백업 데이터, 정말 안전한가요?
많은 기업이 랜섬웨어와 해킹에 대비해 백업을 수행합니다. 그런데 정작 백업 파일 자체가 암호화되지 않은 상태로 저장되고 있다면 어떨까요? 공격자가 운영 서버 대신 백업 스토리지를 노리는 사례가 꾸준히 보고되고 있습니다. 백업 파일에는 고객 개인정보, 재무 데이터, 계약서 등 기업의 핵심 자산이 고스란히 담겨 있기 때문입니다.
한국의 개인정보보호법은 개인정보를 전송하거나 저장할 때 암호화 조치를 의무화하고 있습니다. 특히 정보통신망을 통해 개인정보를 전송하는 경우 암호화는 선택이 아니라 법적 의무입니다. 그럼에도 불구하고 중소기업 현장에서는 "백업만 하면 됐지"라는 인식이 여전히 남아 있습니다. 암호화되지 않은 백업은 사실상 데이터를 두 곳에 노출시키는 것과 같습니다.
이 글에서는 백업 암호화의 핵심 개념인 전송 중 암호화(In-Transit)와 저장 중 암호화(At-Rest)의 차이를 명확히 설명하고, 업계 표준인 AES-256 암호화의 원리, 그리고 중소기업이 실무에서 바로 적용할 수 있는 방법을 단계별로 안내합니다.
암호화의 두 축: 전송 중 보호 vs 저장 중 보호
백업 데이터는 생성 시점부터 최종 저장 위치까지 여러 단계를 거칩니다. 이 과정에서 데이터가 노출될 수 있는 구간은 크게 두 가지로 나뉩니다. 각 구간의 위협과 보호 방식을 정확히 이해해야 빈틈 없는 암호화 전략을 세울 수 있습니다.
전송 중 암호화(In-Transit Encryption)
백업 데이터가 사내 서버에서 클라우드 스토리지로, 또는 본사에서 DR(재해복구) 사이트로 네트워크를 통해 이동할 때 적용되는 암호화입니다. 전송 중 암호화가 없으면 공격자가 네트워크 패킷을 가로채는 중간자 공격(Man-in-the-Middle)으로 백업 데이터 전체를 탈취할 수 있습니다. 일반적으로 TLS 1.2 이상 프로토콜이 전송 구간 보호에 사용되며, 이는 HTTPS 통신과 동일한 원리입니다. 백업 솔루션이 데이터를 클라우드로 전송할 때 TLS 터널을 통해 암호화된 채널을 형성하고, 이 채널 안에서만 데이터가 오갑니다.
저장 중 암호화(At-Rest Encryption)
클라우드 스토리지, NAS, 외장 하드 등 최종 저장 매체에 백업 파일이 기록될 때 적용되는 암호화입니다. 저장 중 암호화가 없으면 스토리지에 물리적·논리적으로 접근한 누구나 백업 파일을 열어볼 수 있습니다. 클라우드 제공업체의 데이터센터 직원, 계정 탈취에 성공한 해커, 심지어 폐기되지 않은 디스크를 수거한 제3자까지 위협 주체가 됩니다. 저장 중 암호화에는 주로 AES-256 알고리즘이 사용되며, 이는 현재 상용 환경에서 가장 강력한 대칭키 암호화 표준으로 인정받고 있습니다.
전송 중 암호화와 저장 중 암호화는 별개의 보호 계층입니다. 둘 중 하나만 적용하면 나머지 구간에서 데이터가 노출됩니다. 반드시 양쪽 모두를 적용해야 완전한 백업 보호가 가능합니다.
AES-256 암호화란? 원리와 강도 이해하기
AES(Advanced Encryption Standard)는 미국 국립표준기술연구소(NIST)가 2001년 연방 표준으로 채택한 대칭키 암호화 알고리즘입니다. 대칭키 방식이란 암호화와 복호화에 동일한 키를 사용한다는 의미입니다. AES는 키 길이에 따라 128비트, 192비트, 256비트 세 가지 변형이 있으며, 이 중 AES-256은 256비트(32바이트) 길이의 키를 사용하는 가장 강력한 버전입니다.
