"우리는 Microsoft 365를 쓰고 있으니까 데이터는 안전하겠지." 한국 중소기업 IT 담당자들에게 가장 흔하게 듣는 말 중 하나입니다. 하지만 이 한 문장이 바로 가장 위험한 착각입니다. Microsoft는 자사 서비스 약관에서 명확하게 밝히고 있습니다. "고객의 데이터를 정기적으로 백업할 것을 권장합니다(We recommend that you regularly backup Your Content and Data)." 즉, Microsoft는 인프라를 제공하지만, 그 위에 올라가는 귀사의 데이터를 보호할 책임은 귀사에 있다는 뜻입니다.
실제로 업계 전문가들은 SaaS 환경에서 데이터 손실이 발생하는 주요 원인으로 사용자의 실수로 인한 삭제, 랜섬웨어 감염, 퇴사 직원의 의도적 삭제, 동기화 오류 등을 꼽습니다. 이러한 상황에서 Microsoft의 기본 보존 정책만으로는 데이터를 복구하기 어렵거나 불가능한 경우가 대부분입니다. 오늘 이 글에서는 Microsoft 공유 책임 모델(Shared Responsibility Model)의 정확한 의미를 파악하고, M365 데이터를 확실하게 보호하기 위한 전략을 단계별로 안내하겠습니다.
공유 책임 모델(Shared Responsibility Model)이란 무엇인가?
공유 책임 모델은 클라우드 서비스 제공자(Microsoft)와 고객(귀사) 사이에서 보안과 데이터 보호의 책임 영역을 명확하게 분리하는 프레임워크입니다. 이 개념은 Microsoft뿐 아니라 AWS, Google Cloud 등 주요 클라우드 플랫폼에서도 공통적으로 적용되는 업계 표준입니다.
쉽게 비유하면 이렇습니다. 여러분이 은행 금고를 임대했다고 가정해 보겠습니다. 은행은 건물의 물리적 보안, 잠금장치, 화재 방지 시스템을 책임집니다. 하지만 금고 안에 무엇을 넣었는지, 그 내용물이 분실되었는지는 은행이 책임지지 않습니다. Microsoft 365도 동일한 구조입니다. Microsoft는 데이터센터의 물리적 보안, 서비스 가용성(SLA 기준 재무적 가용성 보장), 인프라 수준의 재해 복구를 책임집니다. 반면, 데이터의 생성·관리·보호·백업·복구는 전적으로 고객의 영역입니다.
Microsoft의 SLA(서비스 수준 계약)는 '서비스 가동 시간'에 대한 재무적 보상을 의미할 뿐, 데이터 복구를 보장하는 것이 아닙니다. 서비스가 99.9% 가동된다 하더라도, 사용자가 실수로 삭제한 이메일이나 파일은 별도 백업 없이는 되돌릴 수 없습니다.
Microsoft가 보호하는 것 vs. 고객이 보호해야 하는 것
많은 IT 담당자가 혼동하는 부분이 바로 Microsoft가 제공하는 보호 범위와 고객이 직접 책임져야 하는 범위의 경계입니다. 아래 비교표를 통해 명확하게 구분해 보겠습니다.
