랜섬웨어 대비 백업 방법을 알아볼 때 가장 많이 듣는 말이 있습니다.
“중요한 파일은 NAS에 백업해두면 됩니다.”
물론 백업은 랜섬웨어 대응에서 매우 중요합니다. 하지만 회사 PC의 파일을 NAS에 복사해두었다는 이유만으로 모든 준비가 끝났다고 보기는 어렵습니다.
PC와 NAS가 항상 연결되어 있고 같은 관리자 계정을 사용한다면 공격 상황에 따라 백업 데이터까지 영향을 받을 수 있기 때문입니다.
더 중요한 문제도 있습니다.
백업파일이 존재한다고 해서 실제로 복구할 수 있다는 뜻은 아닙니다.
몇 년 동안 자동백업이 정상적으로 작동한다고 생각했는데 막상 필요한 순간 파일이 손상되어 있거나, 복구방법을 아는 직원이 없거나, 최근 정상 백업 시점을 찾지 못한다면 백업의 효과는 크게 떨어집니다.
따라서 랜섬웨어 대비에서는 단순한 파일 복사보다 백업 → 분리 → 확인 → 복구 테스트까지 하나의 과정으로 생각하는 것이 좋습니다.
랜섬웨어에 백업이 중요한 이유
랜섬웨어는 PC나 서버의 파일을 사용할 수 없게 만든 뒤 금전을 요구하는 형태의 공격으로 많이 알려져 있습니다.
회사에서 이런 사고가 발생하면 단순히 문서 몇 개를 잃는 문제로 끝나지 않을 수 있습니다.
예를 들어 다음 자료가 모두 영향을 받았다고 가정해보겠습니다.
- 고객 주문자료
- 회계자료
- 계약서
- 견적서
- 설계도면
- 생산자료
- ERP 데이터
- 공유폴더
- 홈페이지 데이터
이때 정상적인 백업이 있다면 시스템을 초기화한 뒤 데이터를 복원해 업무를 다시 시작할 가능성이 높아집니다.
반대로 백업까지 사용할 수 없다면 회사의 선택지가 크게 줄어듭니다.
결국 랜섬웨어 대응에서 중요한 것은 공격을 100% 막겠다는 생각뿐 아니라 공격을 당해도 다시 일어날 수 있도록 준비하는 것입니다.
NAS에 백업하면 안전하지 않을까?
NAS는 여러 사람이 파일을 공유하고 백업하기에 편리합니다.
중소기업에서도 많이 사용하는 이유입니다.
하지만 NAS를 사용하는 것과 랜섬웨어에 안전한 백업을 가지고 있는 것은 같은 의미가 아닙니다.
예를 들어 다음과 같은 구조를 생각해보겠습니다.
직원 PC → 사내 네트워크 → NAS
직원 PC에서 NAS 공유폴더를 항상 사용할 수 있다면 정상적인 업무에는 편리합니다.
하지만 감염된 계정이나 시스템이 NAS 데이터까지 변경할 수 있는 구조라면 백업 영역 역시 위험에 노출될 가능성을 고려해야 합니다.
따라서 한 가지 질문을 해볼 필요가 있습니다.
PC가 감염되어도 백업파일까지 바로 수정하거나 삭제할 수 없는가?
이 질문에 확실하게 답하기 어렵다면 백업 구조를 한번 점검해볼 필요가 있습니다.
1. 원본과 백업을 같은 곳에 두지 않는다
가장 쉽게 발생하는 실수입니다.
업무파일과 백업파일이 사실상 같은 시스템 안에 존재하는 경우입니다.
예를 들어 PC의 업무자료 폴더를 같은 PC의 백업 폴더에 복사했다고 가정해보겠습니다.
이것은 파일을 하나 더 만들어둔 것이지 충분한 의미의 백업이라고 보기 어렵습니다.
PC 자체에 문제가 생기면 둘 다 영향을 받을 수 있기 때문입니다.
