"보안이 중요한 건 알지만, 뭐부터 해야 할지 모르겠습니다"

기업의 보안 담당자들이 가장 많이 하는 말 중 하나입니다. 보안이 중요하다는 것은 누구나 압니다. 그러나 막상 어디서부터, 어떤 순서로 시작해야 할지 막막한 경우가 많습니다.

이런 상황은 특히 중소기업에서 두드러집니다. 2024년 국내 기업 보안 현황 설문조사 결과, 보안 점검을 하지 않거나 주기적으로 하지 않는 기업이 54.6%에 달했습니다. 또한 보안 업무와 타 업무를 겸업하는 경우가 80.5%로 나타났습니다. 보안을 전담할 인력이 없거나, 있더라도 다른 업무를 병행하는 구조에서는 체계적인 보안 관리가 이루어지기 어렵습니다.

한국산업기술보호협회 조사에 따르면 중소기업의 58%가 정보보호 정책을 보유하고 있지 않고, 정보유출방지 솔루션을 보유하지 않은 기업도 64%에 달합니다. 그러나 사이버 위협은 기업 규모를 가리지 않습니다. KISA에 따르면 국내 랜섬웨어 피해의 94%가 중견·중소기업에서 발생했습니다(2024년 기준). 오히려 보안이 취약한 중소기업이 더 손쉬운 공격 대상이 됩니다.

이 글은 정보보호 체계를 처음 정비하려는 기업을 위해, 무엇을 어떤 순서로 점검하고 갖춰야 하는지 실무적인 기준을 제시합니다. 완벽한 보안 시스템을 한 번에 구축하는 것이 목표가 아닙니다. 지금 당장 가장 큰 위험을 줄이는 것부터 시작하는 것이 핵심입니다.

1장. 왜 지금 정보보호 체계를 갖춰야 하는가

1. 사이버 위협은 기업 규모를 가리지 않습니다

많은 중소기업 대표와 담당자들이 "우리 같은 작은 회사를 누가 공격하겠어?"라고 생각합니다. 그러나 이것은 위험한 착각입니다. 자동화된 해킹 도구는 기업 규모를 가리지 않고 취약한 시스템을 탐색합니다. 오히려 보안이 취약한 중소기업이 주요 표적이 됩니다.

국내 제조업의 경우 접근 권한 관리가 미흡하고 보안이 약한 협력사를 통해 악성코드가 다수 유입되고 있습니다. 특히 서드파티를 통한 공격이 증가하면서 공급망 보안이 중요한 과제가 됐습니다. 대기업과 거래하는 협력사 중소기업이 공격 경로로 활용되는 사례가 늘고 있습니다.

2. 보안 투자와 법적 의무는 이제 선택이 아닙니다

2025년 정보보호 공시를 한 773개사의 기업당 평균 보안 투자액은 약 32억 원으로 전년 대비 10.3% 증가했습니다. 국내 773개 기업 전체의 IT 투자 대비 정보보호 투자 비율은 6.44%로 상승했습니다. 그러나 글로벌 기업들은 연간 IT 투자액 가운데 11%를 정보보호에 투자하고 있어 국내 기업의 보안 투자는 여전히 글로벌 기준에 미치지 못합니다.

2026년 9월 11일 시행되는 개인정보 보호법 개정안은 보안에 투자한 사실을 문서로 입증하면 과징금을 감경받을 수 있도록 했습니다. 반대로 기본적인 보안 체계조차 갖추지 않은 상태에서 사고가 발생하면 더 무거운 법적 책임을 지게 됩니다. 보안 투자는 이제 비용이 아니라 리스크 관리의 필수 수단입니다.

3. 완벽한 보안보다 중요한 것은 기본을 갖추는 것

정보보호 체계를 처음 정비할 때 가장 흔한 실수는 모든 것을 한꺼번에 하려는 것입니다. 예산은 한정되어 있고 인력도 부족한 상황에서 고급 보안 솔루션부터 도입하려다가 정작 기본적인 취약점을 방치하는 경우가 많습니다.

보안의 기본 원칙은 간단합니다. 가장 큰 위험을 먼저 줄이는 것. 첨단 보안 장비보다 기본적인 접근 통제와 데이터 관리가 훨씬 더 많은 사고를 막습니다. 이 글이 제시하는 우선순위도 이 원칙을 기반으로 합니다.

2장. 정보보호 체계 정비 우선순위 5가지

우선순위 1. 데이터 현황 파악 — 무엇을 지켜야 하는지 먼저 알아야 합니다

보안 체계를 갖추기 전에 가장 먼저 해야 할 일은 우리 회사에 어떤 정보가 있고, 어디에 저장되어 있으며, 누가 접근할 수 있는지 파악하는 것입니다. 지키려는 대상을 모르면 어떤 보안 시스템도 효과를 발휘하기 어렵습니다.

파악해야 할 핵심 항목은 다음과 같습니다. 고객 개인정보가 어떤 시스템에, 어떤 형태로 저장되어 있는지, 임직원 정보·재무 자료·영업 기밀이 어디에 보관되어 있는지, 이 데이터에 접근할 수 있는 사람이 누구인지, 데이터 보유기간 정책이 있는지, 보유기간이 지난 데이터가 방치되어 있지는 않은지가 이에 해당합니다.

