"우리는 Microsoft 365를 쓰고 있으니까 이메일 백업은 따로 안 해도 되죠?" — 중소기업 IT 담당자에게 가장 자주 듣는 말 중 하나입니다. 실제로 많은 기업이 Exchange Online에 내장된 규정 준수 보관(Compliance Archive, 구 In-Place Archive) 기능을 '백업'으로 오해하고, 별도의 백업 솔루션 없이 운영합니다. 그러다가 직원의 실수로 중요한 거래처 이메일이 영구 삭제되거나, 랜섬웨어가 사서함 전체를 암호화한 뒤에야 "되돌릴 수가 없다"는 현실에 직면하게 됩니다.
Microsoft도 공유 책임 모델(Shared Responsibility Model)을 통해 이 점을 명확히 하고 있습니다. Microsoft는 인프라의 가용성과 물리적 보안을 책임지지만, 데이터 자체의 보호·복구 책임은 고객에게 있다고 공식 문서에서 밝히고 있습니다. 즉, 규정 준수 보관과 백업은 목적 자체가 다른 완전히 별개의 기능이며, 하나만으로 다른 하나를 대체할 수 없습니다.
이 글에서는 Exchange Online의 규정 준수 보관이 정확히 무엇이고, 왜 이메일 백업과 혼동하면 위험한지를 5가지 핵심 차이점 중심으로 짚어 드리겠습니다. 마지막에는 중소기업이 바로 실행할 수 있는 이메일 보호 체크리스트도 함께 제공합니다.
1. 규정 준수 보관(Compliance Archive)이란 무엇인가
Exchange Online의 규정 준수 보관은 본래 사서함 용량 관리와 법적·규제적 보관 의무 이행을 위해 설계된 기능입니다. 사용자의 기본 사서함(Primary Mailbox)이 일정 용량에 도달하면, 오래된 메일을 자동으로 보관 사서함(Archive Mailbox)으로 이동시켜 기본 사서함의 공간을 확보합니다. 또한 한국의 개인정보보호법, 전자문서법, 그리고 글로벌 규정인 GDPR 등에서 요구하는 이메일 보존 기간을 충족하기 위한 용도로 활용됩니다.
핵심은 이 기능이 "보존(Retention)"에 초점이 맞춰져 있다는 점입니다. 보존 정책(Retention Policy)에 따라 메일을 일정 기간 삭제하지 못하게 잠가 두거나, 소송 보류(Litigation Hold)를 걸어 eDiscovery 검색 대상으로 유지하는 것이 주 목적입니다. 이것은 "원본 데이터를 특정 시점 상태로 되살리는" 백업과는 근본적으로 다릅니다. 보관 사서함 안의 데이터도 결국 같은 Microsoft 365 테넌트 안에 존재하기 때문에, 테넌트 자체에 문제가 생기면 보관 데이터도 함께 영향을 받습니다.
규정 준수 보관 = "이 메일을 삭제하지 못하게 보존" / 백업 = "이 메일을 삭제 전 상태로 복원". 목적이 완전히 다릅니다.
2. 규정 준수 보관과 백업의 5가지 핵심 차이점
IT 담당자가 두 개념을 혼동하지 않으려면, 아래 5가지 차이점을 명확히 이해해야 합니다. 각각의 차이가 실무에서 어떤 위험으로 이어지는지 함께 살펴보겠습니다.
| 비교 항목 | 규정 준수 보관 (Compliance Archive) | 전용 백업 솔루션 |
|---|---|---|
| ① 목적 | 법적 보관 의무 이행, 사서함 용량 관리 | 데이터 손실 시 특정 시점으로 복원 |
| ② 복원 단위 | 개별 메일 검색·내보내기는 가능하나, 사서함 전체를 특정 시점으로 롤백하는 기능 없음 | 개별 메일, 폴더, 사서함 전체를 원하는 시점으로 복원 가능 |
| ③ 보관 위치 | 동일 Microsoft 365 테넌트 내부 | 별도의 독립된 스토리지 (클라우드 또는 온프레미스) |
| ④ 랜섬웨어·계정 탈취 대응 | 공격자가 관리자 권한을 획득하면 보관 정책 해제·데이터 삭제 가능 | 독립 인프라에 저장되므로 M365 계정 침해와 격리 |
| ⑤ 보존 기간 제어 | Microsoft 라이선스·정책에 종속 (라이선스 해지 시 보관 사서함도 삭제) | 기업이 자체적으로 보존 기간·버전 수를 자유롭게 설정 |
① 목적의 차이는 가장 근본적입니다. 규정 준수 보관은 "지우지 마라"이고, 백업은 "지워져도 되살려라"입니다. 감사 시 특정 이메일이 존재했음을 증명하는 것과, 실수로 삭제된 이메일을 원래 상태로 복구하는 것은 완전히 다른 요구사항입니다.