백업은 가능한 한 원본과 분리하는 것이 좋습니다.
예를 들면,
업무 PC → 별도 NAS
또는
서버 → 별도 백업장비
처럼 물리적 또는 논리적으로 분리할 수 있습니다.
중요한 데이터라면 한 단계 더 나아가 별도 장소나 클라우드 백업을 함께 검토할 수도 있습니다.
2. 항상 연결된 백업만 믿지 않는다
자동백업은 편리합니다.
직원이 직접 백업하지 않아도 일정 시간마다 자료가 저장되기 때문입니다.
하지만 백업장치가 항상 운영시스템과 연결되어 있다면 공격이나 관리자 계정 탈취 등의 상황에서 함께 영향을 받을 수 있습니다.
그래서 중요한 데이터는 항상 연결되어 있지 않은 백업도 고려할 필요가 있습니다.
예를 들어 외장 저장장치에 주기적으로 백업한 뒤 평소에는 분리해서 보관하는 방법이 있습니다.
규모가 있는 환경에서는 변경이나 삭제를 제한하는 별도의 백업 저장구조를 검토할 수도 있습니다.
핵심은 간단합니다.
사고가 발생한 시스템에서 백업까지 마음대로 변경할 수 없게 만드는 것입니다.
3. 3-2-1 백업 원칙을 쉽게 이해하기
백업 방법을 찾아보면 3-2-1 백업이라는 말을 자주 볼 수 있습니다.
처음 보면 어려워 보이지만 원리는 단순합니다.
3개의 데이터 사본
원본을 포함해 데이터 사본을 여러 개 준비합니다.
예를 들면,
- 업무용 원본
- 사내 백업
- 별도 백업
입니다.
2가지 서로 다른 저장수단
모든 사본을 같은 장비나 같은 방식으로 저장하지 않는 것입니다.
예를 들어 NAS와 클라우드처럼 서로 다른 저장방식을 사용할 수 있습니다.
1개는 별도 위치에 보관
화재, 침수, 도난처럼 사무실 전체에 문제가 발생하는 상황까지 고려해 한 개는 다른 위치에 두는 방식입니다.
소규모 회사가 처음부터 복잡한 백업시스템을 만들 필요는 없지만, 최소한 원본과 백업이 한 번의 사고로 동시에 사라지는 구조는 피하는 것이 중요합니다.
4. 백업 계정과 관리자 계정을 분리한다
백업장비를 설치해도 관리자 계정을 제대로 관리하지 않으면 문제가 생길 수 있습니다.
예를 들어 회사의 여러 PC에서 같은 관리자 계정을 사용하고 NAS 관리계정까지 동일한 비밀번호를 사용한다면 하나의 계정 문제가 여러 시스템으로 이어질 수 있습니다.
가능하다면 다음처럼 분리하는 것이 좋습니다.
일반 업무 계정
파일을 열고 저장하는 용도
백업 계정
백업 작업에 필요한 용도
관리자 계정
설정 변경이 필요한 경우에만 사용
특히 백업파일을 삭제하거나 백업정책을 변경할 수 있는 권한은 최소한의 관리자만 갖도록 하는 것이 좋습니다.
관리자 계정에는 MFA를 적용할 수 있다면 함께 검토하는 것도 좋습니다.
5. 백업 성공 메시지만 믿지 않는다
자동백업 프로그램에서 매일 “백업 완료”라는 메시지가 표시된다고 해서 마음을 놓기 쉽습니다.
하지만 실제로 중요한 것은 다른 질문입니다.
그 백업으로 시스템을 되살릴 수 있는가?
다음과 같은 문제가 있을 수 있습니다.
- 필요한 폴더가 백업 대상에서 빠져 있음
- 오래된 파일만 저장됨
- 백업파일 자체가 손상됨
- 데이터베이스 복구방법을 모름
- 암호화된 백업 비밀번호를 모름
- 담당자가 퇴사해 복구 절차를 아무도 모름
그래서 일정한 주기로 실제 파일을 복원해보는 것이 좋습니다.