특히 보유기간이 지난 데이터를 파악하는 것이 중요합니다. 개인정보 보호법 제21조는 보유기간이 경과하거나 처리 목적이 달성된 개인정보를 지체 없이 파기하도록 규정합니다. 방치된 데이터는 해킹 시 피해를 키우는 가장 직접적인 원인이 됩니다.

우선순위 2. 접근 통제 — 꼭 필요한 사람만, 꼭 필요한 것만

데이터가 어디에 있는지 파악했다면 다음은 누가 접근할 수 있는지를 통제하는 것입니다. 접근 권한 최소화 원칙(Principle of Least Privilege)에 따라 각 직원은 업무 수행에 필요한 최소한의 권한만 가져야 합니다.

점검해야 할 항목은 다음과 같습니다. 모든 시스템 계정의 목록을 파악하고 있는지, 퇴사자 계정이 폐지됐는지, 장기간 사용하지 않는 휴면 계정이 있는지, 특정 직원에게 과도한 권한이 부여되어 있지는 않은지, 관리자 계정에 2차 인증(2FA)이 적용되어 있는지를 확인해야 합니다.

퇴사자 계정 관리는 접근 통제의 핵심입니다. 퇴사 처리와 동시에 이메일, 내부 시스템, 클라우드 서비스 접근 권한이 즉시 차단되는 절차를 갖추지 않으면 보이지 않는 보안 백도어가 생깁니다.

우선순위 3. 데이터 파기 절차 수립 — 보관만큼 파기도 중요합니다

보안 관리에서 데이터 파기는 자주 간과되는 영역입니다. 그러나 수집·보관하는 것만큼이나 제때 파기하는 것이 법적으로도, 보안상으로도 중요합니다.

파기 절차를 수립할 때 확인해야 할 항목입니다. 전자 파일의 경우 복원이 불가능한 방법으로 영구 삭제하는 프로세스가 있는지, 서버·PC·노트북·외장하드 등 물리적 저장매체를 교체하거나 폐기할 때 데이터를 완전히 파기하는 절차가 있는지, 파기 사실을 증명할 수 있는 파기 확인서·파기 목록·파기 전후 사진 등 증적 자료를 남기는지가 핵심입니다.

단순 포맷이나 초기화만으로는 개인정보 보호법이 요구하는 파기 기준을 충족하기 어렵습니다. 전문 소프트웨어를 이용한 영구삭제나 물리적 파쇄를 통한 완전 파기가 필요합니다. 파기 후 증적 자료가 남아야 법적 책임에서도 자유로울 수 있습니다.

우선순위 4. 보안 정책 문서화 — 말이 아닌 기록으로 남겨야 합니다

보안 담당자가 머릿속으로만 알고 있는 보안 절차는 보안 정책이 아닙니다. 담당자가 바뀌거나 감사가 들어왔을 때 기록이 없으면 아무 의미가 없습니다.

최소한 갖춰야 할 문서는 다음과 같습니다. 개인정보 처리 방침과 내부 관리계획, 계정 생성·변경·폐지 절차, 퇴사자 처리 체크리스트, 저장매체 파기 절차서, 보안 사고 발생 시 대응 매뉴얼, 접근 권한 목록과 변경 이력이 이에 해당합니다. 이 문서들은 내부 보고에 활용할 수 있고, 외부 감사나 규제기관 조사 시 실질적인 증빙 자료가 됩니다.

개인정보 보호법 개정안은 보안 투자를 문서로 입증할 수 있어야 과징금 감경 요건을 충족한다고 규정합니다. 정책 문서화는 번거로운 행정 절차가 아니라 법적 리스크를 낮추는 핵심 수단입니다.

우선순위 5. 임직원 보안 교육 — 가장 저렴하고 효과적인 보안 투자

보안 사고의 상당수는 고도의 해킹 기술이 아니라 임직원의 사소한 실수나 무관심에서 시작됩니다. 피싱 이메일 클릭 한 번, 비밀번호를 포스트잇에 적어두는 것, 개인 USB를 업무용 PC에 연결하는 것. 이 작은 행동 하나가 전체 시스템을 위험에 빠뜨릴 수 있습니다.

정기적인 보안 교육은 가장 저렴하면서도 효과적인 보안 투자입니다. 교육에 포함해야 할 핵심 내용은 피싱 이메일 식별법, 강력한 비밀번호 설정과 2차 인증 사용, 업무 자료의 외부 공유 제한, 사무실 내 물리적 보안 수칙(클린 데스크, 화면 잠금 등), 보안 사고 발생 시 신고 절차입니다. 교육 이수 여부를 기록으로 남겨두면 사고 발생 시 조직의 보안 관리 노력을 입증하는 자료로도 활용됩니다.

3장. 단계별 정비 로드맵

1단계 (즉시) — 지금 당장 확인해야 할 것들

비용과 시간이 거의 들지 않지만 즉각적인 보안 효과를 가져올 수 있는 항목들입니다. 퇴사자 계정 전수 점검 및 폐지, 관리자 계정 비밀번호 변경 및 2차 인증 설정, 중요 시스템 접근 권한 목록 작성, 보유기간 초과 데이터 현황 파악이 이에 해당합니다.

