백업을 도입할 때 대부분 소프트웨어를 먼저 고르고, 저장소는 남는 스토리지에 둡니다. 평소에는 아무 문제가 없습니다. 백업은 매일 성공했다고 보고되고, 용량도 넉넉합니다. 그 결정의 결과는 사고가 난 날에야 드러납니다. 백업본이 남아 있는지, 얼마나 빨리 되살릴 수 있는지가 바로 그 저장소 구조로 정해지기 때문입니다.
백업이 있다는 것과 되살릴 수 있다는 것
백업의 목표는 두 숫자로 말합니다.
| 지표 | 뜻 | 질문 |
|---|---|---|
| RPO (복구 시점 목표) | 사고가 났을 때 잃어도 되는 데이터의 양 | 얼마 전 시점까지 되돌릴 수 있어야 하나 |
| RTO (복구 시간 목표) | 서비스가 멈춰 있어도 되는 시간 | 몇 시간 안에 다시 돌아가야 하나 |
RPO는 백업을 얼마나 자주 하느냐로 정해지고, RTO는 어디에, 어떤 형태로 보관했느냐로 정해집니다. 매시간 백업해도 복원에 사흘이 걸리면 그 사흘 동안 업무는 멈춰 있습니다. 그리고 랜섬웨어 사고에서는 이 두 숫자보다 먼저 물어야 할 것이 있습니다. 백업본이 아직 남아 있는가입니다.
랜섬웨어는 백업부터 찾아서 지운다
백업본이 남아 있으면 몸값을 받을 수 없기 때문입니다. 그래서 공격 순서는 거의 정해져 있습니다. 피싱 메일로 들어와 관리자 권한을 얻고, 백업 콘솔에 로그인해 백업본을 지운 뒤, 마지막에 데이터를 암호화합니다. 백업 소프트웨어 계정이 업무용 계정과 같은 도메인에 있으면, 관리자 권한을 얻는 순간 백업본 삭제까지 한 번에 이어집니다.
거꾸로 말하면 어느 한 단계에서라도 끊으면 복구할 길이 남습니다. 그중 마지막 보루가 4단계입니다. 공격자가 백업 콘솔까지 들어와도 지울 수 없는 사본이 있어야 합니다. 그래서 백업 저장소를 고를 때 첫 번째 질문은 용량이 아니라 "이 저장소가 네트워크에서 보이는가, 삭제 명령이 오면 곧바로 지워지는가"입니다.
3-2-1에서 3-2-1-1-0으로
오래된 백업 원칙인 3-2-1은 사본 세 개, 매체 두 종류, 그중 하나는 다른 장소에 두라는 것입니다. 화재나 장비 고장에는 충분했지만, 네트워크로 연결된 사본을 모두 찾아 지우는 랜섬웨어에는 부족합니다. 그래서 두 가지가 더해졌습니다.
- 하나는 불변 또는 오프라인: 네트워크에 연결된 사본만 있으면, 그 사본도 공격받을 수 있습니다. 정해진 기간 동안 관리자 계정으로도 지우거나 바꿀 수 없는 불변 사본, 또는 네트워크에서 떨어진 사본이 하나는 있어야 합니다
- 복구 오류 0: 백업이 성공했다는 로그와 실제로 복구된다는 것은 다릅니다. 복구가 되는지 자동으로 검증해 오류가 없음을 확인해야 원칙이 완성됩니다
일반 스토리지와 갈리는 지점
백업 소프트웨어는 대개 저장소를 가리지 않습니다. 남는 디스크 스토리지에도 백업은 됩니다. 차이는 평소가 아니라 장기 보관과 사고 때 나타납니다.
| 질문 | 일반 디스크 스토리지 | 백업 전용 스토리지 |
|---|---|---|
| 장기 보관 비용이 어떻게 늘어나나 | 데이터 양만큼 | 중복 제거로 절감 |
| 복원할 때 무엇을 거치나 | 디스크 성능 그대로 | 최근 백업본은 원본 형태라 재수화 없음 |
| 용량을 늘리면 성능은 | 그대로 | 장비 추가 시 함께 증가 |
| 백업본 삭제 명령이 오면 | 즉시 삭제 | 정책 기간 동안 보류, 비정상 삭제는 잠금 |
| 장기 보관 계층이 네트워크에 | 노출 | 보이지 않게 분리 |
복구 속도를 정하는 구조
중복 제거는 같은 데이터를 한 번만 저장해 보관 비용을 크게 줄입니다. 대신 복원할 때 조각난 데이터를 원래 모양으로 다시 맞추는 재수화 과정이 붙어 느려집니다. 보관 비용과 복구 속도가 서로 부딪히는 것입니다.
이 상충을 푸는 방법이 두 계층 구조입니다.
- 랜딩 존: 가장 최근 백업본은 중복 제거하지 않은 원본 형태로 둡니다. 사고 때 되살리는 것은 대부분 최근 백업본이므로, 재수화 없이 디스크 속도로 복구됩니다. 백업본에서 VM을 바로 기동하는 즉시 복구도 여기서 빠르게 동작합니다
- 장기 보관 계층: 오래된 백업본만 중복 제거해 보관합니다. 이 계층은 네트워크에서 보이지 않게 분리하고, 삭제 명령이 와도 정책 기간 동안 실제로 지우지 않습니다
백업 소프트웨어와 저장소가 서로 맞춰져 있으면 더 빨라집니다. 합성 풀백업을 저장소 장비가 직접 만들면 백업 서버 부하가 줄고, 중복 제거된 백업본을 미리 풀백업 형태로 되돌려 두면 복구가 빨라집니다.