복구 테스트는 거창할 필요가 없습니다.
임의의 파일 하나를 선택해 별도 폴더에 복원한 뒤 정상적으로 열리는지 확인하는 것부터 시작할 수 있습니다.
6. 백업 보관기간도 정해야 한다
백업을 매일 하고 있어도 모든 백업이 최근 파일 하나로 덮어쓰기 되는 구조라면 문제가 생길 수 있습니다.
랜섬웨어 감염 사실을 바로 알아차리지 못하는 경우를 생각해보겠습니다.
월요일에 문제가 시작됐지만 금요일에 발견했다면 화요일, 수요일, 목요일 백업에도 이미 문제가 반영되었을 가능성을 고려해야 합니다.
그래서 최근 백업 하나만 보관하기보다 여러 시점의 백업을 유지하는 방법이 좋습니다.
예를 들어 회사 상황에 따라,
- 최근 7일 일별 백업
- 최근 4주 주별 백업
- 월별 장기 백업
처럼 보관정책을 만들 수 있습니다.
정답이 하나 있는 것은 아닙니다.
중요한 것은 언제 문제가 시작됐는지 모르는 상황에서도 정상 시점으로 돌아갈 수 있도록 여러 복구 지점을 남겨두는 것입니다.
7. 무엇부터 복구할지 미리 정해둔다
랜섬웨어 사고가 발생하면 모든 시스템을 동시에 복구하기 어려울 수 있습니다.
그래서 평소에 업무 중요도를 정해두면 좋습니다.
예를 들어 제조기업이라면 다음처럼 생각해볼 수 있습니다.
1순위
생산에 직접 필요한 시스템
2순위
ERP·MES·주문관리 시스템
3순위
파일서버와 공유폴더
4순위
일반 직원 PC
5순위
과거 문서나 보관자료
회사마다 순서는 달라질 수 있습니다.
중요한 것은 사고가 발생한 뒤 회의하면서 결정하는 것이 아니라 어떤 시스템을 몇 시간 또는 며칠 안에 복구해야 하는지 미리 생각해두는 것입니다.
랜섬웨어 발생 상황을 한번 가정해보자
직원 30명인 중소기업을 예로 들어보겠습니다.
월요일 오전 직원 한 명이 파일을 열었는데 잠시 뒤 공유폴더의 문서가 정상적으로 열리지 않기 시작합니다.
확인 결과 여러 PC와 파일서버에 문제가 발생했습니다.
이때 백업이 있다고 가정해보겠습니다.
회사 A
NAS에 매일 자동백업
하지만 NAS가 항상 연결되어 있고 백업 계정도 일반 관리자 계정과 동일합니다.
마지막 정상 백업이 언제인지 아무도 모릅니다.
회사 B
NAS 자동백업 + 별도 백업
관리자 계정이 분리되어 있고 일정한 주기로 복구 테스트를 합니다.
백업 날짜별로 여러 버전을 보관하고 있습니다.
두 회사 모두 “백업을 하고 있다”고 말할 수 있습니다.
하지만 실제 사고가 발생했을 때 복구 가능성에는 큰 차이가 생길 수 있습니다.
그래서 중요한 것은 백업 여부가 아니라 복구 가능한 백업인지 확인하는 것입니다.
중소기업 랜섬웨어 백업 구축 순서
백업시스템을 처음 정리한다면 다음 순서로 접근해볼 수 있습니다.
1단계. 중요한 데이터 찾기
먼저 잃어버리면 업무가 중단되는 데이터를 확인합니다.
- 회계자료
- 고객자료
- 계약자료
- 생산자료
- 설계파일
- 데이터베이스
- 홈페이지
- 업무 공유폴더
모든 데이터를 동일하게 관리할 필요는 없습니다.
중요도가 높은 데이터부터 시작합니다.
