랜섬웨어 대비 백업 전략 — 3-2-1 규칙과 그 진화형 3-2-1-1-0 실무 가이드

---

백업이 있다고 안심했는데, 백업까지 암호화됐습니다

 

랜섬웨어에 대한 가장 확실한 방어는 '백신'이 아니라 '백업'입니다. 모든 방어가 뚫려도 깨끗한 백업만 있으면 몸값을 낼 이유가 없기 때문입니다.

그래서 오랫동안 3-2-1 규칙이 백업의 교과서였습니다. 그런데 요즘 공격자들은 백업부터 노립니다. 이제 3-2-1만으로는 부족합니다.

 

전통적인 3-2-1 규칙부터, 랜섬웨어 시대의 표준이 된 3-2-1-1-0까지. 실무에 바로 적용할 수 있게 정리했습니다.

 

개요

1. 왜 백업이 최후의 방어선인가

랜섬웨어 백업 전략 개요 [01]

 

랜섬웨어의 본질은 '데이터를 인질로 잡는 것'입니다. 그런데 인질로 잡힌 데이터와 똑같은 사본이 안전하게 따로 있다면, 협박은 힘을 잃습니다.

그래서 백업은 보험이 아니라 사이버보안 통제 그 자체입니다. 복구할 수 있느냐, 아니면 돈을 낼 것이냐를 가르는 핵심이니까요.

 

구분	내용
기본 원칙	3-2-1 (사본 3·매체 2·외부 1)
2026 표준	3-2-1-1-0 (불변 사본 + 복구검증 추가)
핵심 변화	공격자가 백업을 '먼저' 노린다

 

기본

2. 먼저, 3-2-1 규칙

3-2-1 기본 규칙 [02]

 

모든 전략의 토대인 3-2-1부터 짚고 가겠습니다. 숫자 하나하나에 이유가 있습니다.

 

숫자	의미
3 — 사본 3개	원본 + 백업 2개, 하나 깨져도 세트는 생존
2 — 매체 2종	디스크+클라우드 등, 한 매체 고장에 대비
1 — 외부 1개	화재·수해·도난에도 한 벌은 살아남게

 

⚠️ 가장 흔한 착각 — '같은 곳에 여러 벌'

백업을 아무리 많이 떠도, 같은 저장소·같은 계정·같은 복제 인프라를 쓰면
랜섬웨어 관점에서는 사본 1개로 쳐야 합니다.

독립되지 않은 백업은 함께 당합니다.

 

한계

3. 3-2-1이 왜 더는 충분치 않나

3-2-1의 한계 [03]

 

3-2-1은 훌륭하지만, 태생적 한계가 있습니다. '사고'를 막으려 설계됐지, '공격자'를 염두에 두지 않았다는 것입니다.

 

쟁점	내용
공격 양상	요즘 공격자는 암호화 전에 '백업부터' 파괴
연결된 백업	같은 망·자격증명으로 닿는 백업은 함께 감염
동기화 ≠ 백업	클라우드 동기화는 랜섬웨어도 함께 동기화

 

특히 '동기화를 백업으로 착각하는 것'이 위험합니다. 실시간 동기화 폴더는 원본이 암호화되면 그 암호화된 파일이 그대로 클라우드에도 반영됩니다.

클라우드가 '오프사이트 백업'으로 인정받으려면, 버전 관리(특정 시점 복원)가 되어야 합니다.

 

표준

4. 2026 표준 — 3-2-1-1-0

3-2-1-1-0 규칙 [04]

 

그래서 보안 업계와 CISA·NCSC 같은 기관이 권고하는 현재 표준이 3-2-1-1-0입니다. 기존 3-2-1에 두 자리를 더했습니다.

 

숫자	의미
3	데이터 복사본 최소 3개
2	서로 다른 저장매체 2종
1	최소 1개는 외부(오프사이트)
+1	최소 1개는 이뮤터블/에어갭
0	복구 테스트 오류 0 (검증 필수)

 

🔑 추가된 '+1'과 '0'이 핵심입니다

+1: 관리자 계정이 탈취돼도 수정·삭제할 수 없는 '불변 사본' 1개
0: 실제로 복구되는지 검증된 백업이라야 의미가 있음

'검증 안 된 백업은 백업이 아니라 희망'이라는 말이 여기서 나옵니다.

 

구현

5. 불변 사본, 어떻게 만드나

이뮤터블과 에어갭 [05]

 

핵심인 '+1(불변 사본)'을 구현하는 방법은 크게 두 가지입니다.

 

방식	내용
이뮤터블	보존기간 동안 수정·삭제 불가 (클라우드 Object Lock, WORM)
에어갭	네트워크에서 물리적 분리 → 원격 공격 자체가 불가

 

이뮤터블(불변)은 저장 계층 자체가 삭제·변경을 막는 방식입니다. 정당한 관리자 계정으로도 보존기간 내에는 손댈 수 없어, 자격증명이 털려도 안전합니다.

에어갭은 아예 네트워크에서 떼어 놓는 방식입니다. 소규모라면 'NAS + 클라우드 이뮤터블 보관' 조합으로도 충분히 구현할 수 있습니다.

 

실무

6. 실무 적용 체크리스트

실무 체크리스트 [06]

 

이론을 실제 환경에 옮길 때 점검할 항목입니다.

 

단계	내용
① 데이터 분류	무엇을·얼마나 자주 백업할지 등급 정의
② 오프사이트 분리	서비스망과 분리된 외부/오프라인에 1벌
③ 불변 사본	Object Lock·WORM·에어갭 중 하나 적용
④ 접근 통제	백업 저장소 별도 계정 + 최소권한 + MFA
⑤ 복구 훈련	분기별 실제 복구 테스트로 '0' 검증

 

가장 많이 빠뜨리는 것이 ⑤ 복구 훈련입니다. 백업은 꼬박꼬박 떴는데, 막상 복구하려니 안 되는 경우가 허다합니다.

또 하나, 데이터 복구가 곧 업무 복구는 아닙니다. 서버 설정·계정 권한(IAM)·네트워크 구성까지 다시 세워야 실제 업무가 돌아갑니다. RTO(복구 목표 시간)를 잡을 때 이 점을 반드시 고려해야 합니다.

 

정리하며

 

랜섬웨어 백업 전략의 핵심은 세 가지로 요약됩니다.

첫째, 3-2-1은 이제 '기본'일 뿐 완성이 아니다. 둘째, 공격자가 못 지우는 '불변 사본(+1)'을 반드시 둬라. 셋째, 복구가 되는지 '검증(0)'하지 않은 백업은 백업이 아니다.

오늘 우리 조직의 백업이 '공격자의 손이 닿지 않는 1벌'을 가지고 있는지, 그리고 '실제로 복구해 본 적이 있는지' 점검해 보시길 권합니다.

 

※ 이 글은 2026년 10월 기준 CISA·NIST·KISA·보안업계 백업 가이드를 정리한 것입니다. 세부 구현은 조직의 환경·규제 요건에 따라 달라집니다. 실제 백업 아키텍처 설계와 규제(ISMS-P 등) 대응은 보안 전문가 검토를 거치시길 권하며, 이 글은 일반 기술 정보 제공이 목적입니다.