소규모 사업체 백업: 주 20분으로 끝내는 3-2-1 규칙

소규모 사업체가 백업을 마쳤다고 할 수 있는 조건은 다음과 같습니다. 영업에 필요한 모든 자료의 사본을 세 개 보유하고, 저장 매체는 두 종류를 쓰며, 사본 하나는 외부에 오프라인으로 보관하고, 지난 한 달 안에 각 사본에서 파일을 실제로 복원해 본 사람이 있어야 합니다. 이것이 영국 국가사이버보안센터(NCSC, National Cyber Security Centre)가 권장하는 3-2-1 규칙이며, 비용은 월 약 £10에 £90짜리 드라이브 한 대 정도이고, 루틴은 주 20분이면 충분합니다. 이 가이드는 무엇을 복사하고, 어디에 보관하고, 어떻게 테스트하는지 보여 드립니다.

대부분의 사업주는 노트북이 클라우드와 동기화되므로 안전하다고 생각합니다. 2026년 4월에 발표된 정부의 Cyber Security Breaches Survey에 따르면 영국 기업의 43%가 지난 1년간 침해 또는 공격을 확인했고, 소규모 기업에서는 46%였으며, 74%가 클라우드 서비스로 백업합니다. 그러나 2020년 Tuckers Solicitors가 랜섬웨어 공격으로 파일 972,191개가 암호화되었을 때 백업도 함께 암호화되었고, Information Commissioner는 이 로펌에 £98,000의 과징금을 부과했습니다. 소규모 사업체 백업은 두 가지 방식으로 실패합니다. 사본이 복사 대상과 같은 네트워크에 있거나, 아무도 복원을 시도해 본 적이 없는 경우입니다.

아래에서 다룰 내용은 다음과 같습니다. 3-2-1의 의미와 이 개념을 만든 사람, 소규모 사업체가 실제로 복사해야 하는 목록, 2026년 10월 기준 세 사본과 각각의 비용, 클라우드 도구가 이미 제공하는 보존 기간, 많은 회사가 건너뛰는 복원 테스트, 그리고 기억하든 못 하든 주간 점검이 이뤄지도록 AI 에이전트가 맡을 수 있는 업무입니다.

평가 기준

1. 공식 지침 우선. 규칙은 2026년 4월 9일에 발표된 NCSC의 소규모 조직 가이드와 2026년 7월에 갱신된 "Offline backups in an online world" 조언에서 가져왔습니다.
2. 정부 통계. 침해 및 백업 수치는 Department for Science, Innovation and Technology의 Cyber Security Breaches Survey 2025/26에서 가져왔습니다.
3. 실제 사례. 업체가 퍼뜨리는 공포 사례가 아니라 ICO의 과징금 통지서를 기준으로 했습니다.
4. 2026년 10월 24일에 확인한 가격. 제공업체의 공식 페이지에서 직접 읽었으며, 파운드로 표시하는 업체는 파운드로 적었습니다.
5. 1인 사업체가 할 수 없는 일은 제외. 모든 단계는 노트북 한 대, 외장 드라이브 한 개, 일반 소비자용 클라우드 계정만 있으면 가능합니다.

3-2-1 규칙이란

데이터 사본 세 개를 서로 다른 두 종류의 저장 매체에 두고, 그중 하나는 외부에 보관합니다. 사진작가 Peter Krogh가 2000년대 중반 The DAM Book 초판을 집필하면서 이 표현을 만들었고, NCSC도 같은 방식으로 설명합니다. 최소 사본 세 개, 장치 두 대, 그중 하나는 외부 보관입니다. Veeam의 "3-2-1-1-0" 변형은 오프라인 또는 변경 불가 사본 하나와, 검증된 복원 후 오류 0건을 더합니다. 소규모 사업체에 맞는 실용적인 버전은 다음과 같습니다.

동기화는 백업이 아닙니다. 노트북에서 파일이 암호화되거나 삭제되면 동기화 폴더는 그 손상을 그대로 복사합니다. 클라우드의 버전 기록은 되돌릴 수 있는 기간을 주지만, 그 기간은 짧고 곧 닫힙니다.

소규모 사업체가 실제로 복사해야 할 것

도구를 고르기 전에 목록부터 만드세요. 대부분의 회사에서 목록은 걱정하는 것보다 짧습니다.