AES-256의 보안 강도를 직관적으로 설명하면, 256비트 키의 가능한 조합 수는 2의 256제곱입니다. 이 숫자는 관측 가능한 우주의 원자 수보다 많다고 알려져 있으며, 현존하는 어떤 슈퍼컴퓨터로도 무차별 대입(Brute Force) 공격으로 해독하는 것이 사실상 불가능합니다. 이러한 이유로 AES-256은 미국 정부의 기밀 문서 보호, 금융기관의 거래 데이터 보호, 군사 통신 등에 널리 사용됩니다.
백업 암호화에 AES-256이 적용되는 과정은 다음과 같습니다. 먼저 백업 소프트웨어가 백업 작업을 시작할 때, 사용자가 설정한 암호(패스프레이즈)로부터 256비트 암호화 키를 파생합니다. 이 키로 백업 데이터 블록을 순차적으로 암호화하여 저장합니다. 복구 시에는 동일한 암호를 입력해야 키가 재생성되고, 그래야만 데이터를 복호화할 수 있습니다. 암호를 분실하면 백업 데이터를 영구적으로 복구할 수 없다는 점이 매우 중요합니다.
| 구분 | AES-128 | AES-192 | AES-256 |
|---|---|---|---|
| 키 길이 | 128비트 (16바이트) | 192비트 (24바이트) | 256비트 (32바이트) |
| 라운드 수 | 10라운드 | 12라운드 | 14라운드 |
| 보안 강도 | 높음 | 매우 높음 | 최상 (군사 등급) |
| 처리 속도 | 가장 빠름 | 중간 | 상대적으로 느림 (현대 하드웨어에서 체감 차이 거의 없음) |
| 주요 사용처 | 일반 웹 통신, Wi-Fi | 일부 금융 시스템 | 정부 기밀, 금융, 의료, 백업 암호화 |
| 무차별 대입 해독 | 현재 기술로 비현실적 | 사실상 불가능 | 물리적으로 불가능 |
| 백업 적용 권장도 | 보통 | 권장 | 강력 권장 |
위 표에서 볼 수 있듯이 AES-128도 현재 기술로는 충분히 안전하지만, 향후 양자 컴퓨팅 시대를 대비하고 개인정보보호법의 강화된 보안 요구사항을 충족하려면 AES-256을 표준으로 적용하는 것이 바람직합니다. 현대 CPU는 AES-NI(AES New Instructions) 하드웨어 가속을 내장하고 있어, AES-256을 사용해도 백업 속도 저하가 체감되지 않는 수준입니다.
AES-256의 보안 강도는 암호(패스프레이즈)의 품질에 크게 좌우됩니다. "company123"과 같은 단순한 암호를 사용하면 암호화 자체가 무력화될 수 있습니다. 최소 12자 이상, 대소문자·숫자·특수문자를 조합한 강력한 암호를 사용하고, 이 암호를 안전한 장소(비밀번호 관리 도구, 물리적 금고 등)에 별도 보관하세요.
중소기업을 위한 백업 암호화 단계별 적용 가이드
이론을 이해했다면 이제 실제로 적용할 차례입니다. 아래 체크리스트는 중소기업 IT 담당자가 백업 암호화를 도입할 때 순서대로 따라갈 수 있도록 구성했습니다.
