백업을 오프라인으로 두라는 이유는 무엇인가요?

근거는 한 문장에 적혀 있습니다

답부터 적으면 CISA 의 랜섬웨어 지침은 많은 랜섬웨어 변종이 접근 가능한 백업을 찾아 삭제하거나 암호화하려 한다고 적습니다. 그래서 같은 지침은 중요 데이터의 오프라인 암호화 백업을 유지하고 백업의 가용성과 무결성을 정기적으로 시험하라고 요구합니다. 오프라인은 선택 사항이 아니라 요건입니다.

접근 가능하면 백업이 아니라 대상입니다

여기서 핵심 단어는 접근 가능입니다. 상시 연결된 외장 디스크나 항상 마운트된 공유 폴더는 침해된 장비에서 그대로 닿습니다. 닿으면 삭제와 암호화의 대상이 되고, 그 시점에 백업으로서의 기능을 잃습니다. 즉 복사본이 있다는 사실과 복구할 수 있다는 사실은 다릅니다.

오프라인이라고 말할 수 있는 조건

오프라인은 물리적으로 떨어져 있다는 뜻만은 아닙니다. 실무에서는 백업 작업이 끝난 뒤 연결이 끊어지는지, 그리고 침해된 장비의 권한으로 그 저장소를 지울 수 있는지를 기준으로 봅니다. 둘 다 아니라면 연결 방식이 무엇이든 접근 가능한 백업에 가깝습니다.

암호화가 함께 요구되는 이유

같은 문장은 오프라인과 암호화를 함께 적습니다. 두 요건은 서로 다른 위험을 막습니다. 오프라인은 삭제와 암호화를 막고, 백업 자체의 암호화는 저장 매체가 유출됐을 때의 열람을 막습니다. 한쪽만 하면 다른 쪽 위험이 남습니다.

정기 시험이 세 번째 요건입니다

지침은 가용성과 무결성을 정기적으로 시험하라고 적습니다. 백업이 돌고 있다는 로그와 실제로 복원된다는 사실은 다릅니다. 시험하지 않으면 사고가 난 날에 처음 복원을 시도하게 됩니다. 오프라인, 암호화, 정기 시험 세 요건을 한 묶음으로 보는 편이 정확합니다.

사례: 백업 3개 중 몇 개가 요건을 충족하는가

상황은 사무실에 백업 경로가 세 개 있는 경우입니다. 입력값은 확인일 2026년 10월 19일, 1번은 서버에 상시 연결된 외장 디스크, 2번은 네트워크 저장장치에 항상 마운트된 공유 폴더, 3번은 주 1회 연결해 복사한 뒤 분리하는 외장 디스크이고 암호화는 3번만 적용, 복원 시험 기록은 없음입니다. 계산은 요건을 하나씩 대보는 것입니다. 1번과 2번은 접근 가능하므로 오프라인 요건 미충족입니다. 3번은 오프라인과 암호화를 충족하지만 정기 시험 기록이 없어 세 번째 요건을 충족하지 못합니다. 최종 결과는 세 요건을 모두 충족하는 백업 0개이고, 가장 가까운 것은 3번으로 복원 시험만 추가하면 충족합니다. 결과를 바꾸는 예외는 2번 저장장치가 변경 불가 설정을 지원하는 경우로, 그때는 접근 가능성의 성격이 달라지므로 설정 내용을 확인해 다시 판정합니다. 다음 행동은 백업 경로마다 연결 상태와 암호화 여부, 마지막 복원 시험일을 적는 것입니다.

분리 주기를 정할 때 보는 값

오프라인으로 두면 분리된 기간의 변경분은 백업에 없습니다. 그래서 분리 주기는 복구 목표와 함께 정해야 합니다. 주 1회 분리라면 최악의 경우 1주일분을 잃습니다. 이 손실 폭을 받아들일 수 있는지를 먼저 정하고 주기를 맞추는 순서가 맞습니다. 주기를 먼저 정하고 손실을 나중에 계산하면 사고 때 받아들이기 어려운 값이 나옵니다.

연결 상태로 나눈 백업의 성격