직원 열 명 안팎의 회사는 목록 작성, 계정, 기기, 업데이트, 백업 순서로 점검하면 됩니다. 계정 하나를 빼앗기면 그 계정으로 들어갈 수 있는 기기와 백업도 함께 위험해지므로 계정을 가장 먼저 정리합니다. 다만 지금 백업이 하나도 없다면 첫날에 중요 자료 사본부터 원본과 다른 곳에 만듭니다.
핵심 요약
- 점검 순서는 목록, 계정, 기기, 업데이트, 백업입니다. 백업이 없는 회사는 중요 자료 사본부터 만듭니다.
- 첫 설정은 공용 아이디를 개인 계정으로 바꾸고, 관리자 권한을 가진 사람을 정하는 일입니다.
- 처음 한 번 정하는 설정과 매달 확인하는 점검을 나누고, 항목마다 담당자와 날짜를 적습니다.
보안 기본 설정은 왜 이 순서로 점검하나요
과학기술정보통신부는 2026년 6월 26일 보도자료에서 중소기업의 보안 기본기로 자산관리·식별과 공격표면 축소를 들었습니다(과기정통부, 여건이 부족한 중소기업 대상 보안기본기 확립 집중 지원). 자산관리·식별은 회사가 가진 계정·기기·자료를 파악하는 일입니다. 공격표면(외부에서 들어올 수 있는 통로)을 줄이려면 무엇을 가지고 있는지부터 알아야 합니다.
그래서 첫 단계는 목록입니다. 목록이 생기면 계정, 기기, 업데이트, 백업 순서로 하나씩 점검합니다. 메일·클라우드 계정은 사무실 밖에서도 접속할 수 있어 가장 넓은 통로가 되므로 계정을 먼저 봅니다. 백업은 백업을 관리하는 계정과 기기가 안전해야 지켜지므로 마지막에 확인합니다.
1단계 · 목록 만들기
회사 명의 계정, 업무 기기, 중요 자료의 위치를 한 장에 적습니다. 모든 항목에 담당자 이름이 적히면 이 단계가 끝납니다.
2단계 · 계정 정리
공용 아이디, 퇴사자 계정, 쓰지 않는 계정을 정리하고 2단계 인증을 켭니다. 관리자 권한을 가진 사람이 확정되면 끝납니다.
3단계 · 기기 점검
화면 잠금, 사용자 권한, 보안 프로그램 작동 여부를 확인합니다. 목록에 있는 기기를 모두 확인하면 끝납니다.
4단계 · 업데이트 설정
운영체제, 브라우저, 업무 프로그램, 공유기·NAS의 업데이트 방식을 확인합니다. 지원이 끝난 제품까지 표시하면 끝납니다.
5단계 · 백업과 복원 확인
중요 자료 사본을 원본과 분리된 곳에 둡니다. 파일 하나를 실제로 되살려 열리는지 확인하면 끝납니다.
계정은 무엇부터 정리하나요
작은 회사에서 흔히 생기는 문제는 한 아이디를 여러 사람이 함께 쓰는 것입니다. 공용 아이디는 누가 무엇을 했는지 구분할 수 없고, 퇴사자가 나가도 비밀번호가 그대로 남습니다. 그래서 직원마다 개인 계정을 만들고, 꼭 필요한 사람에게만 관리자 권한을 줍니다.
개인정보 보호법 시행령 제30조 제1항은 개인정보처리자가 해야 할 안전성 확보 조치에 접근 권한의 부여·변경·말소 기준을 세우고 시행하는 일을 넣었습니다(개인정보 보호법 시행령 제30조). 같은 조 제3항은 세부 기준을 개인정보보호위원회가 고시로 정한다고 규정합니다. 고객·직원 개인정보를 다루는 회사라면 계정을 만들고 바꾸고 지우는 기준을 문서로 남기는 일이 이 조치와 이어집니다.
