"우리 회사는 Microsoft 365를 쓰니까 데이터 걱정은 안 해도 되죠?" — 한국 중소기업 IT 담당자들에게 가장 자주 듣는 말 중 하나입니다. 클라우드 서비스를 이용하면 모든 데이터가 자동으로 안전하게 보호된다는 위험한 오해가 널리 퍼져 있습니다. 하지만 현실은 전혀 다릅니다.
Microsoft는 자사 서비스 약관(Microsoft Services Agreement)에서 이 점을 분명히 밝히고 있습니다. "We recommend that you regularly backup Your Content and Data that you store on the Services or store using Third-Party Apps and Services." — 즉, 사용자 데이터의 정기적인 백업은 고객의 책임이라고 명시하고 있는 것입니다. 직원의 실수로 삭제된 이메일, 랜섬웨어에 암호화된 SharePoint 파일, 퇴사자의 OneDrive 데이터 — 이 모든 것을 Microsoft가 복구해줄 것이라는 기대는 근거 없는 희망일 뿐입니다.
이 글에서는 Microsoft 365의 공유 책임 모델(Shared Responsibility Model)이 무엇인지, Microsoft가 실제로 보호하는 범위와 고객이 직접 책임져야 하는 영역을 명확하게 구분하고, 중소기업이 지금 당장 실행할 수 있는 데이터 보호 전략을 제시합니다.
공유 책임 모델이란? Microsoft와 고객의 역할 구분
공유 책임 모델(Shared Responsibility Model)은 클라우드 서비스에서 서비스 제공자와 고객이 각각 어떤 영역의 보안과 관리를 담당하는지를 정의하는 프레임워크입니다. 이 개념은 Microsoft뿐 아니라 AWS, Google Cloud 등 주요 클라우드 플랫폼 모두가 채택하고 있는 업계 표준 모델입니다.
쉽게 비유하면, 아파트에 사는 것과 같습니다. 건물 관리(구조, 엘리베이터, 공용 전기 설비)는 관리사무소(Microsoft)의 책임이지만, 집 안의 가구 배치, 귀중품 보관, 화재 보험 가입은 입주자(고객)의 책임입니다. 아파트 관리사무소가 여러분 집 금고 안의 현금을 지켜주지 않듯, Microsoft도 여러분의 비즈니스 데이터를 대신 백업해주지 않습니다.
Microsoft의 책임 영역은 크게 인프라 수준의 가용성과 보안에 집중됩니다. 글로벌 데이터센터의 물리적 보안, 서버 하드웨어 운영, 네트워크 인프라 유지, 운영체제 패치, 서비스의 기본적인 가동 시간(SLA) 보장 등이 여기에 해당합니다. 반면, 고객 데이터의 생성·보존·보호·복구는 철저히 고객의 영역입니다.
Microsoft 365의 SLA(서비스 수준 계약)는 "서비스 가동 시간"을 보장하는 것이지, "고객 데이터의 무손실 보존"을 보장하는 것이 아닙니다. 서비스가 정상적으로 작동한다는 것과 내 데이터가 안전하다는 것은 완전히 다른 문제입니다.
Microsoft가 보호하는 것 vs. 고객이 책임져야 하는 것
많은 IT 담당자들이 혼동하는 부분을 명확히 정리해보겠습니다. 아래 비교표는 Microsoft 365 환경에서 각 주체의 책임 범위를 구체적으로 보여줍니다.
| 구분 | Microsoft의 책임 | 고객의 책임 |
|---|---|---|
| 인프라 | 글로벌 데이터센터 운영, 물리적 보안, 하드웨어 유지보수 | 해당 없음 |
| 서비스 가용성 | SLA 기반 서비스 가동 시간 보장, 장애 복구 | 서비스 장애 시 비즈니스 연속성 계획 수립 |
| 네트워크 보안 | DDoS 방어, 전송 중 데이터 암호화 | 조직 내부 네트워크 보안, 접근 제어 정책 |
| 애플리케이션 수준 | Exchange Online, SharePoint 등 서비스 자체의 보안 패치 | 사용자 계정 관리, MFA 설정, 권한 관리 |
| 데이터 보호 | 인프라 수준의 지리적 이중화(재해 복구용) | 사용자 데이터의 백업, 장기 보존, 복구 |
| 데이터 삭제 복구 | 휴지통 보존 기간 내 제한적 복구 기능 제공 | 보존 기간 초과 후 데이터 복구, 완전 삭제 데이터 복원 |
| 랜섬웨어 대응 | 플랫폼 자체에 대한 위협 방어 | 고객 데이터가 암호화된 경우의 복구 및 대응 |
| 규정 준수 | 플랫폼의 인증(ISO 27001, SOC 등) 유지 | 개인정보보호법 등 국내법 준수, 데이터 보존 정책 이행 |
특히 주의해야 할 점은 M365의 기본 제공 데이터 보존 기능에는 명확한 한계가 있다는 것입니다. Exchange Online의 삭제된 항목 보존 기간은 기본 14일(최대 30일로 설정 가능)이며, OneDrive의 휴지통 보존 기간은 93일입니다. 이 기간이 지나면 데이터는 완전히 사라지며, Microsoft에 복구를 요청해도 되살릴 수 없습니다.
