"우리는 Microsoft 365를 쓰니까 데이터 걱정은 안 해도 되죠?" — 한국 중소기업 IT 담당자들에게서 가장 자주 듣는 말 중 하나입니다. 하지만 이 믿음은 매우 위험한 오해입니다. Microsoft는 자사 서비스 약관(Microsoft Services Agreement)에서 데이터 보호에 대한 책임 범위를 명확히 구분하고 있으며, 사용자 데이터의 백업과 복구는 고객의 책임이라고 분명히 밝히고 있습니다.
실제로 Microsoft 서비스 약관 제6조(b)항에는 "We recommend that you regularly backup Your Content and Data that you store on the Services or store using Third-Party Apps and Services(서비스에 저장하는 콘텐츠와 데이터를 정기적으로 백업할 것을 권장합니다)"라는 문구가 포함되어 있습니다. 즉, Microsoft 스스로가 별도 백업의 필요성을 인정하고 있는 것입니다. 그럼에도 많은 기업이 이 사실을 모른 채 Exchange Online, SharePoint, OneDrive, Teams의 데이터가 영원히 안전하다고 생각합니다.
이 글에서는 Microsoft 365 공유 책임 모델(Shared Responsibility Model)의 정확한 의미와 범위를 분석하고, 중소기업이 M365 데이터를 안전하게 보호하기 위해 취해야 할 구체적인 조치를 안내합니다.
공유 책임 모델이란? Microsoft가 지키는 것 vs. 고객이 지켜야 하는 것
공유 책임 모델(Shared Responsibility Model)은 클라우드 서비스에서 서비스 제공자와 고객 사이의 보안·데이터 보호 책임을 명확히 분리하는 프레임워크입니다. Microsoft Azure, AWS, Google Cloud 등 모든 주요 클라우드 벤더가 이 모델을 채택하고 있으며, Microsoft 365도 예외가 아닙니다.
간단히 말해, Microsoft는 인프라의 가용성을 책임지고, 고객은 그 위에 저장된 데이터의 보호를 책임집니다. Microsoft가 보장하는 것은 데이터센터의 물리적 보안, 네트워크 인프라 가동, 서비스 SLA(일반적으로 가용성 99.9%) 등입니다. 반면, 사용자의 실수로 삭제된 이메일, 랜섬웨어에 의해 암호화된 SharePoint 파일, 퇴사한 직원의 OneDrive 데이터 등은 고객이 스스로 보호하고 복구해야 할 영역입니다.
Microsoft 365의 SLA 99.9% 가용성은 "서비스가 작동한다"는 의미이지, "당신의 데이터가 안전하다"는 의미가 아닙니다. 인프라 가용성과 데이터 보호는 완전히 다른 개념입니다.
M365 데이터를 잃는 5가지 현실적 시나리오
"클라우드에 있으니까 안전하다"는 생각이 얼마나 위험한지, 중소기업 환경에서 실제로 자주 발생하는 데이터 손실 시나리오를 살펴보겠습니다.
- 사용자 실수에 의한 삭제: 직원이 중요한 이메일이나 파일을 실수로 삭제하는 것은 가장 흔한 데이터 손실 원인입니다. Exchange Online의 "지운 편지함"이나 "복구 가능한 항목" 폴더는 기본적으로 14일(최대 30일 설정 가능)만 보관되며, 이 기간이 지나면 영구 삭제됩니다. 한 달 전에 지운 계약서 이메일이 필요하다면? Microsoft에서는 복구해줄 수 없습니다.
- 퇴사 직원 계정 삭제: 직원이 퇴사하면 M365 라이선스 비용 절감을 위해 계정을 삭제하는 것이 일반적입니다. 하지만 계정 삭제 시 해당 사용자의 이메일, OneDrive 데이터가 함께 삭제됩니다. Azure AD에서 삭제된 사용자는 30일 내에만 복원 가능하며, 이후에는 모든 데이터가 영구적으로 사라집니다.
- 랜섬웨어 감염: OneDrive의 파일 동기화 기능은 편리하지만, 랜섬웨어에 감염된 파일이 클라우드로 자동 동기화될 수 있습니다. OneDrive의 버전 기록 기능으로 일부 복구가 가능하지만, 대량의 파일이 감염된 경우 개별 파일마다 이전 버전으로 돌리는 것은 현실적으로 불가능에 가깝습니다.
- 악의적인 내부자 행위: 불만을 품은 직원이 퇴사 전 의도적으로 중요 파일을 삭제하거나 외부로 유출하는 경우가 있습니다. 이러한 행위가 보존 기간 내에 발견되지 않으면 데이터 복구가 불가능합니다.
- 보존 정책 설정 오류: Microsoft 365의 보존 정책(Retention Policy)은 복잡합니다. 잘못 설정된 보존 정책이 오히려 필요한 데이터를 자동 삭제하는 사고가 발생하기도 합니다. 특히 여러 정책이 겹칠 때 어떤 정책이 우선 적용되는지 파악하기 어려워 의도치 않은 데이터 손실이 발생할 수 있습니다.