② 복원 단위에서 차이가 극명하게 드러납니다. 규정 준수 보관에서는 eDiscovery를 통해 특정 메일을 검색·내보낼 수 있지만, "3일 전 오후 2시 상태의 사서함 전체"를 그대로 되돌리는 포인트 인 타임(Point-in-Time) 복원은 불가능합니다. 백업 솔루션은 이 시점별 스냅샷을 제공하는 것이 기본 기능입니다.
③ 보관 위치의 차이는 재해 상황에서 결정적입니다. 규정 준수 보관 데이터는 같은 테넌트에 있으므로, Microsoft 측 서비스 장애나 테넌트 수준의 문제가 발생하면 원본과 보관 데이터가 동시에 접근 불가능해질 수 있습니다. 전용 백업은 물리적·논리적으로 분리된 별도 저장소에 데이터를 보관하므로 이런 위험에서 격리됩니다.
④ 보안 사고 대응 측면에서 보면, 최근 증가하는 비즈니스 이메일 침해(BEC) 공격에서 공격자가 관리자 계정을 탈취한 뒤 보존 정책을 해제하고 메일을 영구 삭제하는 사례가 보안 커뮤니티에서 지속적으로 보고되고 있습니다. 독립된 백업 인프라가 없다면 이런 상황에서 복구 수단이 전혀 없게 됩니다.
⑤ 라이선스 종속성은 퇴사자 관리에서 실질적 문제가 됩니다. 직원이 퇴사하여 Microsoft 365 라이선스를 해지하면, 해당 사용자의 보관 사서함도 일정 기간 후 삭제됩니다. 한국 개인정보보호법에서는 업무 관련 기록의 보존 기간을 별도로 규정하는 경우가 있어, 라이선스 해지와 동시에 데이터가 사라지면 법적 의무를 위반할 수 있습니다.
퇴사자의 M365 라이선스를 즉시 해지하면서 별도 백업이 없는 경우, 해당 직원의 이메일 데이터가 영구적으로 손실될 수 있습니다. 퇴사 프로세스에 반드시 이메일 백업 확인 단계를 포함하세요.
3. "보관만 하면 되지 않나?" — 백업이 반드시 필요한 실무 시나리오
이론적인 차이를 이해했더라도, "우리 회사는 메일을 잘 안 지우니까 보관만으로 충분하지 않을까?"라고 생각할 수 있습니다. 그러나 실무에서는 다음과 같은 상황이 예상보다 빈번하게 발생합니다.
시나리오: 실수로 인한 대량 삭제와 복구 불능 상태
한 기업의 IT 담당자가 퇴사자 정리 과정에서 현직 직원의 사서함을 실수로 삭제했습니다. Microsoft 365의 소프트 삭제(Soft Delete) 기간인 30일이 지난 후에야 해당 직원이 과거 프로젝트 메일이 필요하다고 보고했습니다. 규정 준수 보관은 해당 사서함에 대해 보존 정책이 별도로 걸려 있지 않았기 때문에 데이터가 함께 삭제되었고, 결국 수년간 축적된 거래처 커뮤니케이션 기록을 영구적으로 잃었습니다. 만약 독립된 백업 솔루션이 있었다면, 삭제 전 시점의 사서함 전체를 수 분 내에 복원할 수 있었을 것입니다.
이 외에도 백업이 반드시 필요한 시나리오는 다양합니다:
- 랜섬웨어 감염: 사용자 PC를 통해 Exchange Online에 동기화된 첨부파일이 암호화되거나, 공격자가 메일 규칙을 조작하여 수신 메일을 자동 삭제하는 경우
- 악의적 내부자: 퇴사 예정 직원이 의도적으로 자신의 메일함에서 민감한 커뮤니케이션 기록을 삭제하는 경우
- Microsoft 서비스 장애: 드물지만 Microsoft 365 자체의 장애로 데이터 접근이 장시간 불가능해지는 경우, 독립 백업이 있으면 해당 기간 동안 최소한의 업무 연속성 확보 가능
- 법적 분쟁: 특정 시점의 이메일 원본 상태를 증거로 제출해야 하는데, 규정 준수 보관에서는 메일이 이동·변환 과정을 거쳐 원본 무결성 증명이 어려울 수 있음
4. 올바른 Exchange Online 보호 전략 수립을 위한 체크리스트
아래 체크리스트는 중소기업 IT 담당자가 즉시 점검하고 실행할 수 있는 항목으로 구성했습니다. 규정 준수 보관과 백업을 상호 보완적으로 활용하는 것이 핵심입니다.