퇴사자의 M365 라이선스를 삭제하면 해당 사용자의 OneDrive, 메일함 데이터도 일정 기간 후 완전 삭제됩니다. 한국 개인정보보호법과 각종 업종별 규정에서 요구하는 데이터 보존 기간(일반적으로 3~5년)을 M365 기본 기능만으로 충족하기는 매우 어렵습니다.
M365 데이터 손실이 발생하는 5가지 실제 시나리오
"설마 그런 일이 우리 회사에?"라고 생각하실 수 있지만, 아래 시나리오들은 중소기업 환경에서 매우 빈번하게 발생하는 일상적인 사고들입니다.
- 직원의 실수에 의한 영구 삭제: 직원이 중요한 SharePoint 문서 라이브러리를 실수로 삭제한 뒤, 이를 인지하지 못하고 휴지통 보존 기간(93일)이 지나가는 경우. 수개월 뒤 해당 문서가 필요해졌을 때는 이미 복구 불가능한 상태입니다.
- 퇴사자 계정 처리로 인한 데이터 소실: 직원 퇴사 시 비용 절감을 위해 M365 라이선스를 즉시 회수하면, 해당 직원의 이메일, OneDrive 파일, Teams 대화 기록이 보존 정책에 따라 삭제됩니다. 나중에 법적 분쟁이나 감사 상황에서 해당 데이터가 필요해지면 대응할 방법이 없습니다.
- 랜섬웨어 감염: 직원 PC가 랜섬웨어에 감염되면, OneDrive 동기화를 통해 클라우드의 파일까지 암호화된 버전으로 덮어씌워질 수 있습니다. OneDrive의 버전 기록 복원 기능이 있지만, 대량의 파일이 감염된 경우 개별 파일을 하나씩 복원하는 것은 현실적으로 불가능에 가깝습니다.
- 악의적 내부자 행위: 퇴사를 앞둔 직원이 고의로 중요 파일을 삭제하거나 외부로 유출하는 경우. 삭제 행위를 뒤늦게 발견했을 때 이미 보존 기간이 경과했다면 복구가 불가능합니다.
- 서드파티 앱 연동 오류: M365와 연동된 외부 애플리케이션의 버그나 잘못된 설정으로 인해 대량의 메일이나 파일이 의도치 않게 변경·삭제되는 경우. 이러한 서드파티 앱에 의한 데이터 손실은 Microsoft의 책임 범위에 포함되지 않습니다.
시나리오로 보는 공유 책임 모델의 현실
한 중소기업의 영업팀장이 퇴사하면서 라이선스가 회수되었습니다. 3개월 뒤, 해당 영업팀장이 관리하던 핵심 고객사와의 계약 관련 이메일이 필요해졌습니다. IT 담당자가 Microsoft 지원에 문의했지만, 돌아온 답변은 "해당 계정의 데이터는 보존 기간이 만료되어 복구할 수 없습니다"였습니다. 결국 계약 조건을 확인하지 못해 고객사와의 협상에서 불리한 위치에 놓이게 되었습니다. 별도의 백업 솔루션이 있었다면 퇴사자 데이터를 라이선스 상태와 무관하게 장기 보존하고 필요 시 즉시 검색·복구할 수 있었을 것입니다.
이 시나리오는 특정 기업의 사례가 아닌, 보안 전문가들이 공통적으로 지적하는 M365 운영 환경에서 가장 빈번하게 반복되는 전형적인 데이터 손실 패턴입니다.
M365 데이터 보호를 위한 실행 체크리스트
공유 책임 모델을 이해했다면, 이제 실제로 어떤 조치를 취해야 하는지가 중요합니다. 아래 체크리스트를 통해 현재 우리 회사의 M365 데이터 보호 수준을 점검하고, 부족한 부분을 즉시 보완하세요.
- 현재 데이터 보존 정책 확인: M365 관리 센터에서 Exchange, OneDrive, SharePoint 각각의 보존 정책과 휴지통 보존 기간을 확인하세요. 기본 설정 그대로 사용하고 있다면 대부분의 데이터가 14~93일 후 영구 삭제될 수 있습니다.
- 법적 보존 요구사항 파악: 한국 개인정보보호법, 전자상거래법, 업종별 규정에서 요구하는 데이터 보존 기간을 정리하세요. 예를 들어 전자상거래법상 계약·결제 관련 기록은 5년, 소비자 불만 처리 기록은 3년 보존이 의무입니다.
- 퇴사자 데이터 처리 프로세스 수립: 퇴사 시 라이선스 회수 전에 해당 사용자의 데이터를 어떻게 보존할 것인지 명확한 절차를 수립하세요. 공유 사서함 전환, 데이터 내보내기, 또는 서드파티 백업 솔루션을 통한 자동 보존 등의 방법이 있습니다.
