백업은 파일을 복사했다는 표시가 아니라 사고 뒤 업무를 되살릴 수 있다는 확인까지 마쳐야 합니다. 먼저 고객·회계·계약 자료와 핵심 시스템의 설정, 애플리케이션, 복구에 필요한 계정과 키를 목록화하고 허용 가능한 데이터 손실과 중단 시간을 정하세요. 백업은 운영 계정과 권한을 분리하고 암호화하며, 적어도 한 사본은 평소 운영망에서 연결을 끊거나 변경·삭제하기 어렵게 보호해야 합니다. 자동 백업 성공 알림만 믿지 말고 깨끗하게 격리된 환경에서 대표 파일과 시스템을 정기적으로 복원해 무결성, 소요 시간과 담당 절차를 기록해야 합니다.
복구해야 할 업무와 자료부터 순서를 정합니다
모든 데이터를 같은 빈도와 방식으로 백업하면 비용은 늘고 정작 중요한 업무의 복구 순서는 불분명해질 수 있습니다. 고객·회계·계약 자료, 메일과 파일 저장소, 주문·출입·예약 시스템처럼 중단 시 피해가 큰 업무를 먼저 목록화하고 데이터뿐 아니라 애플리케이션, 설정, 라이선스, 암호화 키와 복구 계정까지 필요한 항목을 적으세요.
CISA는 자산과 업무 의존관계를 파악해 핵심 서비스를 복구 우선순위로 정하고, 중요 시스템을 빠르게 다시 만들 수 있는 설정과 실행 파일도 오프라인 백업에 포함하도록 안내합니다. 업무별로 마지막 어느 시점까지의 자료가 필요한지와 얼마 동안 중단을 견딜 수 있는지를 책임자와 합의하면 백업 주기와 복구 순서를 현실적으로 정할 수 있습니다.
- 핵심 업무·데이터·애플리케이션·설정·키의 의존관계 목록화
- 업무별 허용 가능한 데이터 손실과 중단 시간 합의
- 복구 순서·업무 책임자·기술 담당자 기록
운영 환경과 분리된 백업 사본을 확보합니다
랜섬웨어는 접근 가능한 공유폴더와 연결된 저장장치, 같은 관리자 권한으로 관리되는 백업까지 암호화하거나 삭제하려 할 수 있습니다. 백업 장치를 작업이 끝난 뒤 안전하게 분리하거나, 별도 계정과 네트워크 구역에서 변경·삭제를 제한하는 저장방식을 사용하고 적어도 한 사본은 운영 환경의 침해가 곧바로 번지지 않게 보호하세요.
CISA는 중요 데이터의 오프라인·암호화 백업을 유지하고 정기적으로 가용성과 무결성을 시험하라고 권고합니다. 호주 ACSC도 사용하지 않을 때 백업 매체를 분리하면 악성코드 확산 위험을 줄일 수 있다고 설명합니다. 클라우드 동기화는 삭제나 암호화가 그대로 반영될 수 있으므로 버전 보존, 삭제 방지, 별도 백업 여부와 보존기간을 확인해야 합니다.
- 최소 한 사본은 운영망에서 분리하거나 변경·삭제 제한
- 백업 관리계정과 일상 관리자계정 분리 및 다중인증 적용
- 암호화·버전 보존·삭제 방지·보존기간 설정 확인
백업 성공 표시보다 누락과 변조를 확인합니다
작업 완료 알림이 떠도 대상 폴더가 빠졌거나 저장공간 부족으로 오래된 백업이 예상보다 빨리 지워졌을 수 있습니다. 백업 대상과 제외 항목, 마지막 성공 시각, 처리 용량, 오류와 보존 사본 수를 정기적으로 검토하고 갑작스러운 용량 감소나 대량 삭제, 설정 변경에는 별도 알림을 두세요.
백업 데이터와 전송 구간은 조직의 민감도에 맞게 암호화하고 키는 백업 사본과 분리해 통제합니다. 백업 운영자도 필요한 범위만 접근하도록 하고 조회·삭제·정책 변경 기록을 남기세요. 공급업체가 백업을 대신하더라도 서비스 중단, 계정 침해와 계약 종료 때 데이터를 어떻게 내보내고 복구할 수 있는지는 조직이 직접 확인해야 합니다.