- 현재 보존 정책 확인: Microsoft 365 관리 센터 → 규정 준수 → 보존 정책에서 어떤 정책이 적용되어 있는지 확인합니다. 정책이 "없음"이라면 기본 삭제 메일 보존 기간(14일 또는 30일)만 적용되고 있는 것입니다.
- 소송 보류(Litigation Hold) 설정 여부 점검: 법적 분쟁 가능성이 있는 사서함에 소송 보류가 걸려 있는지 확인합니다. 단, 소송 보류는 백업의 대체가 아니라 법적 보존 수단임을 명심하세요.
- 퇴사자 처리 프로세스에 백업 단계 추가: 라이선스 해지 전에 반드시 해당 사용자의 사서함 데이터를 독립된 백업 저장소에 보관하는 절차를 수립합니다.
- 독립 백업 솔루션 도입 검토: Microsoft 365 테넌트 외부의 별도 저장소에 이메일 데이터를 자동으로 백업하는 전용 솔루션을 도입합니다. Acronis Cyber Protect Cloud와 같은 솔루션은 M365 사서함에 대한 자동 백업과 포인트 인 타임 복원을 지원합니다.
- 복원 테스트 분기별 실시: 백업이 있더라도 복원이 실제로 작동하는지 정기적으로 테스트해야 합니다. "백업은 했는데 복원이 안 된다"는 상황은 백업이 없는 것과 동일합니다.
- 관리자 계정 MFA 및 조건부 접근 정책 강화: 공격자가 관리자 권한을 탈취하여 보존 정책을 해제하는 것을 방지하기 위해, 관리자 계정에 대한 다단계 인증(MFA)과 조건부 접근 정책을 반드시 적용합니다.
- 개인정보보호법 보존 기간 대조: 이메일에 포함된 개인정보·계약 정보의 법적 보존 기간과 현재 보존 정책이 일치하는지 확인합니다. 과소 보존도 문제이지만 과다 보존도 개인정보보호법 위반이 될 수 있습니다.
규정 준수 보관은 "비활성화하거나 제거해야 한다"는 뜻이 아닙니다. 법적 보존 의무를 위해 활성화하되, 반드시 독립 백업을 병행하는 것이 올바른 전략입니다.
5. Acronis 기반 M365 백업이 중소기업에 적합한 이유
중소기업이 M365 백업 솔루션을 선택할 때 가장 많이 고려하는 요소는 관리 편의성, 비용 효율, 그리고 복원 속도입니다. Acronis Cyber Protect Cloud는 이 세 가지 측면에서 중소기업 환경에 특화된 장점을 제공합니다.
첫째, 통합 관리입니다. Exchange Online 사서함뿐 아니라 OneDrive, SharePoint, Teams 데이터를 하나의 콘솔에서 관리할 수 있어, 별도의 전담 인력이 부족한 중소기업에서도 효율적으로 운영할 수 있습니다. 둘째, 독립된 클라우드 스토리지에 백업 데이터를 저장하므로, Microsoft 365 테넌트에 대한 공격이나 장애로부터 완전히 격리됩니다. 셋째, 개별 이메일 단위부터 사서함 전체까지 세분화된 포인트 인 타임 복원이 가능하여, 필요한 범위만 빠르게 되살릴 수 있습니다.
또한 Acronis는 백업에 AI 기반 안티맬웨어 스캐닝을 통합하여, 백업된 데이터 자체에 랜섬웨어나 악성코드가 포함되어 있는지를 검사합니다. 감염된 백업을 복원하여 2차 피해가 발생하는 것을 방지하는 데 이 기능이 중요한 역할을 합니다.
마무리: 이메일 보호, "보관"과 "백업"을 모두 갖추세요
정리하면, Exchange Online의 규정 준수 보관과 백업은 목적, 복원 방식, 저장 위치, 보안 사고 대응력, 라이선스 독립성에서 근본적으로 다릅니다. 규정 준수 보관만으로는 실수·공격·장애로 인한 데이터 손실에 대응할 수 없으며, 백업만으로는 법적 보존 의무를 충족시키기 어렵습니다. 두 가지를 병행하는 것이 유일하게 완전한 보호 전략입니다.
KDSys는 Acronis 공인 파트너로서, 귀사의 Microsoft 365 환경에 최적화된 백업 체계를 설계하고 구축해 드립니다. 현재 이메일 보호 현황 무료 진단부터 솔루션 도입, 운영 교육까지 원스톱으로 지원합니다. 규정 준수 보관만 믿고 계셨다면, 지금이 바로 독립 백업 체계를 점검할 때입니다. KDSys에 문의하여 우리 회사의 이메일 보호 상태를 확인해 보세요.