2단계. 현재 백업 위치 확인
자료가 어디에 백업되는지 확인합니다.
“전산업체가 알아서 한다”가 아니라 실제 저장 위치를 파악하는 것이 좋습니다.
3단계. 원본과 백업 분리
업무시스템의 문제가 백업까지 바로 영향을 주지 않는 구조인지 확인합니다.
4단계. 관리자 권한 정리
누가 백업파일을 삭제하거나 정책을 변경할 수 있는지 확인합니다.
5단계. 여러 시점의 백업 보관
최근 한 개 파일만 남기는 것이 아니라 정상 시점으로 돌아갈 수 있도록 여러 버전을 남깁니다.
6단계. 복구 테스트
실제 파일을 꺼내 정상적으로 사용할 수 있는지 확인합니다.
여기까지 해놓으면 단순히 “백업장비를 가지고 있는 회사”에서 실제로 복구 준비가 된 회사로 한 단계 나아갈 수 있습니다.
랜섬웨어 대비 백업 체크리스트
현재 백업 상태를 아래 항목으로 확인해볼 수 있습니다.
- 중요한 데이터가 무엇인지 알고 있는가?
- 어디에 백업되는지 알고 있는가?
- 원본과 백업이 분리되어 있는가?
- 별도의 백업 사본이 존재하는가?
- 항상 연결되지 않은 백업이 있는가?
- 백업 관리자 계정이 분리되어 있는가?
- 여러 날짜의 백업을 보관하는가?
- 백업 성공 여부를 정기적으로 확인하는가?
- 실제 파일 복원을 테스트한 적이 있는가?
- 데이터베이스도 복구할 수 있는가?
- 복구 담당자가 정해져 있는가?
- 담당자가 없을 때도 복구할 수 있는 문서가 있는가?
- 어떤 시스템부터 복구할지 순서가 정해져 있는가?
- 백업장비 자체의 보안도 관리하고 있는가?
체크가 많이 되지 않는다고 해서 당장 큰 장비를 구매할 필요는 없습니다.
우선 중요 데이터 → 백업 위치 → 관리자 → 복구 가능 여부부터 확인하면 됩니다.
랜섬웨어 발생 후 바로 백업을 연결하면 안 되는 이유
실제 사고가 발생하면 당황해서 백업부터 연결하고 싶을 수 있습니다.
하지만 감염 범위나 침입 원인을 확인하지 않은 상태에서 정상 백업을 기존 환경에 바로 연결하는 것은 신중해야 합니다.
복구 과정에서는 일반적으로 다음과 같은 순서를 생각해야 합니다.
감염 시스템 분리 → 영향 범위 확인 → 정상 백업 확인 → 안전한 환경 준비 → 데이터 복구
백업은 마지막 남은 정상 데이터일 수 있기 때문에 복구 과정에서 오염되지 않도록 보호하는 것이 중요합니다.
특히 내부에서 대응하기 어려운 규모의 사고라면 전문 보안업체나 관련 기관의 지원을 검토하는 편이 안전합니다.
랜섬웨어 대비에서 보안솔루션보다 먼저 물어볼 질문
백신, EDR, XDR 등 다양한 보안제품은 랜섬웨어 탐지와 대응에 도움이 될 수 있습니다.
하지만 어떤 보안제품도 모든 공격을 완벽하게 막는다고 보기는 어렵습니다.
그래서 기술적인 방어와 함께 복구 준비도 필요합니다.
결국 회사가 답할 수 있어야 하는 질문은 다음과 같습니다.
오늘 모든 업무파일을 사용할 수 없게 되면 어디에서 복구할 것인가?
마지막 정상 백업은 언제인가?
백업파일을 공격자가 삭제할 수 있는가?
누가 복구할 것인가?
몇 시간 또는 며칠 안에 업무를 다시 시작할 수 있는가?
이 질문에 바로 답하지 못한다면 현재 백업 구조를 한번 점검해볼 필요가 있습니다.