| 구분 | Microsoft의 책임 (인프라 레벨) | 고객의 책임 (데이터 레벨) |
|---|---|---|
| 물리적 보안 | 데이터센터 물리적 접근 통제, 하드웨어 관리 | - |
| 네트워크 인프라 | 네트워크 가용성, DDoS 방어 | - |
| 운영체제·애플리케이션 패치 | M365 서비스 자체의 보안 업데이트 | - |
| 서비스 가용성 | SLA 기준 가동 시간 보장(재무적 보상) | - |
| 데이터 백업·복구 | 제한적 보존(휴지통 등 단기 보존만 제공) | ✅ 장기 백업, 시점 복구, 보관 정책 수립 |
| 사용자 실수 대응 | ❌ 보호 범위 밖 | ✅ 실수로 삭제한 데이터 복구 체계 구축 |
| 랜섬웨어·악성코드 대응 | 인프라 수준의 위협 탐지 | ✅ 감염된 사용자 데이터 복구, 엔드포인트 보호 |
| 퇴사자 데이터 관리 | ❌ 라이선스 해제 시 데이터 삭제 | ✅ 퇴사자 데이터 보존·인수인계 체계 |
| 법적 규정 준수 | Microsoft 자체의 규정 준수 인증 | ✅ 개인정보보호법, 내부 감사 대응용 데이터 보관 |
| 접근 권한 관리 | IAM 도구 제공 | ✅ 사용자별 권한 설정, MFA 적용 관리 |
이 표에서 가장 주목해야 할 부분은 데이터 백업·복구 영역입니다. Microsoft는 Exchange Online 삭제 항목의 경우 기본 14일(최대 30일로 설정 가능), SharePoint Online 휴지통은 93일 보존을 제공합니다. 하지만 이 기간이 지나면 데이터는 영구적으로 사라지며, Microsoft에 복구를 요청해도 되돌릴 수 없습니다. 또한 이러한 보존 기능은 '백업'이 아니라 단순 '보존(retention)'에 불과합니다. 특정 시점으로 되돌리는 시점 복구(Point-in-Time Recovery)와는 근본적으로 다릅니다.
M365 데이터 손실이 발생하는 6가지 현실적 시나리오
"우리 회사에서 그런 일이 일어나겠어?"라고 생각할 수 있지만, 아래 시나리오들은 실제 업무 환경에서 매우 빈번하게 발생하는 상황들입니다.
- 사용자 실수로 인한 삭제: 직원이 중요한 SharePoint 문서 라이브러리를 정리하다가 핵심 폴더를 통째로 삭제하는 경우입니다. 93일 이내에 발견하면 휴지통에서 복구할 수 있지만, 이 기간이 지난 후에야 누락을 인지하는 경우가 적지 않습니다. 특히 분기별로만 참조하는 보고서나 계약서 파일이 이에 해당합니다.
- 퇴사 직원의 라이선스 해제: 직원이 퇴사하면 비용 절감을 위해 M365 라이선스를 해제합니다. Microsoft는 라이선스 해제 후 일정 기간이 지나면 해당 사용자의 메일박스와 OneDrive 데이터를 완전히 삭제합니다. 퇴사 후 몇 달이 지나 해당 직원이 담당했던 프로젝트 자료가 필요해졌을 때, 이미 복구가 불가능한 상황이 됩니다.
- 랜섬웨어 감염: OneDrive 동기화 클라이언트를 통해 로컬 PC의 랜섬웨어 감염이 클라우드까지 전파될 수 있습니다. OneDrive의 버전 기록 기능으로 일부 복구가 가능하지만, 대량의 파일이 암호화된 경우 개별 파일을 하나씩 이전 버전으로 되돌리는 것은 현실적으로 매우 어렵고 시간이 많이 소요됩니다.
- 의도적 내부 위협: 불만을 가진 직원이 퇴사 전 의도적으로 팀 SharePoint 사이트의 데이터를 삭제하거나, Outlook 메일함을 비우는 경우입니다. 보안 전문가들은 내부자 위협을 가장 탐지하기 어려운 보안 위협 중 하나로 꼽습니다.
- 서드파티 앱 연동 오류: M365와 연동된 타사 SaaS 앱의 동기화 오류로 인해 Exchange 연락처, 캘린더 항목이 대량으로 덮어쓰기 되거나 삭제되는 경우가 발생할 수 있습니다.
- 관리자 설정 오류: IT 관리자가 보존 정책, 규정 준수 정책을 변경하는 과정에서 실수로 기존 보존 데이터를 삭제 범위에 포함시키는 경우입니다. 관리자 권한의 실수는 영향 범위가 전사적이기 때문에 피해가 큽니다.
한국 개인정보보호법(PIPA)에 따르면, 기업은 개인정보를 포함한 데이터에 대해 안전성 확보 조치 의무를 갖습니다. 데이터 손실로 인해 개인정보가 유출되거나 복구 불가능한 상태가 되면, 이는 법적 책임 문제로 이어질 수 있습니다. "클라우드 업체가 책임진다"는 주장은 법적으로 인정되지 않습니다.
