보안 담당자가 없어도, 이것만은 지켜야 합니다
대기업만 해킹당한다고 생각하기 쉽지만, 실제로는 예산과 인력이 부족한 중소기업·소상공인이 더 쉬운 표적입니다.
공격 유형을 보면 서버 해킹이 45.7%, 악성코드 감염이 23.5%를 차지하고, 그 악성코드의 10건 중 9건이 랜섬웨어입니다. 한 번 감염되면 데이터 손실에 복구 비용, 평판 손해까지 겹칩니다.
다행히 핵심 대응은 비싼 장비가 아니라 기본 설정에서 시작됩니다. 보안 담당자 없이도 바로 점검할 수 있는 5대 영역을 정리했습니다.
개요
1. 왜 중소기업이 더 위험한가
중소기업 보안 체크리스트 개요 [01]
공격자 입장에서 중소기업은 '효율 좋은 먹잇감'입니다. 방어가 허술한데, 거래처 정보와 고객 데이터는 충분히 값어치가 있기 때문입니다.
게다가 2026년 9월 개정 개인정보보호법 시행으로 유출 시 기업 책임과 과징금 부담이 커졌습니다. 이제 보안은 '선택'이 아니라 '생존'의 문제입니다.
🔑 좋은 소식은, 기본기가 곧 방어력이라는 점입니다
KISA 랜섬웨어 대응 수칙을 뜯어보면,
그 항목들이 ISMS-P 인증 심사 항목과 상당 부분 겹칩니다.
즉, 아래 기본만 지켜도 '인증 수준'의 토대가 만들어집니다.
①
2. 계정 관리 — 가장 먼저, 가장 중요
계정 관리 체크리스트 [02]
침해 사고의 출발점은 대부분 계정입니다. 돈이 거의 들지 않으면서 효과가 가장 큰 영역이기도 합니다.
| 체크 | 내용 |
| 기본 비밀번호 변경 | 제품 출하 시 기본 관리자 PW 즉시 변경 |
| 계정 분리 | 관리자 계정과 일상 업무 계정 구분 |
| 다단계 인증(MFA) | 메일·클라우드·VPN·서버에 2단계 인증 |
| 미사용 계정 정리 | 퇴사자·유휴 계정 즉시 삭제, 권한 회수 |
특히 기본 비밀번호가 치명적입니다. 공유기, NAS, DB 등 장비를 출하 상태 비밀번호 그대로 쓰다가 감염되는 사례가 끊이지 않습니다. 설치 직후 변경이 철칙입니다.
②
3. 외부 접속 — 열린 문을 닫아라
외부 접속 관리 체크리스트 [03]
공격자는 '열려 있는 문'을 찾아 들어옵니다. 외부에 노출된 시스템을 파악하고 불필요한 것을 닫는 것만으로 공격 표면이 크게 줄어듭니다.
| 점검 | 내용 |
| 자산 파악 | 외부 공개 시스템(DB·NAS·공유기) 현황 확인 |
| 불필요 차단 | 방치된 테스트·유휴 서버 연결 차단 |
| 포트 관리 | 원격 포트(22·1433·3389) 노출 지양 |
| 원격 제어 점검 | 직원이 임의로 깐 원격제어 프로그램 확인 |
🚪 '일단 열어두고 쓰던' 원격 접속이 최대 구멍
재택·외근 때문에 원격 포트를 그냥 열어둔 경우가 많습니다.
이게 무차별 대입 공격의 단골 통로입니다.
꼭 필요하면 VPN + 다단계 인증으로, 아니면 닫으세요.
③
4. 백업 — 랜섬웨어 최후의 보루
백업 3-2-1 규칙 [04]
모든 방어가 뚫려도 백업만 살아 있으면 랜섬웨어 협박에 굴하지 않을 수 있습니다. 그래서 백업이 마지막 보루입니다.
| 원칙 | 내용 |
| 3-2-1 규칙 | 사본 3개, 서로 다른 매체 2종, 1개는 외부 |
| 오프사이트 | 서비스망과 분리된 외부·오프라인 보관 |
| 접근 통제 | 백업 저장소 최소 권한 + 다단계 인증 |
| 복구 훈련 | 실제로 복구되는지 주기적으로 점검 |
💾 가장 흔한 실수 — '같은 망'에 백업
많은 피해 기업이 백업은 해뒀지만, 같은 네트워크에 보관하다가
본 데이터와 백업이 동시에 암호화돼 복구에 실패합니다.