랜섬웨어 대비 백업의 목적은 ‘저장’이 아니라 ‘복구’다
랜섬웨어 대비 백업 방법에서 가장 중요한 것은 백업파일 개수를 늘리는 것이 아닙니다.
필요한 순간에 사용할 수 있는 정상 데이터를 확보하는 것입니다.
그래서 백업은 다음 네 단어로 기억하면 쉽습니다.
분리하고, 여러 개 남기고, 확인하고, 직접 복구해본다.
특히 NAS를 사용하고 있다면 NAS가 있다는 사실만 확인하지 말고 PC가 감염되어도 NAS의 백업까지 함께 영향을 받지 않는지 살펴보는 것이 좋습니다.
중소기업이라면 오늘 가장 먼저 해볼 수 있는 일이 있습니다.
백업 프로그램 화면을 보는 것이 아니라 지난주 파일 하나를 실제로 복구해보는 것입니다.
정상적으로 복원된다면 현재 백업이 실제로 작동하고 있다는 것을 확인할 수 있습니다.
복구되지 않는다면 사고가 발생하기 전에 문제를 발견한 것이므로 오히려 다행입니다.
자주 묻는 질문
NAS에 백업하면 랜섬웨어에 안전한가요?
NAS는 유용한 백업수단이지만 항상 연결되어 있고 일반 계정에서 백업파일을 자유롭게 변경할 수 있다면 공격 상황에서 영향을 받을 가능성을 고려해야 합니다. 별도의 백업 사본과 권한 분리도 함께 검토하는 것이 좋습니다.
3-2-1 백업이란 무엇인가요?
원본을 포함해 데이터 사본을 여러 개 유지하고, 서로 다른 저장수단을 사용하며, 최소 하나는 별도 위치에 보관하는 백업 원칙입니다.
외장하드 백업도 도움이 되나요?
주기적으로 백업한 뒤 평소 시스템에서 분리해 보관한다면 하나의 추가 백업수단으로 활용할 수 있습니다. 다만 분실이나 물리적 고장 가능성도 있으므로 이것 하나에만 의존하는 것은 피하는 것이 좋습니다.
백업은 얼마나 자주 해야 하나요?
업무에서 허용할 수 있는 데이터 손실 범위에 따라 달라집니다. 하루치 데이터를 잃어도 되는 회사와 10분치 데이터도 잃으면 안 되는 회사의 백업주기는 다를 수 있으므로 데이터 중요도에 맞춰 정해야 합니다.
백업을 하고 있는데 복구 테스트도 해야 하나요?
네. 백업 성공 메시지만으로 실제 복구 가능 여부까지 확인할 수는 없습니다. 중요한 데이터는 일정한 주기로 실제 복원해 정상적으로 열리는지 확인하는 것이 좋습니다.
랜섬웨어 대비에서 가장 먼저 해야 할 일은 무엇인가요?
회사의 중요 데이터가 무엇이며 현재 어디에 백업되고 있는지를 파악하는 것이 우선입니다. 이후 원본과 백업의 분리 여부, 관리자 권한, 여러 시점의 백업 보관, 실제 복구 가능성을 차례로 확인할 수 있습니다.
특히 내부에서 대응하기 어려운 규모의 사고라면 전문 보안업체나 관련 기관의 지원을 검토하는 편이 안전합니다. 감염 확인과 신고 절차는 한국인터넷진흥원(KISA)이 운영하는 보호나라 STOP 랜섬웨어 페이지에서 확인할 수 있습니다.
이렇게 정리한 중요 데이터 목록은 백업에만 쓰이는 것이 아닙니다. 직원이 외부 서비스에 어떤 자료를 올려도 되는지 판단하는 기준으로도 그대로 사용할 수 있습니다. 이 부분은 회사에서 ChatGPT 사용할 때 보안 주의사항에서 자세히 다뤘습니다.