M365 데이터 보호를 위한 실전 체크리스트
공유 책임 모델을 이해했다면, 이제 실제로 무엇을 해야 하는지 구체적인 행동으로 옮겨야 합니다. 아래 체크리스트를 기반으로 귀사의 M365 데이터 보호 현황을 점검해 보시기 바랍니다.
- ✅ 현재 보존 정책 확인: Microsoft 365 관리 센터에서 Exchange, SharePoint, OneDrive 각각의 보존 정책이 어떻게 설정되어 있는지 확인합니다. 기본값 그대로인 경우가 많은데, 이는 최소한의 보호만 제공합니다.
- ✅ 퇴사자 데이터 처리 프로세스 수립: 직원 퇴사 시 라이선스 해제 전에 반드시 메일박스와 OneDrive 데이터를 별도로 백업하거나 다른 사용자에게 위임하는 절차를 마련합니다. 이 과정이 자동화되어 있지 않으면 누락이 발생합니다.
- ✅ 서드파티 백업 솔루션 도입: Microsoft 기본 보존 기능의 한계를 보완하기 위해 전문 백업 솔루션이 필요합니다. 자동 일일 백업, 시점 복구(Point-in-Time Recovery), 장기 보관, 그리고 Exchange·SharePoint·OneDrive·Teams를 모두 아우르는 통합 백업 기능을 지원하는 솔루션을 선택해야 합니다.
- ✅ 복구 테스트 정기 실시: 백업만 하고 복구를 테스트하지 않는 기업이 대부분입니다. 최소 분기 1회 실제 복구 테스트를 수행하여 백업 데이터의 무결성과 복구 소요 시간(RTO)을 확인해야 합니다.
- ✅ 3-2-1 백업 원칙 적용: 데이터 사본 3개, 서로 다른 미디어/위치 2곳, 최소 1개는 오프사이트(외부 위치)에 보관하는 원칙입니다. M365 데이터도 예외가 아닙니다.
- ✅ 법적 보관 의무 기간 확인: 귀사의 업종에 따라 이메일, 전자문서 등의 법정 보관 기간이 다릅니다. 전자상거래법, 국세기본법 등에서 요구하는 보관 기간을 확인하고 백업 보존 기간을 이에 맞춰 설정합니다.
시나리오: 퇴사 직원 데이터 손실과 그 후폭풍
한 중소기업에서 영업팀 핵심 인력이 퇴사했습니다. IT 담당자는 비용 절감을 위해 해당 직원의 M365 라이선스를 즉시 해제했습니다. 두 달 후, 영업팀에서 해당 직원이 관리하던 거래처와의 이메일 내역과 OneDrive에 저장된 제안서 파일이 필요해졌습니다. Microsoft 지원팀에 문의했지만, 라이선스 해제 후 보존 기간이 이미 경과하여 데이터는 영구 삭제된 상태였습니다. 결과적으로 해당 거래처와의 계약 히스토리를 처음부터 재구성해야 했고, 영업 기회 손실과 함께 수주 경쟁에서 불리한 위치에 놓이게 되었습니다. 만약 M365 전용 백업 솔루션이 도입되어 있었다면, 퇴사 직원의 데이터는 라이선스 해제와 무관하게 보존되었을 것이고, 몇 번의 클릭만으로 필요한 메일과 파일을 복구할 수 있었을 것입니다.
이 시나리오는 특정 기업의 이야기가 아니라, 별도 백업 없이 M365를 운영하는 수많은 중소기업에서 반복되고 있는 패턴입니다. 문제는 대부분 데이터가 필요해진 시점에서야 백업의 부재를 인지한다는 것입니다.
