백업은 데이터 보호의 마지막 보루입니다. 그런데 정작 그 백업 데이터 자체가 암호화되지 않은 채 클라우드에 올라가거나 외장 스토리지에 보관되고 있다면 어떨까요? 백업 파일이 탈취되는 순간, 원본 데이터와 동일한 수준의 정보가 고스란히 유출됩니다. 백업을 하면서도 암호화를 적용하지 않는 것은 금고에 돈을 넣어두고 문을 열어놓는 것과 다름없습니다.
한국 개인정보보호법 제29조는 개인정보처리자에게 개인정보의 안전성 확보에 필요한 기술적·관리적 조치를 의무화하고 있으며, 개인정보의 안전성 확보조치 기준(고시)에서는 개인정보를 네트워크를 통해 전송하거나 보조저장매체에 저장할 때 암호화 조치를 명시적으로 요구합니다. 백업 데이터도 예외가 아닙니다. 그럼에도 불구하고 많은 중소기업이 백업 시 암호화를 별도로 설정하지 않은 채 운영하고 있는 것이 현실입니다.
이 글에서는 백업 암호화의 기본 원리부터 업계 표준인 AES-256 암호화의 작동 방식, 그리고 실제 클라우드 백업 환경에서 암호화를 적용하는 구체적인 방법까지 체계적으로 안내합니다.
백업 암호화란 무엇인가: 전송 중 암호화와 저장 중 암호화
백업 암호화는 크게 두 가지 단계로 나뉩니다. 하나는 전송 중 암호화(Encryption in Transit)이고, 다른 하나는 저장 중 암호화(Encryption at Rest)입니다. 진정한 백업 보안을 위해서는 이 두 가지가 모두 적용되어야 합니다.
전송 중 암호화는 백업 데이터가 로컬 서버에서 클라우드 저장소로 이동하는 과정에서 데이터를 보호합니다. 이 과정에서 주로 TLS(Transport Layer Security) 프로토콜이 사용됩니다. TLS가 없으면 네트워크를 도청하는 공격자가 전송되는 백업 데이터를 중간에서 가로채 원문 그대로 확인할 수 있습니다. 공용 인터넷을 거치는 클라우드 백업에서는 전송 중 암호화가 절대적으로 필요합니다.
저장 중 암호화는 백업 파일이 최종 저장소(클라우드 스토리지, NAS, 외장 하드 등)에 보관될 때 적용됩니다. 저장소 자체에 접근 권한이 없는 사람이 물리적·논리적으로 파일에 접근하더라도, 암호화 키 없이는 내용을 해독할 수 없도록 하는 것이 핵심입니다. 클라우드 서비스 제공업체의 내부 직원이나 해커가 스토리지에 접근하더라도 암호화된 데이터는 무의미한 바이트 배열에 불과합니다.
전송 중 암호화만 적용하면 저장소에서 데이터가 노출되고, 저장 중 암호화만 적용하면 네트워크 구간에서 데이터가 노출됩니다. 반드시 두 가지를 모두 적용해야 완전한 보호가 가능합니다.
AES-256이란: 왜 업계 표준 암호화인가
AES(Advanced Encryption Standard)는 미국 국립표준기술연구소(NIST)가 2001년에 공식 표준으로 채택한 대칭 키 암호화 알고리즘입니다. 여기서 256은 암호화 키의 길이(비트 수)를 의미합니다. AES는 128비트, 192비트, 256비트의 세 가지 키 길이를 지원하는데, AES-256은 그중 가장 강력한 보안 수준을 제공합니다.
AES-256의 보안 강도를 직관적으로 이해하면 이렇습니다. 256비트 키는 2의 256승, 즉 약 1.16 × 10^77개의 가능한 키 조합을 가집니다. 현존하는 어떤 슈퍼컴퓨터로도 이 모든 조합을 시도하는 무차별 대입 공격(Brute Force Attack)은 우주의 나이보다 긴 시간이 걸리는 것으로 알려져 있습니다. 이 때문에 AES-256은 미국 정부의 기밀 정보(Top Secret) 보호에도 사용이 승인된 알고리즘입니다.
AES-256은 대칭 키 암호화 방식입니다. 이는 암호화와 복호화에 동일한 키를 사용한다는 뜻입니다. 따라서 암호화 키의 관리가 보안의 핵심이 됩니다. 아무리 강력한 AES-256을 적용해도, 암호화 키가 백업 파일과 같은 위치에 저장되거나 쉽게 추측할 수 있는 비밀번호로 설정되어 있다면 보안 효과는 크게 떨어집니다.
| 구분 | AES-128 | AES-192 | AES-256 |
|---|---|---|---|
| 키 길이 | 128비트 | 192비트 | 256비트 |
| 암호화 라운드 수 | 10라운드 | 12라운드 | 14라운드 |
| 보안 수준 | 상용 환경에 적합 | 높은 보안 | 최고 수준 (군사·정부급) |
| 처리 속도 | 가장 빠름 | 중간 | 상대적으로 느림 (체감 차이 미미) |
| 권장 용도 | 일반 데이터 | 금융·의료 데이터 | 개인정보, 기밀 데이터, 백업 암호화 |
| 무차별 대입 공격 난이도 | 매우 어려움 | 극도로 어려움 | 사실상 불가능 |
현대 CPU는 AES 하드웨어 가속(AES-NI) 기능을 내장하고 있어, AES-128과 AES-256의 실제 성능 차이는 대부분의 백업 시나리오에서 체감하기 어렵습니다. 따라서 보안을 최우선으로 고려한다면 AES-256을 선택하지 않을 이유가 없습니다.
