기 암호 설정의 딜레마

 정보 시스템을 운영하다 보면 사용자 계정의 암호를 초기화 해줘야 할 때가 있다. 일단 초기 암호를 지정하고 사용자에게 알리면 사용자가 초기 암호를 입력한 후 추가로 뜨는 암호 변경 창에서 실제로 자기가 쓸 암호로 바꾸는 게 일반적인 절차다. 대개 나는 '12345678'을 초기 암호로 지정하곤 한다. 멤브레인 키보드를 쓰다 보니 스윽 문대면 '12345678'이 바로 입력되기 때문이다.

 그런데 가끔 '12345678'을 계속 암호로 쓰고 싶어하는 사용자가 나온다. 자신의 다른 계정 암호도 똑같다면서 왜 '12345678'을 못 쓰냐고 한다. 최근에는 이런 저런 보안 사고가 신문 기사에도 난 터라 보안 정책 상 쓰면 안된다고 설명하면 별다른 얘기 없이 수긍을 한다. 문제는 '12345678'을 쓰고 싶어하는 사용자일수록 암호를 잘 잊는다는 점이다. 얼마 있지 않아 암호 재입력 건수를 초과하여 또 암호 초기화 요청을 한다.

 이럴 때면 두 가지 생각이 든다.

1. 그냥 '12345678'을 암호로 쓰도록 조치해 줄까?

2. 왜 고객사는 SSO를 도입하지 않아 나를 귀찮게 하는가?

 2번 문제야 돈이 드는 문제이니 잊어 버리고 말지만 1번 문제는 매번 나를 유혹한다. 정석 대로 살기 쉽지 않은 세상이다.