Acronis Cyber Protect Cloud로 M365 보호 공백 메우기
Microsoft의 공유 책임 모델에서 고객 영역으로 분류된 데이터 보호 책임을 효과적으로 이행하려면, M365에 특화된 전문 백업 솔루션이 필요합니다. Acronis Cyber Protect Cloud는 M365 환경의 데이터 보호 공백을 메우기 위해 다음과 같은 핵심 기능을 제공하는 것으로 알려져 있습니다.
Exchange Online, OneDrive, SharePoint Online, Teams를 포함한 M365 주요 서비스의 자동 백업을 지원합니다. 이미지 기반이 아닌 항목 수준(아이템 레벨) 복구가 가능하여, 전체 메일박스를 복원하지 않고도 특정 이메일 한 통, 특정 파일 하나만 선택적으로 복구할 수 있습니다. 이는 복구 시간을 크게 단축하고 업무 중단을 최소화하는 데 핵심적인 요소입니다.
또한 Acronis는 단순 백업을 넘어 AI 기반 행동 탐지를 통한 랜섬웨어 방어와 백업 데이터를 결합한 사이버 보호(Cyber Protection) 접근법을 취하고 있습니다. 이는 백업 데이터 자체가 랜섬웨어에 의해 암호화되는 것을 방지하고, 감염 이전 시점의 깨끗한 데이터로 신속하게 복구할 수 있는 기반을 제공합니다.
| 비교 항목 | Microsoft 기본 보존 기능 | Acronis를 통한 M365 백업 |
|---|---|---|
| 백업 방식 | 보존 정책(Retention) 기반, 수동 설정 필요 | 자동 스케줄 백업, 정책 기반 관리 |
| 시점 복구 | 제한적 (버전 기록 수준) | 특정 날짜·시간 기준 시점 복구 지원 |
| 보존 기간 | Exchange 최대 30일, SharePoint 93일 | 고객이 원하는 기간만큼 장기 보관 가능 |
| 퇴사자 데이터 | 라이선스 해제 후 일정 기간 뒤 삭제 | 라이선스와 무관하게 백업 데이터 보존 |
| 복구 범위 | 전체 복원 또는 수동 개별 항목 검색 | 아이템 레벨 세밀한 검색·복구 |
| 랜섬웨어 보호 | 인프라 수준 방어만 제공 | 백업 데이터에 대한 추가 보호 레이어 제공 |
| 법적 규정 준수 | 기본 eDiscovery, 소송 보존 기능 | 장기 아카이빙, 감사 로그와 결합 가능 |
M365 데이터 보호는 "하면 좋은 것"이 아니라 "하지 않으면 위험한 것"입니다. 공유 책임 모델에 따라 Microsoft가 보호하지 않는 영역을 인식하고, 그 공백을 전문 솔루션으로 채우는 것이 IT 담당자의 핵심 역할입니다.
마무리: 데이터 보호는 선택이 아니라 경영 필수 사항입니다
다시 한번 정리하겠습니다. Microsoft 365의 공유 책임 모델은 명확합니다. Microsoft는 인프라를, 고객은 데이터를 책임집니다. Microsoft의 기본 보존 기능은 단기적·제한적 수준이며, 실수로 인한 삭제, 랜섬웨어, 퇴사자 데이터 관리, 법적 보관 의무 등 현실적인 위협에 대응하기에는 부족합니다.
한국 개인정보보호법을 비롯한 법적 요구사항을 충족하고, 비즈니스 연속성을 보장하기 위해서는 M365 전용 서드파티 백업 솔루션 도입이 필수입니다. 이것은 비용이 아니라, 데이터 손실로 인한 업무 중단·매출 손실·법적 제재를 예방하는 투자입니다.
KDSys는 Acronis 공인 파트너로서, M365 백업을 포함한 기업 전체의 사이버 보호 전략을 설계하고 운영할 수 있도록 지원합니다. 귀사의 현재 M365 데이터 보호 현황을 무료로 점검받고, 비즈니스 규모에 맞는 최적의 백업 구성을 제안받아 보시기 바랍니다. 데이터를 잃은 후에 후회하지 마시고, 지금 KDSys에 문의하셔서 M365 보호 공백을 점검하시기 바랍니다.