클라우드 백업에서 AES-256 암호화를 적용하는 방법
백업 암호화의 원리를 이해했다면, 이제 실제로 어떻게 적용하는지가 중요합니다. 클라우드 백업 환경에서 AES-256 암호화를 제대로 구현하기 위해 확인해야 할 사항들을 단계별로 정리합니다.
- 백업 솔루션의 암호화 지원 여부 확인: 사용 중인 백업 솔루션이 AES-256 암호화를 기본 지원하는지 확인합니다. Acronis Cyber Protect와 같은 엔터프라이즈급 솔루션은 백업 계획 설정 시 암호화 옵션을 제공합니다. 암호화가 선택 사항이 아니라 기본 활성화(Default On) 되어 있는 솔루션이 가장 이상적입니다.
- 암호화 비밀번호(패스프레이즈) 설정: AES-256 대칭 키를 생성하는 기반이 되는 비밀번호를 설정합니다. 이 비밀번호는 최소 16자 이상으로, 대소문자·숫자·특수문자를 혼합하여 설정해야 합니다. 비밀번호를 분실하면 백업 데이터 복구가 불가능하므로 별도의 안전한 장소(비밀번호 관리자, 금고 등)에 보관해야 합니다.
- 전송 구간 TLS 적용 확인: 클라우드 백업 시 데이터가 TLS 1.2 이상으로 암호화되어 전송되는지 확인합니다. 대부분의 현대 클라우드 백업 솔루션은 이를 기본 적용하지만, 자체 구축한 백업 서버나 오래된 소프트웨어를 사용하는 경우 반드시 확인이 필요합니다.
- 클라이언트 측 암호화(Client-Side Encryption) 적용: 가장 안전한 방식은 데이터가 로컬 장치를 떠나기 전에 암호화하는 것입니다. 이를 '클라이언트 측 암호화' 또는 '소스 측 암호화'라고 합니다. 이 방식을 적용하면 클라우드 저장소 제공업체도 데이터 내용을 확인할 수 없어 가장 높은 수준의 프라이버시를 보장합니다.
- 암호화 키 관리 정책 수립: 암호화 키(비밀번호)를 누가 관리하고, 어디에 보관하며, 얼마나 자주 변경하는지에 대한 정책을 문서화합니다. 담당자 퇴사 시 키 인수인계 절차도 반드시 포함해야 합니다.
- 암호화된 백업의 복구 테스트: 암호화를 설정한 후 반드시 복구 테스트를 수행합니다. 암호화된 백업에서 실제로 데이터가 정상 복원되는지, 비밀번호 입력 프로세스가 제대로 작동하는지 확인합니다. 분기 1회 이상의 정기적인 복구 테스트를 권장합니다.
암호화 비밀번호를 분실하면 백업 데이터를 영구적으로 복구할 수 없습니다. 이것은 솔루션 공급업체도 해결해줄 수 없는 문제입니다. 비밀번호를 반드시 이중으로 백업하고, 조직 내 2명 이상이 접근할 수 있도록 관리하세요.
암호화 없는 백업이 초래하는 실제 위험 시나리오
백업 암호화의 필요성을 보다 구체적으로 이해하기 위해, 암호화가 적용되지 않았을 때 발생할 수 있는 현실적인 시나리오를 살펴보겠습니다.
시나리오: 클라우드 백업 계정 탈취로 인한 전체 데이터 유출
한 중소기업이 클라우드에 매일 자동 백업을 수행하고 있었습니다. 백업 자체는 꼬박꼬박 수행되었지만, 암호화 설정은 하지 않은 상태였습니다. 어느 날 백업 관리 콘솔의 로그인 계정이 피싱 이메일을 통해 탈취되었습니다. 공격자는 클라우드 저장소에 접근하여 암호화되지 않은 백업 파일을 전부 다운로드했습니다. 백업 파일에는 고객 개인정보, 계약서, 재무 데이터가 고스란히 포함되어 있었고, 별도의 복호화 과정 없이 바로 열람이 가능했습니다. 만약 이 백업이 AES-256으로 암호화되어 있었다면, 공격자가 파일을 다운로드하더라도 암호화 키 없이는 데이터를 전혀 확인할 수 없었을 것입니다.