| 계정 종류 | 확인할 것 | 정리 기준 |
|---|---|---|
| 메일·클라우드 관리자 계정 | 관리자 권한을 가진 사람, 계정 복구용 연락처 | 대표와 대리인 1명처럼 최소 인원만 두고, 복구 연락처를 회사 번호로 바꿉니다 |
| 직원 업무 계정 | 한 사람이 한 계정을 쓰는지 | 공용 아이디는 개인 계정으로 바꾸고 기존 비밀번호를 변경합니다 |
| 홈페이지·도메인·호스팅 관리자 계정 | 외주업체나 전 직원이 가진 계정 | 회사 명의로 돌려받고 비밀번호를 바꿉니다 |
| 퇴사·휴직자 계정 | 남은 접속 권한과 공유 폴더 권한 | 퇴사일에 접속을 막고, 업무 자료는 담당자에게 넘깁니다 |
| 금융·세무 관련 계정 | 여러 사람이 함께 쓰는지, 인증서를 어디에 보관하는지 | 담당자를 정하고 보관 위치를 목록에 적습니다 |
비밀번호는 서비스마다 다르게 정하고, 공유가 필요해도 메신저 대화창에 그대로 보내지 않습니다. 계정 정리가 끝나면 관리자 계정과 메일 계정부터 2단계 인증(비밀번호 외에 한 번 더 본인임을 확인하는 방식)을 켭니다.
업무용 기기와 업데이트는 어떻게 점검하나요
기기 점검
점검 대상은 회사 소유 PC·노트북·휴대폰과 함께, 개인 휴대폰으로 업무 메일이나 메신저를 보는 경우까지입니다. 기기마다 화면 잠금이 켜져 있는지 확인합니다. 평소 업무에 관리자 권한 계정을 쓰지 않는지, 여러 사람이 쓰는 PC에 사용자별 로그인이 나뉘어 있는지도 봅니다.
앞서 본 시행령 제30조 제1항 제6호는 개인정보 처리에 쓰는 정보기기에 대한 조치도 정합니다. 컴퓨터바이러스·스파이웨어·랜섬웨어 같은 악성프로그램을 점검·치료하는 프로그램을 설치·운영하고 주기적으로 갱신·점검하라는 내용입니다. 보안 프로그램은 설치보다 실제로 작동하고 최신 상태인지 확인하는 일이 중요합니다.
업데이트 점검
운영체제와 브라우저, 문서 프로그램은 자동 업데이트를 켭니다. 공유기, NAS(사무실 공용 저장 장치), 프린터, 홈페이지 프로그램은 자동으로 업데이트되지 않는 경우가 있습니다. 이런 장비는 담당자가 관리 화면에서 직접 버전을 확인합니다.
제조사 지원이 끝난 운영체제나 장비는 새 보안 업데이트를 받지 못합니다. 목록에 지원 종료 여부를 함께 적고, 교체 시기를 예산 계획에 넣습니다.
처음 한 번 정하는 설정
- 직원별 개인 계정 발급과 관리자 권한 지정
- 기기 화면 잠금과 사용자별 로그인 분리
- 운영체제·브라우저 자동 업데이트 켜기
- 백업 대상과 보관 위치 정하기
정기적으로 확인하는 점검
- 매달: 입사·퇴사자 계정 반영 여부
- 매달: 공유기·NAS·홈페이지 버전 확인
- 매달: 보안 프로그램 작동과 최신 상태
- 분기마다: 백업 파일 복원 확인
점검 주기는 회사 규모와 업무에 맞게 정하면 됩니다. 위 주기는 담당자 한 명이 무리 없이 지킬 수 있는 수준으로 잡은 예시입니다.
백업은 무엇을 어디에 두고 어떻게 확인하나요
먼저 잃어버리면 업무가 멈추는 자료를 고릅니다. 예를 들어 회계·세무 자료, 계약서, 고객 응대 기록, 디자인 원본, 홈페이지 파일과 데이터베이스가 있습니다. 대상을 정하면 각 자료가 지금 어느 PC나 폴더에 있는지 목록에 적습니다.