2단계 (1개월 이내) — 기본 절차 수립

조직의 보안 기반을 만드는 단계입니다. 개인정보 처리 방침 및 내부 관리계획 수립, 계정 관리 절차 내규화, 퇴사자 처리 체크리스트 작성, 저장매체 파기 절차서 수립, 보안 사고 대응 매뉴얼 초안 작성이 필요합니다.

3단계 (3개월 이내) — 체계 완성

보안 관리가 일회성이 아닌 지속적인 프로세스로 운영되도록 하는 단계입니다. 전 임직원 보안 교육 실시 및 이수 기록 관리, 분기 단위 계정·권한 점검 주기화, 저장매체 파기 증적 자료 보관 체계 구축, 정기 보안 점검 일정 수립이 포함됩니다.

4장. 담당자가 놓치기 쉬운 실무 포인트

1. 기록이 없으면 한 것과 안 한 것이 같습니다

보안 작업을 수행했더라도 그 사실을 기록으로 남기지 않으면 법적 책임 상황에서 아무런 도움이 되지 않습니다. 계정 폐지를 했다면 폐지 일시와 담당자를 기록하고, 데이터를 파기했다면 파기 목록과 방법, 확인서를 남겨야 합니다.

처리 결과를 사진, 영상, 삭제 리포트, 작업 확인서 등으로 남겨야 내부 승인자와 외부 감사 모두가 결과를 확인할 수 있습니다. 특히 보안 민감도가 높은 작업이라면 담당자, 처리 일시, 장비 식별 정보, 처리 방식, 결과 확인까지 같은 양식으로 관리하는 것이 좋습니다.

2. 담당자가 바뀌어도 절차는 유지되어야 합니다

개인의 경험과 기억에 의존하는 보안 프로세스는 담당자가 바뀌는 순간 취약해집니다. 보안 절차는 반드시 문서로 내규화하고, 인수인계 항목에 보안 관련 사항을 명시적으로 포함해야 합니다. "전임자가 알아서 했다"는 상황이 만들어지지 않도록 해야 합니다.

3. 내부자 위협도 반드시 고려해야 합니다

외부 해킹에만 집중하다가 내부자 위협을 간과하는 경우가 많습니다. 접근 권한 최소화, 퇴사자 계정 즉시 폐지, 이상 행위 탐지 시스템 구축, 중요 자료 접근 로그 관리가 내부자 위협 대응의 핵심입니다. 내부자 위협은 외부 해킹보다 탐지가 어렵고 피해가 클 수 있습니다.

4. 물리적 보안도 함께 점검해야 합니다

디지털 보안에만 집중하다가 물리적 보안을 놓치는 경우가 많습니다. 책상 위의 비밀번호 메모, 방치된 프린터 출력물, 잠기지 않는 서랍 안의 USB 드라이브까지. 아무리 강력한 디지털 보안도 물리적 보안이 뚫리면 의미가 없습니다. 클린 데스크 정책, 화면 잠금 습관, 기밀 문서 파쇄 절차를 함께 갖춰야 완전한 보안 체계가 됩니다.

5장. 담당자를 위한 보안 체계 정비 체크리스트

• 즉시 확인사항 으로는 퇴사자 계정 전수 점검 및 폐지 완료 여부, 관리자 계정 2차 인증 설정 여부, 보유기간 초과 개인정보 현황 파악 여부, 중요 시스템 접근 권한 목록 존재 여부를 확인해야 합니다.

• 1개월 이내 수립사항 으로는 개인정보 처리 방침 및 내부 관리계획 문서화 여부, 계정 관리·퇴사자 처리 절차 내규화 여부, 저장매체 파기 절차서 수립 여부, 보안 사고 대응 매뉴얼 초안 작성 여부를 점검해야 합니다.

• 3개월 이내 체계화사항 으로는 전 임직원 보안 교육 실시 및 이수 기록 관리 여부, 분기 단위 계정·권한 점검 주기화 여부, 파기 증적 자료 보관 체계 구축 여부, 정기 보안 점검 일정 수립 여부를 확인해야 합니다.

보안은 한 번에 완성되지 않습니다

정보보호 체계는 한 번에 완성되는 것이 아닙니다. 기본을 갖추고, 절차를 만들고, 기록을 남기고, 주기적으로 점검하는 과정이 반복되어야 비로소 실질적인 보안 체계가 됩니다.

지금 당장 완벽한 보안 시스템을 갖추는 것보다, 가장 큰 위험부터 순서대로 줄여나가는 것이 현실적이고 효과적입니다. 그리고 그 과정에서 각 단계의 결과를 기록으로 남기는 것이 법적 책임에서도, 실무 운영에서도 가장 중요한 습관입니다.

알테크코리아는 기업의 정보보호 체계 정비 과정에서 가장 간과하기 쉬운 저장매체 파기 절차와 증적 자료 확보를 함께 지원합니다.

알테크코리아가 함께합니다.