백업은 반드시 '분리된 공간'에. 이게 핵심입니다.
④
5. PC·메일·업데이트 — 일상 수칙
일상 보안 수칙 [05]
랜섬웨어의 상당수는 거창한 해킹이 아니라 직원의 클릭 한 번에서 시작됩니다. 전 직원이 함께 지켜야 할 기본입니다.
| 수칙 | 내용 |
| 출처 불명 첨부 금지 | 이력서·견적서 위장 악성메일 주의 |
| 불법 다운로드 금지 | P2P·크랙 파일에 랜섬웨어 은닉 |
| 보안 업데이트 | OS·브라우저·SW 최신 유지 |
| 백신 상시 가동 | 실시간 감시·정기 검사 설정 |
아무리 좋은 장비를 갖춰도 직원 한 명이 악성 첨부파일을 열면 소용없습니다. 정기적인 보안 교육이 가장 저렴하고 효과적인 투자인 이유입니다.
⑤
6. 사고 대응과 정부 지원
사고 대응과 정부 지원 사업 [06]
예방을 다 해도 사고는 날 수 있습니다. 중요한 건 초기 대응입니다.
| 단계 | 행동 |
| 격리 | 감염 기기를 즉시 네트워크에서 분리 |
| 신고 | 전원 유지한 채 KISA 신고 (국번없이 118) |
| 증거 보존 | 성급한 초기화 금물, 로그·증적 보존 |
비용이 부담된다면, 정부 지원을 적극 활용하세요. KISA·과기정통부의 'ICT 중소기업 정보보호 지원 사업'은 보안 컨설팅과 솔루션 도입 비용을 최대 80%까지 지원합니다.
보안 전문 인력이 없는 기업일수록, 이런 지원을 통해 전문가의 진단을 한 번 받아보는 것이 효율적입니다.
정리하며
중소기업 보안은 거창한 솔루션 도입이 아니라, 기본을 빠짐없이 지키는 것에서 출발합니다.
계정(기본 PW 변경·MFA), 외부 접속 차단, 분리 백업(3-2-1), 일상 수칙, 사고 대응. 이 다섯 가지만 체크해도 대부분의 랜섬웨어·침해 피해를 막을 수 있습니다.
오늘 당장, 우리 회사의 기본 비밀번호부터 바꿔보시길 권합니다. 가장 쉽고, 가장 효과적인 첫걸음입니다.
※ 이 글은 2026년 10월 기준 KISA 보호나라·과기정통부 자료와 보안업계 가이드를 정리한 것입니다. 세부 수칙·지원 사업 조건은 변경될 수 있습니다. 우리 기업 환경에 맞는 적용과 인증(ISMS-P 등)은 보안 전문가 검토를 거치시길 권하며, 지원 사업 세부 내용은 KISA 공지에서 확인하세요.
'IT 이모저모' 카테고리의 다른 글
| 내 개인정보·계정 털렸는지 확인하는 법 — 무료 조회부터 명의도용 차단까지 4단계 (0) | 2026.10.30 |
|---|---|
| 패스키(Passkey) 완전 가이드 — 비밀번호 없는 로그인의 원리부터 기업 도입 전략까지 (0) | 2026.10.29 |
| 더존비즈온 해킹 — 토종 1위 ERP 침해사고, 고객사 11만 곳이 알아야 할 것 (0) | 2026.10.27 |
| PHP2Shell 긴급 대응 — PHP 엔진을 뚫는 RCE 취약점(CVE-2026-109618·109619) 총정리 (0) | 2026.10.27 |
| Node.js 노드투쉘 취약점 — 내 버전이 대상인지 1분 확인법 (0) | 2026.10.26 |