한국의 개인정보보호법과 전자문서법에 따라 특정 비즈니스 데이터는 법정 보존 기간 동안 반드시 보관해야 합니다. M365 기본 보존 기간만으로는 법적 컴플라이언스를 충족하기 어려울 수 있으며, 위반 시 과태료 등 행정 처분을 받을 수 있습니다.
Microsoft 기본 보호 vs. 전문 백업 솔루션 비교
Microsoft 365에는 휴지통, 버전 기록, 보존 정책 등 기본적인 데이터 보호 기능이 포함되어 있습니다. 그러나 이러한 기능은 "백업"이 아닌 "제한적 복구 옵션"에 가깝습니다. 아래 표에서 Microsoft 기본 기능과 전문 써드파티 백업 솔루션(Acronis 등)의 차이를 비교해 보겠습니다.
| 비교 항목 | Microsoft 365 기본 기능 | 전문 백업 솔루션 (Acronis 등) |
|---|---|---|
| 보존 기간 | 삭제 후 14~93일 (서비스마다 상이) | 무제한 보존 가능 (정책에 따라 설정) |
| 복구 단위 | 항목별 제한적 복구 (개별 파일, 이메일) | 항목별·시점별·전체 복원 모두 가능 |
| 시점 복원 (Point-in-Time) | 제한적 (OneDrive만 30일 내 가능) | 원하는 시점으로 정밀 복원 가능 |
| 랜섬웨어 대응 | 동기화로 감염 파일 전파 위험 | 격리된 백업으로 안전한 복원 가능 |
| Exchange Online 복구 | 삭제된 사서함 30일 내 복원 | 장기 보관 및 세밀한 복원 지원 |
| SharePoint/Teams 복구 | 휴지통 기반 (93일 제한) | 사이트·라이브러리 단위 시점 복원 |
| 법적 컴플라이언스 | 추가 라이선스 필요 (E3/E5 등) | 보존 정책으로 법정 기간 충족 가능 |
| 관리 복잡도 | 보존 정책 설정이 복잡 | 직관적 대시보드로 통합 관리 |
| 데이터 독립성 | M365 플랫폼에 종속 | 별도 저장소에 독립적 보관 |
위 표에서 가장 주목할 부분은 데이터 독립성입니다. Microsoft 365 기본 기능은 결국 같은 플랫폼 내에서의 복구이므로, Microsoft 자체에 대규모 장애가 발생하거나 계정이 완전히 침해되면 복구 수단까지 함께 영향을 받습니다. 반면, 전문 백업 솔루션은 데이터를 Microsoft 365 외부의 독립적인 저장소에 보관하므로 진정한 의미의 "백업"이 됩니다.
실제 시나리오: 퇴사 직원의 이메일이 사라진 날
한 중소기업에서 영업팀 핵심 인력이 퇴사했습니다. IT 담당자는 라이선스 비용 절감을 위해 30일 후 해당 계정을 삭제했습니다. 그로부터 두 달 후, 해당 직원이 담당하던 고객사와 계약 분쟁이 발생했고, 당시 주고받은 이메일이 증거로 필요한 상황이 됐습니다. 하지만 계정 삭제 후 30일이 지난 시점이라 Azure AD에서도 복원이 불가능했고, 해당 이메일 데이터는 영구적으로 소실되었습니다. 만약 별도의 M365 백업 솔루션이 있었다면, 퇴사 직원의 사서함 전체를 독립적으로 보관하고 있었을 것이며, 필요한 이메일을 즉시 검색·복원할 수 있었을 것입니다.
이러한 시나리오는 특별한 것이 아닙니다. 인사 이동이 잦은 중소기업에서 퇴사자 데이터 관리는 항상 사각지대에 놓여 있으며, 대부분 문제가 터진 후에야 백업의 필요성을 절감하게 됩니다.
M365 데이터 보호를 위한 실행 체크리스트
지금 바로 여러분의 조직에서 점검해야 할 항목들입니다. 하나라도 "아니오"가 있다면 데이터 손실 위험에 노출되어 있다고 봐야 합니다.
- 현재 M365 보존 정책을 정확히 파악하고 있는가?
Exchange Online, SharePoint, OneDrive, Teams 각각의 삭제 후 보존 기간이 몇 일인지 확인하세요. 서비스마다 기본값이 다르며, 관리자가 별도로 설정하지 않았다면 기본값이 적용됩니다. - 퇴사자 데이터 처리 프로세스가 문서화되어 있는가?
퇴사 시 계정 삭제 전 데이터를 백업하거나, 공유 사서함으로 전환하는 절차가 정해져 있어야 합니다. 그렇지 않으면 라이선스 삭제와 함께 데이터가 영구 소실될 수 있습니다. - 법적 보존 의무가 있는 데이터를 식별했는가?