- 백업 대상·제외항목·용량·마지막 성공·보존 사본 수 점검
- 대량 삭제·정책 변경·작업 실패와 장기간 미수행 알림
- 암호화 키·관리권한·감사기록을 백업 데이터와 분리
격리된 환경에서 실제 복원 시험을 합니다
백업 파일이 존재하는 것과 업무가 복구되는 것은 다릅니다. 운영망과 분리된 깨끗한 시험 환경에서 대표 문서, 데이터베이스와 시스템 설정을 복원하고 파일이 열리는지, 애플리케이션이 정상 동작하는지, 예상 시점의 자료가 맞는지 확인하세요. 복구에 걸린 시간과 필요한 계정·키·담당자, 막힌 단계를 기록합니다.
CISA와 ACSC는 정기적인 복원 시험을 강조합니다. 시험 빈도는 업무 중요도와 변경 속도에 맞추고, 시스템 교체나 백업 제품 변경 뒤에도 다시 수행하세요. 시험용 자료에도 개인정보가 포함될 수 있으므로 접근과 폐기를 통제하며, 실패 원인은 다음 시험 전에 개선해 복구 절차서와 연락망에 반영합니다.
- 격리된 깨끗한 환경에서 대표 파일과 시스템 복원
- 무결성·복구 시점·소요 시간·업무 기능 확인
- 실패 원인과 필요한 계정·키·연락망을 절차서에 반영
사고 때는 감염을 제거한 뒤 안전하게 복구합니다
랜섬웨어가 의심되면 백업 시스템과 사본을 먼저 보호하고 영향을 받은 기기와 계정을 격리합니다. 최근 백업까지 감염됐을 가능성이 있으므로 정상으로 확인된 복구 시점을 선택하고, 감염된 장비나 같은 네트워크에 백업을 바로 연결하지 마세요. 증거와 로그를 보존한 뒤 깨끗한 환경을 준비하고 우선순위에 따라 복구합니다.
ACSC는 백업이 랜섬웨어에 오염되지 않았는지 확인하고 감염된 장치나 네트워크에 연결하지 말라고 안내합니다. 복구 후에는 취약점과 탈취된 계정을 그대로 되살리지 않도록 업데이트, 자격증명 교체와 접근권한 검토를 거치고 기능·보안·데이터 정합성을 확인한 뒤 업무망에 단계적으로 연결하세요. 사고 원인과 복구 결과를 다음 백업 설계와 훈련에 반영합니다.
- 백업을 보호하고 감염 장비·계정·네트워크부터 격리
- 정상으로 확인된 복구 시점과 깨끗한 환경 사용
- 업데이트·자격증명 교체·기능 검증 후 단계적 재연결
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 클라우드에 동기화하면 별도 백업이 없어도 되나요?
동기화는 편리하지만 원본의 삭제나 암호화가 다른 위치에도 반영될 수 있습니다. 버전 보존과 삭제 방지 범위, 관리자 계정 침해 시 영향을 확인하고 운영 권한과 분리된 별도 사본 및 실제 복원 시험을 준비하세요.
Q. 외장하드를 계속 연결해 두면 자동 백업이 더 안전한가요?
연결된 매체는 랜섬웨어나 침해된 관리자 권한의 영향을 함께 받을 수 있습니다. 자동화가 필요하더라도 적어도 한 사본은 작업 후 분리하거나 변경·삭제가 제한된 별도 환경에 두고 연결 절차와 담당자를 정하세요.
Q. 복구 시험은 파일 하나만 열어 보면 충분한가요?
아닙니다. 대표 파일의 무결성뿐 아니라 데이터베이스, 설정, 계정과 애플리케이션이 함께 작동하는지 확인해야 합니다. 핵심 업무별 목표 복구 시점과 시간을 기준으로 격리 환경에서 전체 절차를 정기적으로 시험하세요.
참고 출처 및 업데이트
CISA, #StopRansomware Guide, 작성기관 미국 사이버보안 및 인프라 보안국(CISA)·FBI·NSA·MS-ISAC 공동, 작성자 Joint Ransomware Task Force 편집팀, 작성일 2023-09-07, 수집일 2026-09-05CISA Project Upskill, How to Protect the Data that is Stored on Your Devices, 작성기관 미국 사이버보안 및 인프라 보안국(CISA), 작성자 CISA 교육콘텐츠 편집팀, 작성일 미표기, 수집일 2026-09-05ASD Australian Cyber Security Centre, How to back up your files and devices, 작성기관 호주 신호국 사이버보안센터(ASD ACSC), 작성자 ASD ACSC 편집팀, 작성일 2022-12-16, 수집일 2026-09-05ASD Australian Cyber Security Centre, Securing customer personal data, 작성기관 호주 신호국 사이버보안센터(ASD ACSC), 작성자 ASD ACSC 편집팀, 작성일 2023-10-10, 수집일 2026-09-05최초 작성 2026-09-05 · 최종 수정 2026-09-05