• 회계와 세금. 청구서, 영수증, 은행 내역 내보내기, 장부 파일. HMRC는 1월 31일 신고 기한 이후 최소 5년간 기록을 보관하도록 요구하므로, 한 해 분량을 잃으면 행정 문제일 뿐 아니라 세금 문제가 됩니다.
• 고객 기록. CRM 내보내기, 예약 목록, 메일링 리스트, 서명된 계약서와 견적서.
• 이메일. 메일함은 사업 기록입니다. Google Workspace와 Microsoft 365가 서버에 보관해 주지만, 계정이 폐쇄되거나 탈취되면 메일도 함께 사라집니다. 1년에 두 번 내보내세요.
• 웹사이트와 쇼핑몰. 데이터베이스, 상품 이미지, 테마, 도메인 로그인 정보. 대부분의 호스팅 업체가 자체 백업을 두지만 보관 기간이 얼마인지 확인하세요.
• 사진과 디자인. 로고 파일, 시공 전후 사진, 브로슈어 원본.
• 비밀번호와 키. 비밀번호 관리자의 암호화된 내보내기 파일, 인쇄한 복구 코드, 2단계 인증 백업 코드. 노트북이 아니라 로컬 드라이브와 함께 보관하세요.

사업을 일주일 안에 다시 세우는 데 필요한 것은 모두 목록에 들어갑니다. 공급업체에서 다시 내려받을 수 있는 것은 들어가지 않습니다.

사본 1: 작업 사본, 그리고 동기화가 실제로 주는 것

클라우드 동기화 폴더는 이미 첫 번째 사본이며 아무것도 없는 것보다 낫습니다. 주요 서비스는 모두 삭제된 파일과 이전 버전을 일정 기간 보관하는데, 그 기간을 아는 것이 되돌리기와 영구 손실을 가릅니다.

패턴은 이렇습니다. 거의 모든 곳에서 기본값은 한 달입니다. 금요일에 랜섬웨어가 파일을 암호화했는데 6주 뒤에야 알아차렸다면, 동기화 서비스는 이미 정상 버전을 잊은 뒤입니다. 사본 2와 사본 3이 필요한 이유입니다.

사본 2: 뽑아 두는 외장 드라이브

2 TB 외장 하드 드라이브를 사세요. 2026년 10월 가격 비교 사이트 기준으로 대략 £85에서 £100이며, 나머지는 운영체제에 맡기면 됩니다. Mac에서는 Time Machine이 무료입니다. 드라이브를 연결하면 24시간 동안은 매시간, 한 달 동안은 매일, 그 뒤에는 디스크가 찰 때까지 매주 백업을 보관하며, Apple은 Mac 저장 공간의 최소 두 배 크기 드라이브를 권장합니다. Windows에서는 File History와 기본 제공 백업 도구가 같은 역할을 합니다.

그런 다음 드라이브를 뽑으세요. NCSC의 소규모 조직 가이드는 백업 드라이브를 사용하지 않을 때 연결해 두지 말라고 말합니다. 랜섬웨어는 눈에 보이는 모든 드라이브를 암호화하기 때문이며, Tuckers 사례가 바로 그 모습입니다. 이 로펌은 다중 인증이 없었고, 중대한 패치를 다섯 달 늦게 적용했으며, 공격자는 다른 모든 것과 같은 네트워크를 통해 백업에 도달했습니다.

드라이브는 노트북 옆이 아닌 다른 곳에 두세요. 책상 서랍은 노트북 고장에는 대비가 되지만, 사업장 침입 절도에는 차량 수납함이나 자택이 대비가 됩니다.

사본 3: 외부 보관, 그리고 자동

세 번째 사본은 사람이 손대지 않아도 만들어져야 합니다. 소규모 회사에는 두 가지 방법이 통합니다.

• 백업 서비스. Backblaze는 컴퓨터 한 대의 무제한 데이터에 월 $9 또는 연 $99를 받으며, 기본 30일 버전 기록이 있고 설정하면 1년을 무료로 제공합니다. 백그라운드에서 실행되고, 웹사이트에서 2분 만에 복원 테스트를 할 수 있습니다.
• 보존 기간이 더 긴 두 번째 클라우드. 2 TB iCloud+는 월 £8.99이고, Dropbox Standard는 버전을 180일 보관하며, 기업용 Microsoft 365는 사용자별로 OneDrive 저장 공간을 묶어 제공합니다. 중요한 폴더의 월간 사본용으로 쓰되, 일상적인 동기화 계정과는 분리하세요.

외부 사본은 2단계 인증과 다른 곳에서 재사용하지 않은 비밀번호로 보호하세요. NCSC가 이를 마지막 단계로 꼽는 데에는 이유가 있습니다. 침해된 이메일과 같은 비밀번호로 열리는 백업 계정은 의미 있는 어떤 뜻에서도 외부 보관이 아닙니다.