백업 시스템 자체를 지킨다
저장소만 단단해서는 부족합니다. 공격자는 백업 시스템의 관리 권한을 노립니다.
- 백업 관리자 계정을 업무 도메인과 분리합니다. 업무용 관리자 계정 하나가 탈취됐다고 백업 콘솔까지 열리면 안 됩니다
- 백업 관리자 계정은 금고에 넣습니다. 평소에는 아무도 비밀번호를 모르게 하고, 꺼낼 때마다 승인과 기록을 남깁니다. 다중 인증도 필수입니다
- 불변 보관 기간을 정책으로 고정합니다. 관리자 권한으로도 짧게 바꿀 수 없게 합니다
- 백업본도 검사합니다. 감염된 시점의 백업으로 되돌리면 같은 사고가 반복됩니다. 백업본 속 악성코드와 침해 흔적을 찾아, 깨끗한 시점을 골라 복구합니다
복구되는지 미리 확인한다
백업 성공 로그는 "복사가 끝났다"는 뜻일 뿐입니다. 사고 당일에 처음으로 복구를 시도해 보는 일은 피해야 합니다.
- 자동 복구 검증: 백업본에서 VM을 격리된 환경에 자동으로 기동해 실제로 살아나는지, 서비스가 응답하는지 확인하고 보고합니다
- 즉시 복구: 복원이 끝나기를 기다리지 않고 백업본에서 바로 VM을 기동해 서비스를 먼저 살리고, 데이터는 뒤에서 옮깁니다
- 복구 순서와 훈련: 무엇을 먼저 살릴지 순서를 정해 둡니다. 대부분의 시스템은 계정 인증이 살아나야 돌아가므로 Active Directory 복구가 앞에 옵니다. 실제 복구 시간을 훈련으로 재 봐야 RTO가 숫자가 아니라 약속이 됩니다
Microsoft 365도 백업 대상이다
Microsoft는 서비스가 멈추지 않게 운영합니다. 하지만 직원이나 공격자가 지우거나 암호화한 데이터를 원하는 시점으로 되돌리는 것은 고객의 몫이고, 휴지통과 보존 기능은 정해진 기간이 지나면 끝납니다. 계정이 탈취되면 공격자는 메일을 지우고, 파일을 암호화하고, 메일 전달 규칙을 바꿔 놓습니다.
Exchange, SharePoint, OneDrive, Teams와 계정을 관리하는 Entra ID까지 Microsoft 밖의 별도 저장소에 백업해 두고, 메일 한 통, 파일 하나 단위로 사고 전 시점으로 되돌릴 수 있어야 합니다.
점검 체크리스트
지금 우리 회사 백업을 아래 질문으로 점검해 보세요.
- 핵심 시스템마다 RPO·RTO가 정해져 있고, 실제 복구 시간을 재 본 적이 있는가
- 백업 사본이 3-2-1-1-0을 만족하는가 (특히 불변 또는 오프라인 사본)
- 백업 저장소가 업무 네트워크에서 보이는가, 삭제 명령이 오면 즉시 지워지는가
- 백업 관리자 계정이 업무 도메인과 분리되어 있고, 금고와 다중 인증으로 보호되는가
- 백업본에서 실제로 복구되는지 자동으로 검증하고 있는가
- 복구 전에 백업본이 깨끗한지 확인할 수 있는가
- Active Directory를 포함한 복구 순서가 문서로 있는가
- Microsoft 365와 Entra ID를 별도로 백업하고 있는가
법이 묻는 것도 "다시 일어나지 않게"
10월 1일 시행된 개정 정보통신망법은 고의·중과실로 침해사고를 반복한 기업에 관련 매출액 최대 3%의 과징금을 매깁니다. 사고를 완전히 막는 것만큼, 사고가 나도 빠르게 복구하고 같은 길로 다시 당하지 않았음을 보여 주는 것이 중요해졌습니다. 복구 검증 보고서와 복구 훈련 기록은 그 자체로 대비했다는 근거가 됩니다. 자세한 내용은 10월 1일 시행 개정 정보통신망법 글에 정리했고, 구체적인 법적 의무는 법률 자문을 함께 받으시기 바랍니다.
TDG는 Veeam Data Platform과 ExaGrid 백업 전용 스토리지의 조합으로 위 조건을 갖춘 백업 체계를 설계하고 구축합니다. Microsoft 365는 Veeam Microsoft 365 백업으로 따로 지키고, 백업 관리자 계정은 BeyondTrust Password Safe로 보호합니다. 도입 이후에는 복구 검증과 정기 점검까지 함께 운영합니다.
참고: Veeam 3-2-1 백업 규칙과 3-2-1-1-0, Veeam Data Platform, Microsoft 365 Backup. 개정 정보통신망법은 과학기술정보통신부 보도자료(2026. 9. 30) 기준.