- 현재 백업 현황 감사(Audit)
기존 백업이 어디에, 어떤 형태로 저장되어 있는지 전수 조사합니다. 로컬 NAS, 외장 하드, 클라우드 스토리지, 테이프 등 모든 매체를 목록화하고, 각각 암호화 여부를 확인합니다. 암호화가 적용되지 않은 기존 백업 파일은 새로운 암호화 백업으로 교체 후 안전하게 삭제해야 합니다. - 암호화 정책 수립
어떤 데이터에 어떤 수준의 암호화를 적용할지 문서화합니다. 개인정보가 포함된 데이터베이스, 재무 시스템, 이메일 서버 등은 반드시 AES-256을 적용하고, 일반 파일 서버도 최소 AES-128 이상을 적용하는 것을 권장합니다. 정책 문서에는 암호 관리 담당자, 암호 변경 주기, 비상 시 복구 절차도 포함해야 합니다. - 백업 솔루션 암호화 기능 활성화
대부분의 현대 백업 솔루션은 암호화 기능을 기본 제공합니다. Acronis Cyber Protect 같은 솔루션은 백업 계획(Plan) 설정 시 AES-256 암호화를 옵션으로 선택할 수 있습니다. 이때 암호를 설정하면 백업 데이터가 소스(출발지)에서 암호화된 후 전송되므로, 전송 중과 저장 중 모두 보호됩니다. 이를 클라이언트 사이드 암호화(Client-Side Encryption)라고 합니다. - 암호(패스프레이즈) 안전 보관
암호화 키의 기반이 되는 패스프레이즈는 기업의 생명줄입니다. 이 암호를 분실하면 백업 데이터를 영구적으로 잃게 됩니다. 권장 방법은 ① 기업용 비밀번호 관리 도구(예: KeePass, Bitwarden)에 저장, ② 인쇄된 사본을 물리적 금고에 보관, ③ 최소 2명 이상의 권한자가 접근 가능하도록 분산 보관하는 것입니다. - 암호화 백업 복구 테스트
암호화를 적용한 후 반드시 복구 테스트를 수행해야 합니다. 암호를 입력하여 실제로 데이터가 정상 복원되는지, 복구 시간이 업무에 지장을 주지 않는지 확인합니다. 최소 분기 1회 이상 복구 테스트를 정기적으로 실시하고 결과를 문서화하세요. - 정기 점검 및 정책 갱신
암호화 알고리즘의 안전성은 시간이 지나면서 변할 수 있습니다. 새로운 취약점이 발견되거나 규제가 강화되면 정책을 업데이트해야 합니다. 최소 연 1회 암호화 정책을 검토하고, 필요 시 암호를 변경하거나 알고리즘을 업그레이드합니다.
실전 시나리오: 암호화가 없었다면 어떤 일이 벌어질까
시나리오: 클라우드 계정 탈취 후 백업 데이터 유출
직원 50명 규모의 한 중소기업을 가정해 봅시다. 이 기업은 고객 정보를 포함한 데이터베이스를 매일 클라우드 백업하고 있었습니다. 그런데 IT 담당자의 클라우드 관리 계정이 피싱 공격으로 탈취됩니다. 공격자는 클라우드 스토리지에 접속하여 백업 파일을 모두 다운로드합니다.
암호화가 없는 경우: 공격자는 다운로드한 백업 파일을 즉시 열어 수만 건의 고객 이름, 연락처, 주문 내역을 확인할 수 있습니다. 이는 개인정보보호법 위반으로 과징금 부과, 고객 신뢰 상실, 집단 소송 위험으로 이어집니다. 개인정보보호위원회에 72시간 내 신고 의무가 발생하며, 피해 고객 전원에게 개별 통지해야 합니다.
AES-256 암호화가 적용된 경우: 공격자가 백업 파일을 다운로드하더라도 암호화 키 없이는 파일 내용을 전혀 확인할 수 없습니다. 파일은 의미 없는 바이너리 데이터로만 보입니다. 계정 보안을 즉시 강화(비밀번호 변경, MFA 적용)하면 실질적인 데이터 유출 피해를 차단할 수 있습니다. 물론 계정 탈취 자체는 보안 사고이지만, 암호화 덕분에 개인정보의 실질적 유출을 막아 피해 규모를 극적으로 줄일 수 있습니다.