백업이 있는 회사와 없는 회사의 랜섬웨어 현실

Sophos의 State of Ransomware 2026 보고서는 직원 100명에서 5,000명 규모의 조직 2,158곳을 2026년 1월부터 3월까지 조사했으며, 56%가 공격으로 데이터가 암호화되었다고 답했습니다. 이 중 66%는 백업으로 복원했고 48%는 몸값을 지불했으며, 평균 복구 비용은 $1.70 million(170만 달러), 중앙값은 $375,000였습니다. 2026년 7월에 발표된 영국 표본에서는 몸값을 지불한 비율이 2025년 54%에서 2026년 18%로 떨어졌고, 백업으로 복구한 비율은 39%에서 78%로 올랐습니다. 이 블로그의 대부분 독자보다 큰 회사들이지만, 방향이 교훈입니다. 몸값을 낸 회사는 대체로 복원할 수 없었던 회사였습니다.

NCSC는 몸값 지불을 지지하지 않습니다. 조언은 직원 두 명의 회사나 병원이나 같습니다. 최근의 오프라인 백업을 유지하고, 복원이 되는지 확인하고, 문제를 다시 설치하지 않도록 복원 전에 백업을 검사하라는 것입니다.

아무도 하지 않는 복원 테스트

Kaseya의 2025 백업 보고서는 IT 전문가 3,000명 이상의 응답을 바탕으로, 60%가 24시간 안에 복원할 수 있다고 믿었지만 실제로 입증한 곳은 35%에 불과했고, 매일 백업을 테스트하는 곳은 15%, 매주 테스트하는 곳은 25%뿐이라고 밝혔습니다. 소규모 사업체에는 매일 하는 테스트가 필요 없습니다. 10분이면 끝나는 월간 테스트면 됩니다.

1. 지난주에 수정한 파일 하나를 고릅니다. 노트북에서 삭제합니다.
2. 외장 드라이브에서 복원합니다. 열어 봅니다.
3. 두 번째 파일의 지난달 버전을 클라우드 백업에서 복원합니다. 열어 봅니다.
4. 날짜와 결과를 한 줄짜리 기록에 적습니다.

둘 중 하나라도 실패하면 그 백업은 처음부터 백업이 아니었습니다. 한가한 화요일에 알아내면 10분이 들지만, 도난을 당한 뒤에 알게 되면 사업이 대가를 치릅니다.

주 20분 루틴

• 월요일, 5분. 드라이브를 연결하고 Time Machine이나 File History가 실행되게 한 뒤, 표시등이 멈추면 뽑습니다.
• 월요일, 5분. 백업 서비스를 열어 마지막 성공 실행 날짜와 용량을 확인합니다. 3주째 "실행 중"인 백업은 멈춘 백업입니다.
• 월요일, 5분. 웹 앱 안에만 있는 자료를 내보냅니다. 예약 목록, CRM 연락처, 쇼핑몰 주문이 해당합니다. 내보낸 파일은 백업되는 폴더에 넣습니다.
• 매월 첫째 월요일, 5분 추가. 위의 복원 테스트를 하고, 백업 계정의 2단계 인증 코드가 여전히 인쇄되어 있고 찾을 수 있는지 확인합니다.

AI 에이전트가 규칙을 지키도록 돕는 방법

3-2-1에서 어려운 부분은 기술이 아닙니다. 같은 작은 일을 몇 년 동안 매주 하는 것입니다. 에이전트는 지루해하지 않고 이런 일을 처리합니다.

• 주간 내보내기 실행. 에이전트에게 예약 도구, CRM, 쇼핑몰 접근 권한을 주면 매주 월요일 내보내기 파일을 백업되는 폴더로 가져오고 날짜별로 이름을 붙입니다. Jobbit의 자동화는 노트북을 열지 않아도 일정에 따라 실행됩니다.
• 백업이 실제로 실행되었는지 확인. 열어 보지 않는 대시보드 대신, 백업 서비스의 상태를 읽고 마지막 정상 실행 날짜를 한 줄 메시지로 알려 줍니다.
• 복원 기록 관리. 첫째 월요일에 알려 주고, 결과를 기록하고, 빠뜨린 달이 있으면 표시합니다.
• 복구 계획 작성. 한 장짜리 문서에 각 사본의 위치, 복원할 계정, 코드를 가진 사람을 최악의 날 필요한 순서대로 정리합니다.
• 보존 기간 감시. Dropbox나 Google이 정책을 바꾸거나 구독이 만료되면 기간이 닫히기 전에 알려 줍니다.
• 최악의 상황에 대비한 신고문 초안 작성. ICO는 72시간 안에 침해 보고를 기대하며, 에이전트는 사업을 수습하는 동안 규제 기관 형식에 맞춰 사실관계를 준비합니다.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus, Meta의 Muse 모두 백업을 설명하고 체크리스트를 써 줄 수 있습니다. 하지만 1년 내내 월요일 루틴을 실행해 주지는 않습니다. Jobbit 에이전트는 일정을 실행하고 기록을 남기며, 사람 손이 필요한 작업이면 네트워크의 검증된 전문가를 불러 드라이브 설정이나 쇼핑몰 복구를 맡깁니다.

