cybersecurity for small businesses, 큰 예산 | Prime Chase Data

cybersecurity for small businesses의 핵심은 비싼 장비가 아니라 “침입이 일어나도 확산되지 않는 구조”를 먼저 만드는 것입니다. 계정과 기기, 이메일, 백업, 결제 흐름 같은 기본 면을 좁히면 랜섬웨어와 계정 탈취의 대부분을 예방하거나 피해를 제한할 수 있습니다. 이 글은 보안 체크리스트가 아니라, 작은 조직이 실제로 실행 가능한 우선순위와 선택 기준을 제시합니다.

권장안: ‘MFA + 패치 + 백업’ 3종 세트가 비용 대비 효과가 가장 큽니다

작은 기업의 보안 투자는 한 번에 “전부”가 아니라, 공격자가 가장 많이 통과하는 문부터 막는 순서로 설계해야 합니다.

추천 기준은 3가지입니다. 첫째, 실패 확률을 가장 크게 줄이는가(계정 보호). 둘째, 피해 확산을 늦추는가(패치와 권한). 셋째, 최악을 되돌릴 수 있는가(오프라인 성격의 백업).

이 조합이 가장 먼저인 이유는 단순합니다. 많은 침해가 이메일과 계정에서 시작되고, 패치되지 않은 취약점이나 권한 과다로 확산되며, 백업이 없으면 ‘복구 대신 몸값’이라는 최악의 선택지로 밀립니다. 미국 CISA는 보안 성과를 내는 실무 기본으로 MFA, 패치, 백업을 반복해서 강조합니다. CISA의 Secure Our World 권고.

우선순위 | 막는 대표 사고 | 작은 팀 실행 포인트
1. MFA(다중인증) 표준화 | 계정 탈취, 이메일 사칭, 클라우드 침입 | Google Workspace, Microsoft 365, CRM, 광고계정부터 강제
2. 패치와 자동 업데이트 | 취약점 악용, 랜섬웨어 확산 | Windows/macOS 자동 업데이트, 브라우저, VPN, 공유기 펌웨어 포함
3. 3-2-1 백업(복구 연습 포함) | 랜섬웨어, 내부 실수 삭제 | 클라우드 1개만으로 끝내지 말고, 분리된 사본과 복구 테스트

기준 1: 계정이 뚫리면 끝입니다. MFA는 “가능하면”이 아니라 “기본값”입니다

판단은 간단합니다. 계정이 자산입니다. 작은 기업은 네트워크보다 계정이 먼저 뚫립니다.

특히 재고를 다루는 쇼핑몰, 뷰티 브랜드의 광고계정, B2B 영업팀의 이메일은 공격자 입장에서 현금화가 빠릅니다. 한 번의 계정 탈취가 결제정보 변경, 가짜 송장 발송, 광고비 소진으로 이어집니다. FBI는 수년간 BEC(Business Email Compromise)와 같은 이메일 기반 사기 피해를 경고해 왔습니다. FBI IC3(Internet Crime Complaint Center)에서 연례 보고서와 경보를 확인할 수 있습니다.

여기서 제 입장은 단호합니다. SMS 인증은 보안 전략이 아닙니다.

가능하면 앱 기반 인증(Authenticator)이나 보안키(FIDO)를 기본으로 두고, SMS는 예외 처리로 밀어야 합니다. NIST는 디지털 신원 지침에서 인증 방식의 위험과 구현 주의점을 상세히 다룹니다. NIST SP 800-63 디지털 신원 지침.

작은 팀을 위한 MFA 적용 순서(실제 현장에서 제일 잘 굴러갑니다)

1순위: 이메일(Google Workspace, Microsoft 365)과 관리자 계정
2순위: 결제, 은행, 회계 도구, 쇼핑몰 관리자
3순위: 광고계정, CRM, 고객지원 채널
4순위: 협업 도구(슬랙, 노션 등)와 소셜 계정

포인트는 “전사 공지”가 아니라, 관리자 계정부터 강제하는 것입니다. 관리자 계정이 뚫리면 MFA 도입 자체가 무력화됩니다.