한국 전자상거래법, 국세기본법 등에 따라 거래 관련 이메일, 계약서, 세금계산서 등은 일정 기간 보존 의무가 있습니다. 해당 데이터가 어디에 저장되어 있고, 보존 기간이 충족되는지 확인하세요. - 랜섬웨어 감염 시 M365 데이터 복구 계획이 있는가?
OneDrive 동기화를 통해 로컬 감염이 클라우드로 전파될 수 있습니다. 이 경우 전체 데이터를 감염 이전 시점으로 복원할 수 있는 방법이 있어야 합니다. - M365 외부에 독립적인 백업 사본을 보관하고 있는가?
진정한 백업은 원본과 다른 위치에 별도의 사본을 보관하는 것입니다. M365 내부 기능(휴지통, 보존 정책)만으로는 독립적 백업이라 할 수 없습니다. - 백업 데이터의 복원 테스트를 정기적으로 수행하는가?
백업이 있어도 복원이 되지 않으면 의미가 없습니다. 분기에 한 번 이상 실제 복원 테스트를 수행하여 백업의 무결성을 검증해야 합니다.
위 체크리스트에서 3개 이상 "아니오"라면, 현재 M365 데이터 보호 수준이 심각하게 부족한 상태입니다. 사고가 발생하기 전에 전문 백업 솔루션 도입을 검토해야 합니다.
Acronis를 활용한 M365 백업 전략
Acronis는 Microsoft 365 환경에 특화된 클라우드 백업 기능을 제공합니다. Exchange Online 사서함, OneDrive 파일, SharePoint 사이트, Teams 데이터를 Acronis 클라우드 또는 고객이 지정한 저장소에 자동으로 백업하며, 필요 시 특정 시점의 데이터를 세밀하게 복원할 수 있습니다.
특히 중소기업에 유리한 점은 별도의 인프라 구축 없이 클라우드 기반으로 즉시 적용 가능하다는 것입니다. 에이전트 설치 없이 API 연동 방식으로 M365에 접속하므로 기존 업무 환경에 영향을 주지 않으며, 웹 기반 관리 콘솔에서 백업 현황을 한눈에 확인할 수 있습니다.
- 자동 스케줄 백업: 하루 최대 여러 차례 자동 백업을 수행하여 데이터 손실 구간(RPO)을 최소화합니다.
- 세밀한 복원: 전체 사서함뿐 아니라 개별 이메일, 첨부파일, 캘린더 항목, 연락처 등을 선택적으로 복원할 수 있습니다.
- 시점 복원(Point-in-Time Recovery): 원하는 날짜와 시간의 백업 시점으로 돌아갈 수 있어 랜섬웨어 감염이나 대량 삭제 사고에 효과적으로 대응합니다.
- 검색 기능: 백업된 데이터 내에서 키워드 검색이 가능하여, 법적 분쟁이나 감사 시 필요한 데이터를 신속하게 찾아낼 수 있습니다.
- 보안 및 암호화: 백업 데이터는 전송 및 저장 시 암호화되어 제3자의 접근으로부터 보호됩니다.
마무리: M365 데이터 보호, 지금 시작해야 합니다
Microsoft 365 공유 책임 모델의 핵심은 명확합니다. Microsoft는 플랫폼을 지키고, 데이터는 고객이 지켜야 합니다. 이것은 Microsoft가 무책임해서가 아니라, 클라우드 서비스의 기본 구조가 그렇게 설계되어 있기 때문입니다.
정리하면, 중소기업이 M365 데이터를 안전하게 보호하기 위해 기억해야 할 세 가지입니다:
- 첫째, M365 기본 기능(휴지통, 보존 정책)은 백업이 아니라 제한적 복구 옵션입니다.
- 둘째, 사용자 실수, 퇴사자 계정 삭제, 랜섬웨어 등 현실적인 위협에 대비하려면 M365 외부에 독립적인 백업이 필요합니다.
- 셋째, 한국의 개인정보보호법, 전자상거래법 등 법적 컴플라이언스를 충족하려면 장기 데이터 보존 체계가 반드시 갖춰져야 합니다.
KDSys는 Acronis 공인 파트너로서 Microsoft 365 백업 도입부터 운영까지 전 과정을 지원합니다. 현재 M365 데이터 보호 현황을 무료로 진단해 드리며, 기업 규모와 환경에 맞는 최적의 백업 구성을 제안합니다. 복잡한 설정과 정책 수립은 KDSys 기술팀이 함께하므로, IT 전담 인력이 부족한 중소기업도 안심하고 도입할 수 있습니다.
"사고가 터진 후"가 아닌 "사고가 터지기 전"에 준비하세요. M365 데이터 보호에 대한 상담이 필요하시면 KDSys로 문의해 주십시오.