중소기업 보안 점검은 어디서부터 시작해야 하나요?
고객이나 직원의 개인정보를 다룬다면 「개인정보의 안전성 확보조치 기준」부터 확인하는 것이 가장 확실합니다. 개인정보보호법 제29조에 근거한 개인정보보호위원회 고시로, 회사 규모와 상관없이 개인정보처리자가 지켜야 할 기술적·관리적·물리적 조치의 '최소 기준'을 정합니다. 현재 기준은 2026년 7월 1일 시행된 고시 제2026-9호입니다.
법 기준을 먼저 보는 이유는 단순합니다. 사고가 났을 때 책임을 따지는 출발점이 이 기준이고, 대부분의 실무 보안 조치가 이미 이 안에 들어 있기 때문입니다. 그 위에 웹 취약점, 백업, 클라우드 설정을 더하면 중소기업에 필요한 기본 점검표가 됩니다.
안전성 확보조치 기준의 핵심 항목은 무엇인가요?
아래 표는 고시 조문을 기준으로 중소기업이 직접 확인할 수 있게 정리한 것입니다.
| 조항 | 요구 내용 | 확인 방법 |
|---|---|---|
| 제4조 내부 관리계획 | 계획 수립·시행, 연 1회 이상 이행 실태 점검 | 문서와 점검 기록이 있는가 |
| 제5조 접근 권한 | 업무에 필요한 최소 범위, 인사이동·퇴사 시 지체 없이 변경·말소 | 퇴사자 계정이 남아 있지 않은가 |
| 제5조 기록 | 권한 부여·변경·말소 내역 최소 3년 보관, 계정 공유 금지 | 공용 관리자 계정을 쓰고 있지 않은가 |
| 제6조 접근통제 | IP 등으로 접속 제한, 외부 접속 시 인증서·보안토큰·일회용 비밀번호 등 안전한 인증수단 | 관리자 페이지가 아무 데서나 열리지 않는가 |
| 제6조 세션 | 일정 시간 미사용 시 자동 접속 차단, 업무용 모바일 기기 잠금 | 관리 화면 자동 로그아웃 설정 |
| 제7조 암호화 | 비밀번호는 일방향 암호화, 주민등록번호·여권번호·계좌번호·카드번호 등은 암호화 저장, 인터넷 구간 전송 암호화 | DB에 평문 비밀번호가 없는가, HTTPS 적용 |
| 제8조 접속기록 | 1년 이상 보관(5만 명 이상·고유식별정보·민감정보 처리 시 2년 이상), 위·변조 방지 | 누가 언제 어떤 정보를 조회했는지 남는가 |
| 제9조 악성프로그램 | 백신 자동 업데이트 또는 일 1회 이상, 보안 업데이트 공지 시 즉시 적용 | OS·서버 패치 현황 |
| 제10조 물리적 조치 | 전산실·자료보관실 출입통제, 서류·USB 잠금 보관 | 개인정보 서류가 책상 위에 있지 않은가 |
| 제13조 파기 | 완전파괴, 전용 장비 삭제, 복원 불가능한 초기화·덮어쓰기 중 하나 | 폐기 PC·디스크 처리 기록 |
1만 명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립을 생략할 수 있습니다. 반대로 재해·재난 대비(제11조)와 암호 키 관리 절차(제7조 제6항)는 10만 명 이상을 처리하는 대기업·중견기업·공공기관, 또는 100만 명 이상을 처리하는 중소기업·단체에 적용됩니다.
2025년 개정으로 무엇이 달라졌나요?
2025년 10월 31일 개정(고시 제2025-9호)의 핵심은 일률 규제를 위험 기반으로 바꾼 것이고, 일부 조항은 1년 유예를 거쳐 2026년 10월 31일부터 시행됩니다. 중소기업이 챙길 변화는 다음과 같습니다.
- 접속기록 점검 주기: 종전에는 '월 1회 이상' 점검이 정해져 있었지만, 개정 후에는 점검 주기·방법·사후조치 절차를 내부 관리계획으로 정하고 이행해야 합니다. 주기를 회사가 정하는 대신, 정한 대로 했다는 기록이 중요해집니다.
- 접속기록 대상 확대: 보관 대상이 '개인정보취급자'에서 '개인정보처리시스템에 접속한 자(정보주체 제외)'로 넓어졌습니다.
- 내부 관리계획 항목 추가: 출력·복사 시 안전조치, 개인정보 파기에 관한 사항이 들어갔습니다.
- 인터넷망 차단: 이용자 100만 명 이상 대규모 사업자의 망 차단 의무가 위험 분석 결과에 따라 일부 완화될 수 있게 됐습니다. 대부분의 중소기업과는 거리가 있는 조항입니다.
개인정보보호위원회는 2026년 5월 「예방 중심 개인정보 관리체계 전환 계획」을 발표하고, 처리 규모와 민감도에 따라 위험군을 나눠 점검하겠다는 방향을 밝혔습니다. 법무법인 세종이 정리한 분류안에 따르면, 개인 식별이 어렵거나 1만 명 미만으로 소규모 처리하는 경우는 저위험군으로 자율점검과 안전조치 지원, 구독형 컨설팅 지원 대상이 됩니다.