기준 2: 랜섬웨어는 ‘침투’보다 ‘확산’이 더 무섭습니다. 패치와 권한 설계가 피해를 갈라놓습니다

보안 사고의 체감 비용은 침투 순간이 아니라, 확산 속도에서 결정됩니다.

작은 조직은 IT 전담이 없어서 업데이트가 미뤄집니다. 그런데 공격자는 “최신 취약점”만 노리지 않습니다. 오래된 장비, 업데이트가 끊긴 플러그인, 방치된 VPN과 공유기도 반복해서 노립니다. 미국 CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그를 보면, 실제 공격에 쓰인 취약점이 어떤 식으로 축적되는지 감이 잡힙니다.

패치만으로 끝나지 않습니다. 권한이 넓으면 확산이 빨라집니다.

권한과 기기 관리에서 ‘작은 기업용 현실 규칙’ 5개

관리자 권한은 필요할 때만. 평소 계정은 일반 권한으로 운영합니다.
퇴사자 계정은 “비활성화”가 아니라 즉시 회수합니다. 이메일 전달 규칙도 같이 점검합니다.
개인 노트북을 허용한다면, 최소한 OS 암호화(BitLocker, FileVault)와 화면 잠금 정책을 강제합니다.
브라우저 확장 프로그램 설치를 방치하지 않습니다. 영업팀 PC의 확장 프로그램이 데이터 유출 통로가 되는 경우가 많습니다.
공유 계정(예: marketing@로 다 같이 로그인)은 원칙적으로 금지합니다. 감사 추적이 사라집니다.

이 규칙이 세련돼서가 아닙니다. 사고가 났을 때 누가, 언제, 무엇을 했는지 모르면 복구가 아니라 추측만 남습니다.

기준 3: 백업이 있으면 협상하지 않아도 됩니다. 3-2-1과 ‘복구 연습’이 세트입니다

랜섬웨어 대응에서 백업은 보험이 아니라 복구 능력입니다.

백업이 클라우드 동기화 하나뿐이면, 랜섬웨어가 동기화된 파일까지 암호화해 같이 망가뜨릴 수 있습니다. 그래서 3-2-1 원칙이 기본으로 쓰입니다. 중요한 데이터는 3개 사본, 2개 매체, 1개는 분리된 장소 또는 오프라인 성격으로 둡니다. CISA도 백업과 복구를 기본 통제로 포함합니다. CISA StopRansomware 가이드.

여기서 대부분이 놓치는 게 복구 연습입니다.

백업을 “하고 있다”고 말하는 팀은 많지만, 실제로 복구까지 해 본 팀은 적습니다. 복구 연습은 월 1회까지는 과하고, 분기 1회가 현실적입니다. 특정 폴더 1개를 골라 다른 PC로 복구해 보고, 소요 시간과 누락 파일을 기록하면 됩니다.

백업 체크리스트(짧게, 그런데 핵심만)

백업 계정도 MFA 적용
백업 데이터에 대한 삭제 권한을 최소화(누가 지울 수 있는지)
랜섬웨어 감염 시나리오에서 “복구 목표 시간(RTO)”을 정합니다(예: 24시간 내 주문 처리 재개)
백업이 실제로 열리는지 확인(암호, 키, 접근권한 포함)

기준 4: 작은 기업이 가장 자주 당하는 건 ‘사람 실수’입니다. 이메일 보안은 매출 시스템의 일부입니다

피싱 메일은 교육만으로 사라지지 않습니다. 시스템으로 줄여야 합니다.

구체적으로는 DMARC, SPF, DKIM 같은 이메일 인증 설정과, 첨부파일 및 링크 방어 정책이 중요합니다. Google Workspace나 Microsoft 365를 쓰는 팀이라면 관리자 콘솔에서 설정할 수 있고, 설정 오류가 흔합니다. 미국 연방통신위원회는 스푸핑과 문자, 전화 사기 관련 경고와 대응을 공개합니다. FCC의 스푸핑 안내.

