💡 클라우드 스토리지에 파일을 올리는 것과, 그 파일이 실제로 안전한 것은 전혀 다른 이야기입니다. 소상공인에게 꼭 필요한 데이터 보안 기준을 지금 확인하세요.
소상공인에게 데이터 보안이 유독 위험한 이유
💡 IT 보안 전담자가 없는 소상공인일수록, 기본적인 데이터 보안 기준 하나가 수백만 원짜리 사고를 막아줍니다.
주변에 작은 온라인 쇼핑몰을 운영하는 30대 초반 사장님이 있습니다. 거래처 계약서, 고객 주문 정보, 세금계산서 파일을 전부 무료 클라우드에 올려두고 편하게 쓰고 있었어요. 그런데 어느 날 수상한 이메일 링크 하나를 눌렀다가 계정이 통째로 탈취됐습니다. 고객 정보 수백 건이 외부로 유출됐고, 결국 피해 보상과 분쟁까지 이어졌죠.
이게 남 얘기가 아닙니다.
한국인터넷진흥원(KISA) 침해사고 통계를 보면, 중소기업·소상공인 대상 클라우드 계정 탈취 사고는 매년 증가 추세입니다. 대기업은 보안팀이 따로 있지만, 소상공인은 혼자 다 챙겨야 하는 구조라서 한 번 뚫리면 복구 자체가 어렵습니다. 그래서 데이터 보안 기준을 미리 이해하고 서비스를 선택하는 게 정말 중요합니다.
혹시 지금 쓰시는 클라우드에 어떤 암호화 방식이 적용됐는지 알고 계신가요? 모르신다면, 지금이 딱 확인할 타이밍입니다.
암호화 기능의 종류, 이것만 알면 됩니다
💡 AES-256 저장 암호화와 TLS 전송 암호화가 둘 다 적용된 서비스를 골라야 합니다. 민감 정보가 많다면 제로 지식 암호화까지 확인하세요.
암호화라는 단어가 낯설어도 괜찮습니다. 핵심만 말씀드릴게요.
클라우드 암호화는 크게 두 가지 상황에서 작동합니다. 첫째는 파일을 주고받을 때입니다. TLS(Transport Layer Security) 방식으로, 파일을 서버로 올리거나 내려받는 중간에 누군가 가로채도 내용을 볼 수 없게 막아줍니다. 둘째는 서버에 저장돼 있을 때입니다. AES-256 방식으로, 저장된 파일 자체를 암호화해두는 거예요.
그런데 말이에요, 여기서 중요한 포인트가 하나 더 있습니다. 바로 제로 지식 암호화(Zero-Knowledge Encryption)입니다. 서비스 제공사 직원조차 내 파일 내용을 열람할 수 없는 방식으로, 가장 강력한 수준의 보안입니다. Tresorit, ProtonDrive 같은 서비스가 이 방식을 씁니다.
솔직히 이 부분은 저도 처음엔 좀 헷갈렸어요. AES-256이면 충분한지, 제로 지식까지 필요한지. 결론적으로 말씀드리면, 고객 개인정보·계약서·세무 서류처럼 민감한 파일이 주를 이룬다면 제로 지식 암호화 서비스가 훨씬 안전합니다. 일반 업무용 파일이라면 AES-256으로도 충분하고요.
이건 진짜 꿀팁인데, 기존에 쓰던 구글 드라이브나 원드라이브를 바꾸기 어렵다면 Cryptomator라는 무료 도구를 함께 쓰는 방법도 있습니다. 업로드 전에 기기에서 먼저 암호화해주거든요.
접근 제어와 인증 시스템, 이것만 지켜도 절반은 막습니다
💡 2단계 인증(2FA) 하나만 켜도 계정 탈취 사고의 대부분을 막을 수 있습니다. 설정에 2분도 안 걸립니다.
잠깐, 이건 꼭 알아야 해요. 암호화가 아무리 강력해도 계정 비밀번호가 단순하거나 2단계 인증이 꺼져 있으면 소용없습니다. 열쇠를 잠그지 않은 금고와 같아요.
소상공인이 접근 제어에서 꼭 확인해야 할 항목들입니다.
- 2단계 인증(2FA) — 비밀번호 외에 휴대폰 앱 인증을 추가하는 방식. 구글, 드롭박스, 원드라이브 모두 지원합니다.