웹 서비스 취약점은 무엇을 기준으로 점검하나요?
국내에서 가장 많이 참고하는 기준은 KISA가 배포하는 「주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」입니다. 원래 주요정보통신기반시설용이지만 민간 보안 컨설팅에서도 점검 항목의 기준으로 널리 쓰이며, 2025년 12월 KISA 누리집에 개정판이 올라왔습니다.
중소기업 웹 서비스에서 우선 확인할 항목은 다음과 같습니다.
- SQL 인젝션, 크로스사이트 스크립팅(XSS) 같은 입력값 검증 문제
- 파일 업로드 기능에서 실행 파일이 올라가지 않는가
- 관리자 페이지가 외부에 그대로 노출돼 있지 않은가
- 로그인 없이, 또는 다른 사용자 ID로 바꿔서 남의 정보가 조회되지 않는가
- 오류 화면에 서버 버전·쿼리·경로가 드러나지 않는가
- 쓰지 않는 테스트 페이지, 백업 파일, 디렉터리 목록이 열려 있지 않는가
랜섬웨어에 대비한 백업은 어떻게 해야 하나요?
사본 3개, 서로 다른 저장 매체 2종, 1개는 외부 보관이라는 3-2-1 원칙이 기본입니다. 여기에 더해 미국 CISA의 랜섬웨어 가이드는 중요 데이터를 오프라인·암호화 상태로 백업하고, 재해 상황을 가정해 백업의 가용성과 무결성을 정기적으로 시험하라고 권고합니다. 많은 랜섬웨어가 접근 가능한 백업을 찾아 지우거나 함께 암호화하기 때문입니다.
- 1원본 외에 사본 2개를 둡니다(예: NAS와 클라우드 스토리지).
- 2그중 하나는 평소 네트워크에서 분리하거나, 삭제·수정이 불가능한 보관 설정을 씁니다.
- 3백업 계정은 업무 계정과 분리하고 MFA를 겁니다.
- 4분기에 한 번 정도는 실제로 복구해 보고 걸린 시간을 기록합니다.
클라우드와 직원 계정은 무엇을 확인해야 하나요?
클라우드와 협업 도구를 쓰는 회사라면 설정과 계정 관리가 코드 취약점만큼 중요합니다. AWS도 IAM 모범 사례에서 루트 계정 보호, MFA 적용, 최소 권한, 장기 액세스 키 대신 임시 자격 증명 사용을 권고합니다.
| 영역 | 점검 항목 |
|---|---|
| 클라우드 루트 계정 | MFA 적용, 일상 업무에 사용하지 않기 |
| 스토리지 | 공개 접근 차단 설정, 고객 파일 버킷이 공개돼 있지 않은가 |
| 네트워크 | DB·SSH·원격 데스크톱 포트가 전체 인터넷에 열려 있지 않은가 |
| 액세스 키 | 소스코드·공유 문서에 키가 들어 있지 않은가, 쓰지 않는 키 삭제 |
| 업무 계정 | 메일·협업 도구·클라우드 콘솔 전원 MFA, 퇴사자 당일 계정 정지 |
| 외부 협력사 | 개발사·유지보수 업체 계정의 권한과 만료일 |
얼마나 자주 점검하고, 언제 외부 점검을 받아야 하나요?
법이 정한 최소 주기를 지키고, 큰 변화가 있을 때 외부 점검을 더하는 방식이 현실적입니다. 내부 관리계획 이행 점검은 연 1회 이상이 법정 기준이고, 접속기록 점검 주기는 내부 관리계획에 정한 대로 지켜야 합니다.
외부 점검을 권하는 시점은 다음과 같습니다.
- 회원가입·결제 기능이 있는 서비스를 새로 출시할 때
- 주민등록번호, 건강 정보 같은 고유식별정보·민감정보를 처리하기 시작할 때
- 침해 사고나 개인정보 유출 의심 상황이 생긴 뒤
- 거래처나 공공기관이 보안 점검 결과 제출을 요구할 때
비용은 점검 범위에 따라 크게 달라지므로, 먼저 정부 지원을 확인해 보세요. 과학기술정보통신부와 KISA는 2026년에도 중소기업 대상 공격표면 무료 점검, 모의침투 점검 등의 지원 사업을 안내했습니다. 신청은 보호나라 누리집과 지역 정보보호지원센터에서 받습니다.
미라클스튜디오는 재하청 없이 자체 팀이 점검 결과의 수정 개발까지 직접 맡습니다. 개발을 맡겨 주신 경우 납품 후 90일 동안 하자를 무상으로 보수합니다. 점검 범위는 보안 점검·컨설팅 페이지에서 확인하실 수 있습니다.
우리 회사가 어디까지 지켜야 하는지 판단이 어렵다면, 미라클스튜디오 30분 무료 상담에서 처리하는 개인정보 규모와 시스템 구성을 기준으로 점검 우선순위를 정리해 드립니다.