이 시나리오는 가상의 상황이지만, 보안 전문가들이 반복적으로 경고하는 전형적인 패턴입니다. 클라우드 계정 탈취는 가장 흔한 공격 벡터 중 하나이며, 이때 암호화가 마지막 방어선 역할을 합니다.
클라이언트 사이드 암호화 vs 서버 사이드 암호화
클라우드 백업에서 암호화를 적용할 때 반드시 이해해야 할 차이점이 있습니다. 클라우드 제공업체가 서버 측에서 자동으로 암호화하는 서버 사이드 암호화(SSE)와, 데이터가 사용자의 시스템을 떠나기 전에 암호화하는 클라이언트 사이드 암호화(CSE)입니다.
| 비교 항목 | 클라이언트 사이드 암호화 (CSE) | 서버 사이드 암호화 (SSE) |
|---|---|---|
| 암호화 시점 | 데이터가 사용자 시스템을 떠나기 전 | 클라우드 서버에 도착한 후 |
| 전송 구간 보호 | 암호화된 상태로 전송 (이중 보호) | TLS에만 의존 |
| 키 관리 주체 | 사용자 (기업) | 클라우드 제공업체 |
| 제공업체 접근 가능성 | 불가능 (제로 지식) | 가능 (키를 보유하므로) |
| 계정 탈취 시 데이터 보호 | 보호됨 (별도 암호 필요) | 보호되지 않음 (계정 접근 = 데이터 접근) |
| 암호 분실 시 위험 | 데이터 영구 손실 | 제공업체 통해 복구 가능 |
| 보안 수준 | 최상 | 높음 |
개인정보보호법의 취지와 보안 모범 사례를 고려하면, 클라이언트 사이드 암호화가 더 권장됩니다. Acronis Cyber Protect는 백업 계획 설정 시 AES-256 클라이언트 사이드 암호화를 지원하여, 데이터가 사내 시스템을 떠나는 순간부터 암호화 상태를 유지합니다. 이는 클라우드 제공업체조차 고객의 백업 데이터 내용을 확인할 수 없는 제로 지식(Zero-Knowledge) 아키텍처를 의미합니다.
서버 사이드 암호화만으로는 클라우드 계정 탈취 시 데이터가 노출됩니다. 클라이언트 사이드 암호화를 적용하면 계정이 탈취되어도 데이터 자체는 보호됩니다. 두 방식을 병행 적용하면 최고 수준의 보안을 확보할 수 있습니다.
마무리: 백업 암호화는 선택이 아니라 필수입니다
지금까지의 내용을 정리하면 다음과 같습니다.
- 백업 데이터도 보호 대상입니다. 암호화되지 않은 백업은 데이터를 두 번 노출시키는 것과 같습니다.
- 전송 중(TLS)과 저장 중(AES-256) 암호화를 모두 적용해야 빈틈이 없습니다.
- AES-256은 현존 최강의 대칭키 암호화 표준이며, 현대 하드웨어에서 성능 저하 없이 사용할 수 있습니다.
- 클라이언트 사이드 암호화를 적용하면 클라우드 계정 탈취 시에도 데이터를 보호할 수 있습니다.
- 암호(패스프레이즈) 관리가 암호화만큼 중요합니다. 분실 시 데이터를 영구적으로 잃습니다.
개인정보보호법 준수는 물론, 랜섬웨어·계정 탈취·내부자 위협 등 다양한 시나리오에 대비하려면 백업 암호화는 더 이상 미룰 수 없는 과제입니다.
KDSys는 Acronis 공식 파트너로서, AES-256 클라이언트 사이드 암호화가 적용된 클라우드 백업 환경을 중소기업 맞춤형으로 구축해 드립니다. 기존 백업 환경 진단부터 암호화 정책 수립, 솔루션 도입, 복구 테스트까지 전 과정을 원스톱으로 지원합니다. 암호화되지 않은 백업으로 불안한 밤을 보내고 계시다면, 지금 KDSys에 문의하여 무료 백업 보안 진단을 받아보세요.