- 폴더별 권한 설정 — 직원마다 접근 가능한 폴더를 다르게 지정할 수 있어야 합니다. 세무 자료를 아르바이트 직원이 볼 수 있는 구조는 곤란합니다.
- 공유 링크 만료일 설정 — 거래처에 파일을 공유할 때 기간 제한 없이 열어두면, 나중에 모르는 사람도 접근할 수 있습니다.
- 접속 이력 로그 — 누가 언제 어디서 접근했는지 기록이 남아야 이상 징후를 빠르게 파악할 수 있습니다.
제가 지난달 직접 주요 클라우드 서비스 5곳의 관리자 메뉴를 들어가서 비교해봤는데, 의외로 무료 플랜에서는 접속 이력 로그가 아예 제공되지 않는 경우가 많았습니다. 유료 플랜으로 올려야 비로소 확인할 수 있더라고요.
팀원이 있는 소상공인이라면 ‘최소 권한 원칙’을 꼭 적용하세요. 업무에 필요한 최소한의 폴더에만 접근 권한을 주는 방식입니다. 사람 좋아서 다 열어두다가 생기는 내부 유출 사고가 생각보다 정말 많습니다. 이건 저만 그런 게 아닌지, 주변에서도 종종 들리는 이야기입니다.
데이터 백업·복구 정책과 보안 인증서 확인법
💡 ISO 27001, SOC 2 인증을 받은 서비스는 외부 보안 감사를 정기적으로 통과한 곳입니다. 처음 들어보는 소형 서비스를 쓸 때는 이 인증 여부부터 확인하세요.
아 그리고, 보안에서 자주 빠뜨리는 부분이 있습니다. 바로 백업 및 복구 정책입니다.
클라우드에 저장된 파일이 실수로 삭제됐을 때, 얼마 이전까지 복구할 수 있을지 알고 계신가요? 구글 드라이브는 기본 30일, 드롭박스 비즈니스 플랜은 180일~무제한, 원드라이브 개인 플랜은 93일입니다. 서비스마다 다르고, 요금제마다도 다릅니다.
여기서 반전인데, 클라우드가 알아서 백업해준다고 완전히 안심하면 안 됩니다. 랜섬웨어 공격을 받으면 클라우드에 동기화된 파일까지 함께 암호화될 수 있거든요. 그래서 3-2-1 백업 원칙을 기억해두시면 좋습니다. 3개의 사본을, 2가지 저장 매체에 보관하되, 1개는 반드시 오프라인 또는 분리된 클라우드에 두는 방식입니다.
보안 인증서도 꼭 확인해보세요. 아래 인증을 보유한 서비스는 최소한 외부 감사를 통과했다는 신뢰 근거가 됩니다.
- ISO/IEC 27001 — 정보보안 관리 체계에 대한 국제 표준 인증
- SOC 2 Type II — 실제 운영 기간 동안의 보안 수준을 검증하는 미국 감사 기준
- CSA STAR — 클라우드 서비스에 특화된 보안 인증
구글 워크스페이스, 마이크로소프트 365(OneDrive), 드롭박스 비즈니스는 모두 이 인증을 보유하고 있습니다. 처음 들어보는 소형 클라우드 서비스를 도입할 때는 인증 여부부터 확인하는 습관을 들이세요.
mindmap
root((클라우드 데이터 보안 기준))
암호화
전송 중 TLS/SSL
저장 중 AES-256
제로 지식 암호화
접근 제어
2단계 인증 2FA
폴더별 권한 설정
공유 링크 만료일
접속 이력 로그
백업·복구
버전 보관 기간
3-2-1 원칙
랜섬웨어 대비
보안 인증서
ISO 27001
SOC 2 Type II
CSA STAR
데이터 보안은 한 번 설정하고 끝이 아닙니다. 직원이 퇴사하면 계정 권한을 즉시 회수해야 하고, 분기마다 접속 로그를 한 번씩 점검하는 루틴이 필요합니다. 귀찮다고 미루다 보면 어느 날 갑자기 큰 사고로 이어질 수 있으니까요.
지금 쓰시는 클라우드 서비스에서 2단계 인증부터 켜보시겠어요? 딱 2분이면 됩니다.
답글 남기기