이 시나리오는 가상이지만, 실제로 클라우드 계정 탈취는 보안 전문가들이 가장 빈번하게 경고하는 위협 유형 중 하나입니다. 계정 보안(MFA 적용 등)이 1차 방어선이라면, 백업 암호화는 계정이 뚫렸을 때도 데이터를 보호하는 최후의 방어선입니다. 특히 한국 개인정보보호법에 따르면, 암호화 등 안전조치 의무를 이행하지 않아 개인정보 유출이 발생하면 과태료뿐 아니라 손해배상 책임까지 발생할 수 있습니다.
백업 암호화 도입 전 점검 체크리스트
아래 체크리스트를 활용하여 현재 우리 조직의 백업 암호화 상태를 진단해 보세요.
- 현재 백업 데이터가 AES-256 이상으로 암호화되어 저장되고 있는가? — 백업 솔루션 설정에서 암호화 옵션이 활성화되어 있는지 확인합니다.
- 백업 데이터 전송 시 TLS 1.2 이상이 적용되고 있는가? — 네트워크 구간에서의 도청 위험을 방지하고 있는지 확인합니다.
- 암호화가 클라이언트 측에서 수행되는가, 서버 측에서 수행되는가? — 클라이언트 측 암호화가 보안 수준이 더 높습니다.
- 암호화 키(비밀번호)가 안전하게 관리되고 있는가? — 비밀번호가 문서화되고, 접근 권한이 제한된 안전한 장소에 보관되고 있는지 확인합니다.
- 담당자 변경 시 암호화 키 인수인계 절차가 있는가? — 담당자 퇴사 후 키를 아무도 모르는 상황을 방지해야 합니다.
- 암호화된 백업에서 정기적으로 복구 테스트를 수행하고 있는가? — 암호화 설정 오류로 복구가 실패하는 상황을 사전에 방지합니다.
- 개인정보보호법 안전성 확보조치 기준에 맞는 암호화 수준을 충족하는가? — 법적 요구사항을 확인하고 컴플라이언스를 확보합니다.
위 항목 중 하나라도 '아니오'가 있다면, 현재 백업 체계에 보안 공백이 존재합니다. 특히 암호화가 아예 적용되지 않고 있다면, 이것은 즉시 조치해야 할 최우선 과제입니다.
Acronis 솔루션의 백업 암호화 접근 방식
Acronis Cyber Protect는 백업과 사이버 보안을 단일 플랫폼에서 통합 제공하는 솔루션으로, 백업 암호화와 관련하여 다음과 같은 접근 방식을 취합니다.
첫째, AES-256 암호화를 백업 계획 설정에서 기본 옵션으로 제공합니다. 관리자가 백업 정책을 생성할 때 암호화 비밀번호를 설정하면, 해당 백업에서 생성되는 모든 데이터가 AES-256으로 암호화됩니다. 이 암호화는 소스 측(클라이언트 측)에서 수행되므로, 데이터가 네트워크를 통해 이동하기 전에 이미 암호화된 상태입니다.
둘째, 전송 구간에서 TLS 암호화를 추가로 적용하여 이중 보호를 구현합니다. 백업 데이터 자체가 AES-256으로 암호화되고, 전송 과정에서 다시 TLS로 보호되므로, 네트워크 도청 공격과 저장소 침해 공격 양쪽 모두에 대응합니다.
셋째, 백업과 보안을 분리하지 않고 통합 관리합니다. 별도의 암호화 소프트웨어를 추가로 구매·설정할 필요 없이, 백업 솔루션 안에서 암호화·랜섬웨어 방어·취약점 관리가 함께 이루어집니다. 이는 IT 인력이 제한된 중소기업에서 관리 부담을 크게 줄여줍니다.
마무리: 백업 암호화는 선택이 아닌 필수입니다
정리하면, 백업 암호화는 다음 세 가지 이유에서 모든 중소기업에게 필수입니다.
첫째, 법적 의무입니다. 개인정보보호법과 안전성 확보조치 기준은 개인정보의 전송·저장 시 암호화를 요구합니다. 백업 데이터도 이 규정의 적용 대상입니다.
둘째, 최후의 방어선입니다. 계정 탈취, 내부자 위협, 물리적 장치 도난 등 다양한 시나리오에서 암호화는 데이터 내용의 유출을 막는 마지막 보루입니다.
셋째, AES-256은 성능 부담 없이 최고 수준의 보안을 제공합니다. 현대 하드웨어의 AES 가속 기능 덕분에, 강력한 암호화를 적용하면서도 백업 속도에 의미 있는 영향을 주지 않습니다.
KDSys는 Acronis의 한국 공식 파트너로서, 중소기업 환경에 최적화된 백업 암호화 구성을 지원합니다. 현재 백업 환경의 암호화 상태 진단부터 AES-256 암호화 정책 설정, 복구 테스트까지 전 과정을 전문 엔지니어가 직접 안내합니다. 백업은 하고 있지만 암호화는 아직인 기업이라면, 지금이 바로 보안 공백을 메울 때입니다. KDSys에 무료 상담을 요청하시고, 우리 회사의 백업 데이터가 제대로 보호되고 있는지 점검받아 보세요.