첫 주 계획

• 1일차: 목록 만들기. 위의 여섯 가지 범주와 각각이 있는 폴더 또는 앱.
• 2일차: 드라이브 주문. 신뢰할 수 있는 브랜드의 2 TB, 그리고 복구 코드를 넣을 라벨 붙인 봉투.
• 3일차: 외부 사본 켜기. 백업 서비스 또는 두 번째 클라우드 계정, 2단계 인증 켜기, 비밀번호는 관리자에 저장.
• 4일차: 첫 로컬 백업. 끝날 때까지 두고, 뽑아서 보관.
• 5일차: 첫 복원 테스트. 각 사본에서 파일 하나씩, 기록 남기기.
• 7일차: 월요일 알림 설정, 또는 루틴을 에이전트에게 맡기기.

함께 읽기

• 2026년 최고의 비밀번호 및 개인정보 보호 도구 (1Password, Bitwarden, Proton 외)
• 2026년 AI 사기: 소규모 사업체를 노리는 9가지 수법과 각각을 알아보는 방법
• 2026년 소규모 사업체를 위한 AI 자동화 아이디어 50가지 (예시 포함)

자주 묻는 질문

3-2-1 백업 규칙이란 무엇인가요?

데이터 사본 세 개를 서로 다른 두 종류의 저장 매체에 두고, 그중 하나는 외부에 보관하는 것입니다. NCSC가 같은 표현으로 권장합니다. 소규모 사업체에서는 노트북과 동기화 폴더의 작업 사본, 이후 뽑아 두는 외장 드라이브의 주간 사본, 클라우드 백업 서비스 또는 두 번째 클라우드 계정의 자동 사본을 뜻합니다.

Google Drive나 OneDrive 같은 클라우드 동기화는 백업인가요?

일부만 그렇습니다. 동기화는 삭제나 암호화를 포함한 모든 변경을 복사하므로, 노트북 분실은 막아 주지만 랜섬웨어나 뒤늦게 알아챈 실수는 막지 못합니다. Google Drive는 삭제된 파일을 30일, 업무용 OneDrive는 93일 보관하며, 그 뒤에는 사라집니다. 동기화는 사본 1로 보고 나머지 둘을 추가하세요.

소규모 사업체는 얼마나 자주 백업해야 하나요?

동기화 폴더는 상시, 외장 드라이브는 매주, 외부 보관 서비스는 매일 자동으로 하세요. 복원 테스트는 한 달에 한 번 하세요. Kaseya 2025 조사에서는 하루 안에 복원할 수 있다고 믿은 곳이 60%였지만 실제로 입증한 조직은 35%뿐이었습니다.

소규모 사업체 백업에는 비용이 얼마나 드나요?

2026년 10월 가격 기준으로 2 TB 외장 드라이브가 한 번에 약 £85에서 £100이며, 여기에 Backblaze는 월 $9, 2 TB iCloud+는 월 £8.99가 듭니다. 운영체제의 백업 소프트웨어인 Mac의 Time Machine과 Windows의 File History는 무료입니다.

백업이 없을 때 랜섬웨어 요구를 들어줘야 하나요?

NCSC는 지불을 지지하지 않으며, 지불해도 데이터가 돌아온다는 보장은 없습니다. Sophos의 2026년 영국 조사에서 피해를 입은 회사의 78%가 백업으로 복구했고 18%가 지불했으며, 전년의 54%에서 줄었습니다. 뽑아 둔 드라이브의 오프라인 사본은 선택의 순간 자체를 피하게 해 주는 가장 저렴한 보험입니다.

AI 에이전트가 제 백업을 관리해 줄 수 있나요?

매주 해야 하는 부분을 처리할 수 있습니다. 웹 앱 내보내기, 백업 서비스 완료 확인, 월간 복원 알림, 기록 관리입니다. Jobbit 에이전트는 일정에 따라 이를 수행하며, 하루 100 무료 크레딧에 카드가 필요 없고, 현장에 사람이 필요한 작업이면 검증된 전문가를 불러 줍니다.