사본이 원본과 같은 PC나 같은 공유 폴더에만 있으면 한 번의 고장이나 감염으로 함께 손상될 수 있습니다. 그래서 백업은 원본과 분리된 위치에 두고, 그 위치에 접근하는 계정을 담당자로 제한합니다. 계정 정리를 백업보다 먼저 하는 이유도 여기에 있습니다.
백업이 실제로 쓸 수 있는지는 되살려 보아야 알 수 있습니다. 분기마다 파일 하나를 골라 복원하고, 열리는지와 날짜가 최신인지 확인해 목록에 적습니다.
법적 의무와 사고 대응, 외부 지원은 어디서 확인하나요
개인정보를 처리하는 회사는 앞서 본 시행령 제30조와 개인정보보호위원회 고시가 정한 안전성 확보 조치를 확인합니다. 적용 범위는 보유한 개인정보 규모와 처리 방식에 따라 달라질 수 있습니다. 판단이 어렵다면 개인정보보호위원회 안내나 전문가 확인을 거칩니다.
KISA 보호나라의 침해사고 신고 안내는 정보통신망법 제48조의3을 근거로 설명합니다. 정보통신서비스 제공자는 침해사고 발생 사실을 안 때부터 24시간 이내에 신고해야 합니다. 신고처는 과학기술정보통신부장관 또는 한국인터넷진흥원입니다. 자사가 정보통신서비스 제공자에 해당하는지는 홈페이지·쇼핑몰 운영 형태에 따라 따로 확인합니다.
외부 지원도 있습니다. 보호나라의 중소기업 홈페이지 보안강화 서비스에는 운영 중인 서버의 취약점을 원격으로 점검하는 내서버돌보미가 있습니다. 홈페이지 대상 공격을 탐지·차단하는 사이버대피소도 있으며, 지원 대상은 중소기업기본법 제2조에 해당하는 기업입니다. 과기정통부 보도자료는 자가진단과 우선순위를 안내하는 중소기업 보안 투자 가이드를 소개했습니다. 신청은 보호나라, 지역정보보호센터, 정보보호산업진흥포털에서 받으며 자격은 사업별 기준을 따릅니다.
이럴 때는 전문 기관에 먼저 확인합니다
- 직원이 하지 않은 로그인이나 비밀번호 변경 알림이 온 경우
- 파일이 갑자기 열리지 않거나 이름·확장자가 바뀐 경우
- 홈페이지 화면이 바뀌었거나 모르는 관리자 계정이 생긴 경우
- 고객 개인정보가 외부로 나간 정황이 보이는 경우
- 거래처 메일로 송금 계좌를 바꿔 달라는 요청을 받은 경우
이런 경우에는 기기를 임의로 초기화하지 않고 118(KISA 상담)에 먼저 문의합니다. 금전 피해나 범죄가 의심되면 수사기관에도 신고합니다.
정리
보안 기본 설정은 큰 장비를 들이는 일보다 누가 무엇을 쓰는지 정하는 일에서 시작합니다. 이번 주에 다음 순서로 시작합니다.
- 계정·기기·중요 자료 목록을 한 장에 만들고, 항목마다 담당자를 적습니다.
- 공용 아이디를 개인 계정으로 바꾸고, 관리자 권한 보유자를 정한 뒤 2단계 인증을 켭니다.
- 기기마다 화면 잠금, 보안 프로그램 작동, 자동 업데이트를 확인하고 지원 종료 제품을 표시합니다.
- 중요 자료 사본을 원본과 분리된 곳에 두고, 파일 하나를 복원해 열리는지 확인합니다.
- 점검 노트에 확인 날짜를 적고, 다음 달 같은 날짜를 점검일로 정합니다.
참고 자료
- 국가법령정보센터 — 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치)
- KISA 보호나라 — 신고안내: 침해사고 신고
- KISA 보호나라 — 중소기업 홈페이지 보안강화
- 과학기술정보통신부 — 과기정통부, 여건이 부족한 중소기업 대상 보안기본기 확립 집중 지원(2026.6.26.)