프레임워크별 백업 및 복구 요구사항 비교
백업은 모든 프레임워크가 요구하는 5개 주제 중 하나입니다. 차이는 얼마나 자주 수행하는지, 공격자로부터 어떻게 보호하는지, 그리고 복원이 실제로 작동함을 누군가 입증해야 하는지에 있습니다.
이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.
백업 및 복구는 공통 핵심 항목에 포함됩니다. 저희가 매핑하는 11개 프레임워크 모두가 이를 요구하며, 여기에는 개인 데이터의 가용성과 접근성을 적시에 복원할 수 있는 능력을 요구하는 GDPR도 포함됩니다. 가장 많이 달라지는 요구사항은 빈도가 아니라 보호입니다. 랜섬웨어가 백업을 노리기 시작한 이후, 프레임워크들은 네트워크를 장악한 공격자가 사본까지 삭제할 수 있는지를 점점 더 중요하게 봅니다.
누가 무엇을 요구하는가
| 프레임워크 | 백업 및 복구 | 링크 |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | 주제 정의 |
| ISO 27001 | A.8.13 | 대응표 |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | 대응표 |
| SOC 2 | A1.2 | 편집 콘텐츠 |
| PCI DSS | 9.4.1.1 | 대응표 |
| CMMC | MP.L2-3.8.9 | 대응표 |
| 800-53 | CP-6CP-9 | 대응표 |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | 대응표 |
| GDPR | Art.32(1)(c) | 편집 콘텐츠 |
| NIS2 | 4.2 | 대응표 |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | 편집 콘텐츠 |
모든 연결의 상세 내용과 근거: 프레임워크별 백업 및 복구 →
빈도
빈도를 구체적으로 정하는 프레임워크는 드뭅니다. CIS Controls는 민감도에 따라 자동 백업을 주 1회 이상 수행할 것을 요구합니다(11.2). HIPAA는 ePHI의 검색 가능한 정확한 사본을 생성하고 유지하도록 데이터 백업 계획을 요구합니다(§164.308(a)(7)(ii)(A)). Essential Eight는 업무 연속성 요구사항에 맞춰 백업할 것을 요구합니다. ISO 27001(A.8.13), SP 800-53(CP-9), SOC 2(A1.2)는 빈도를 복구 목표에 맡기는데, 이는 올바른 접근입니다. 잃어도 감당할 수 있는 한 자주 백업하라는 뜻입니다.
보호
프레임워크 간 차이가 가장 큰 영역입니다.
- CIS는 복구 데이터를 보호할 것(11.3)과 그 격리된 인스턴스를 둘 것(11.4)을 요구합니다. 즉 오프라인, 클라우드 격리 등 네트워크상의 공격자가 접근할 수 없는 상태여야 합니다.
- Essential Eight는 성숙도 수준에 보호를 포함합니다. 권한 없는 계정은 다른 계정의 백업에 접근할 수 없어야 하며, 상위 수준에서는 특권 계정조차 백업을 수정하거나 삭제할 수 없어야 합니다.
- CMMC는 백업 속 CUI의 기밀성을 보호할 것을 요구하고(MP.L2-3.8.9), PCI DSS는 오프라인 백업 매체를 안전하게 보관할 것을 요구합니다(9.4.1.1).
- ISO 27001과 SOC 2는 백업을 적절히 보호할 것을 기대하지만, 변경 불가성(immutability)을 명시하지는 않습니다.
복구 테스트
CIS는 샘플을 대상으로 복구 테스트를 분기별 이상 수행할 것을 요구합니다(11.5). Essential Eight는 재해 복구 훈련에서 데이터, 애플리케이션, 설정의 복원을 테스트할 것을 요구합니다. ISO 27001은 백업을 테스트할 것을 요구하되 빈도는 명시하지 않으며, SOC 2 감사인은 A1.3에 따라 복원 테스트를 확인합니다. 아무도 복원해 본 적 없는 백업은 통제가 아니라 희망일 뿐입니다.
핵심 요약
- 백업 및 복구는 저희가 매핑하는 모든 프레임워크가 요구하는 5개 주제 중 하나입니다.
- 프레임워크 간 차이는 빈도보다 보호에서 더 큽니다. CIS와 Essential Eight는 백업을 공격자로부터 명시적으로 보호합니다.
- 복구 테스트는 가장 소홀히 되는 부분입니다. CIS는 샘플 대상 분기별 테스트를 요구합니다.
- 하나의 기준선(정기 백업, 격리된 사본, 암호화, 분기별 복구 테스트)으로 이 모든 요구사항을 충족할 수 있습니다.
- 클라우드 제공업체는 자사 인프라를 보호하지만, 여러분의 데이터를 삭제, 손상, 암호화로부터 보호하지는 않습니다.
모두를 충족하는 기준선
- 데이터, 애플리케이션, 구성 정보를 백업하되, 복구 시점 목표에 따라 빈도를 정하고 최소 주 1회 이상 수행합니다.
- 최소 하나의 사본을 격리하여 보관합니다. 오프라인이거나 변경 불가능해야 하며, 도메인 관리자도 삭제할 수 없어야 합니다.
- 민감하거나 규제 대상인 데이터가 포함된 백업은 암호화합니다.
- 샘플을 대상으로 복원 테스트를 분기별로 수행하고, 최소 연 1회 전체 복구 훈련을 실시합니다.
- 실패와 조치 내용을 포함해 결과를 기록합니다. 모든 감사인이 요구하는 증빙이 바로 이것입니다.
백업 및 복구 주제 페이지에서는 모든 요구사항과 출처를 확인할 수 있으며, 재해 복구와 업무 연속성에서는 더 넓은 계획을 다룹니다. 모든 프레임워크가 공유하는 다른 주제는 공통 핵심 항목을 참고하십시오.
질문
백업은 얼마나 자주 테스트해야 합니까?
CIS Controls는 복구 테스트를 분기별 이상 수행할 것을 요구하고(11.5), Essential Eight는 재해 복구 훈련의 일부로 복원을 테스트할 것을 요구합니다. 대부분의 다른 프레임워크는 고정된 빈도 없이 테스트를 요구합니다.
프레임워크는 오프라인 또는 변경 불가능한 백업을 요구합니까?
명시적으로 그렇게 말하는 프레임워크는 드뭅니다. CIS Controls는 복구 데이터의 격리된 인스턴스를 요구하고(11.4), Essential Eight의 상위 성숙도 수준은 특권 계정을 포함해 어떤 계정도 백업을 수정하거나 삭제하지 못하도록 합니다.
클라우드 서비스를 쓰면 백업이 필요 없습니까?
아니요. 클라우드 제공업체는 자사 인프라를 보호하지만, 대부분은 여러분 자신의 데이터를 삭제, 손상, 암호화하는 행위로부터 보호해 주지 않습니다. 프레임워크는 여러분이 책임지는 데이터를 백업하고 복원을 테스트할 것을 여전히 기대합니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교영국의 Cyber Essentials와 호주의 Essential Eight은 모두 흔한 공격을 겨냥하지만, 다루는 범위가 다릅니다. 무엇이 겹치고 무엇이 겹치지 않는지, 그 이유는 무엇인지 살펴봅니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.