이메일 보안은 IT 항목이 아니라, 재무 통제입니다. 송금 정보 변경 요청은 무조건 다른 채널로 재확인하는 규칙이 필요합니다. 전화 한 통이 사기를 막습니다.

실무 규칙 6개(팀에 바로 공지 가능한 문장)

인보이스와 송금계좌 변경 요청은 이메일만으로 승인하지 않습니다.
구매 담당자와 회계 담당자의 승인 단계를 분리합니다.
모든 직원은 비밀번호 관리자를 사용합니다(예: 1Password, Bitwarden 같은 상용 도구).
보안 업데이트 알림을 끄지 않습니다. “나중에”가 침해로 연결됩니다.
대표와 임원 사칭 메시지는 최우선 위험으로 분류합니다.
이상 징후(로그인 알림, 결제 실패, 광고비 급증)를 발견하면 30분 내 공유합니다.

작은 기업용 cybersecurity for small businesses 실행 로드맵(2주, 4주, 8주)

여기부터는 “할 일 목록”이 아니라, 실제로 일정에 들어가는 형태로 정리합니다. 팀이 바쁘면 계획은 무조건 깨집니다. 시간을 박아야 합니다.

0~2주: 막을 수 있는 사고부터 즉시 줄이기

이메일과 관리자 계정 MFA 강제
공유 계정 정리, 퇴사자 계정 회수
기기 자동 업데이트 켜기(Windows/macOS, 브라우저)
중요 데이터 3-2-1 백업 초안 구축

3~4주: “확산”을 늦추는 구조 만들기

권한 점검(관리자 권한 최소화)
회계 및 결제 워크플로 재확인(계좌 변경 검증 규칙)
이메일 인증(DMARC/SPF/DKIM) 설정 점검

5~8주: 운영 자동화와 감시 체계 붙이기

백업 복구 연습 1회 수행, RTO 기록
로그인 이상 징후 알림 체계 마련(주요 SaaS)
새 직원 온보딩에 보안 항목을 포함(계정, MFA, 권한, 기기)

이 8주 구조는 시장 확장 업무와도 충돌하지 않습니다. 실제로 한국 브랜드가 미국에서 B2B 세일즈를 확장할 때도, CRM과 이메일, 결제 계정이 공격 표적이 되는 경우가 많습니다. Prime Chase Data는 수요 검증과 리드 운영을 자동화하는 과정에서 이런 “운영 계정 보안”이 매출 리스크로 번지는 장면을 반복해서 봤습니다. 그래서 보안은 IT가 아니라 매출 인프라로 봐야 합니다.

누가 무엇을 선택해야 하는가: 팀 상황별로 다르게 가는 게 맞습니다

보안은 회사의 업무 형태를 따라가야 합니다. 같은 체크리스트를 모든 회사에 적용하면 실패합니다.

직원이 10명 이하이고 IT 담당이 없다면: MFA 강제, 자동 업데이트, 백업 복구 연습 1회까지가 1차 목표입니다.
광고비와 쇼핑몰 매출 비중이 크다면: 광고계정과 쇼핑몰 관리자 MFA, 결제수단 변경 통제, 고객지원 계정 권한 분리가 우선입니다.
B2B 영업을 미국에서 본격화한다면: 이메일 인증(DMARC 등)과 송금 검증 규칙을 먼저 잡아야 합니다. 사칭과 BEC 리스크가 큽니다.
외주와 프리랜서가 자주 드나든다면: 계정 회수 프로세스와 최소 권한 원칙이 핵심입니다. 프로젝트 종료일에 계정이 정리되지 않으면 사고가 납니다.

다음 단계는 하나만 정하면 됩니다. 이번 주에 “MFA를 강제할 서비스 5개”를 리스트로 만들고, 담당자를 지정하십시오. 보안은 결심이 아니라 운영입니다. 운영으로 내려가면, 작은 기업도 충분히 버틸 수 있습니다.