- 서드파티 백업 솔루션 도입 검토: M365의 기본 기능(휴지통, 버전 기록, 보존 정책)만으로는 완전한 데이터 보호가 불가능합니다. Exchange Online, OneDrive, SharePoint, Teams를 포함한 전체 M365 워크로드를 대상으로 자동 백업과 시점 복구(Point-in-Time Recovery)를 지원하는 전용 솔루션이 필요합니다.
- 복구 테스트 정기 실시: 백업이 있더라도 실제로 복구가 되는지 테스트하지 않으면 의미가 없습니다. 최소 분기 1회, 실제 데이터를 복구하는 훈련을 실시하여 RTO(복구 목표 시간)와 RPO(복구 목표 시점)가 비즈니스 요구사항에 부합하는지 확인하세요.
- MFA 및 접근 제어 강화: 데이터 보호의 첫 단추는 무단 접근 방지입니다. 모든 M365 계정에 다중 인증(MFA)을 활성화하고, 관리자 계정의 수를 최소화하며, 조건부 접근 정책을 설정하세요.
M365 기본 보존 기능과 서드파티 백업 솔루션의 가장 큰 차이점은 "독립성"입니다. M365 내장 기능은 M365 플랫폼 자체에 종속되어 있어 서비스 장애나 계정 침해 시 백업 데이터도 함께 영향을 받을 수 있습니다. 반면, 독립적인 서드파티 솔루션은 M365 환경과 분리된 별도 저장소에 데이터를 보관하므로 진정한 의미의 데이터 보호가 가능합니다.
M365 기본 보호 기능 vs. 전용 백업 솔루션 비교
"M365에도 보존 정책이나 eDiscovery 같은 기능이 있는데, 그걸로 충분하지 않나요?"라는 질문을 많이 받습니다. 아래 비교표로 차이점을 명확히 확인하세요.
| 기능 | M365 기본 제공 | 전용 백업 솔루션(예: Acronis) |
|---|---|---|
| 백업 목적 설계 | 아니오 — 보존 정책은 규정 준수 목적 | 예 — 백업·복구 전용 설계 |
| 시점 복구(Point-in-Time) | 제한적 — 버전 기록은 있으나 전체 시점 복원 불가 | 지원 — 특정 날짜·시간 기준으로 전체 복원 가능 |
| 개별 항목 복구 | 제한적 — 휴지통 보존 기간 내에서만 가능 | 지원 — 보존 기간 제약 없이 개별 메일, 파일 복구 |
| 보존 기간 | 정책에 따라 14일~무제한(추가 라이선스 필요) | 고객이 자유롭게 설정, 일반적으로 장기 보존 가능 |
| 랜섬웨어 복구 | 제한적 — 대량 파일 개별 복구 비현실적 | 지원 — 감염 이전 시점으로 일괄 복원 |
| 퇴사자 데이터 | 라이선스 삭제 시 데이터 손실 위험 | 라이선스 상태와 무관하게 데이터 보존 |
| 저장 위치 독립성 | M365 환경 내 종속 | 별도 클라우드 또는 로컬 저장소에 독립 보관 |
| 관리 편의성 | 복잡한 보존 정책·eDiscovery 설정 필요 | 직관적인 백업·복구 콘솔 제공 |
특히 Acronis Cyber Protect Cloud의 M365 백업 기능은 Exchange Online, OneDrive for Business, SharePoint Online, Teams를 포함한 전체 M365 워크로드에 대해 자동화된 백업과 간편한 복구를 제공합니다. AI 기반 행동 탐지 기술이 랜섬웨어 등의 위협을 사전에 감지하고, 백업 데이터 자체도 암호화하여 보호함으로써 "백업 + 보안"을 하나의 플랫폼에서 통합할 수 있다는 것이 가장 큰 차별점입니다.
지금 바로 M365 데이터 보호 전략을 시작하세요
Microsoft 365의 공유 책임 모델은 복잡한 개념이 아닙니다. 핵심은 단순합니다: Microsoft는 "플랫폼"을 지키고, "데이터"는 고객이 지켜야 합니다. M365의 기본 휴지통과 보존 정책에만 의존하는 것은 화재 보험 없이 건물에 입주하는 것과 같습니다.
지금 이 순간에도 직원의 실수, 악의적 삭제, 랜섬웨어 감염, 퇴사자 데이터 소실 등의 위험은 모든 M365 사용 기업에 존재합니다. 사고가 발생한 후에 백업의 필요성을 깨닫는 것은 너무 늦습니다.
KDSys는 Acronis 공인 파트너로서, 한국 중소기업 환경에 최적화된 M365 백업 솔루션 도입을 지원합니다. M365 전체 워크로드에 대한 자동 백업 설정부터 복구 테스트, 데이터 보존 정책 수립까지 — 단순한 제품 판매가 아닌 도입 컨설팅부터 운영 지원까지 원스톱 서비스를 제공합니다. M365 데이터 보호에 대해 고민이 있으시다면, 지금 바로 KDSys에 문의하셔서 무료 상담을 받아보세요.