휴대폰을 잃어버리거나, 노트북이 갑자기 안 켜지거나, 실수로 폴더를 지웠을 때. 그 순간 가장 먼저 떠오르는 건 “사진 어떡하지”입니다. 돈으로 살 수 있는 기기와 달리 데이터는 복구가 안 되면 끝이에요.
백업은 어렵지 않습니다. 다만 「제대로 된 백업」의 기준을 모르면, 백업했다고 믿다가 함께 잃습니다.
1. 기준이 뭔가. 널리 쓰이는 3-2-1 규칙 — 3개의 사본 · 2가지 다른 저장 매체 · 1개는 물리적으로 떨어진 곳. 다만 「3-2-1」이라는 이름은 기관 문서에 없습니다 — CISA가 실제로 요구하는 건 오프라인·암호화·정기 테스트 셋입니다.
2. 뭘 오해하나. 클라우드 「동기화」는 백업이 아닙니다 — 실시간 거울이라 내가 지우면 거기서도 지워지고, 랜섬웨어에 감염되면 암호화된 파일이 그대로 올라갑니다. 실수와 공격을 그대로 복사해요.
3. 그래서 어떻게 하나. 백업의 마지막 단계는 복구 테스트입니다 — 「백업했다고 믿다가 함께 잃는」 경우가 여기서 갈립니다. 한 번은 실제로 복구해 보세요.
기관 문서에는 「3-2-1」이라는 이름이 없습니다
3-2-1은 백업 이야기의 표준어처럼 쓰입니다. 그래서 기관이 실제로 뭐라고 적었는지 찾아봤어요.
미국 사이버보안·인프라보안국(CISA)의 랜섬웨어 가이드를 끝까지 읽었는데, 「3-2-1」이라는 표현은 나오지 않습니다. 대신 세 가지를 반복해서 요구합니다.
| CISA가 요구하는 것 | 원문 |
|---|---|
| 오프라인 | “중요 데이터의 오프라인, 암호화된 백업을 유지하라” |
| 암호화 | 위와 같은 문장에 함께 적혀 있습니다 |
| 복구 테스트 | “재해 복구 상황을 가정해 백업의 가용성과 무결성을 정기적으로 시험하라” / “백업 절차를 정기적으로 시험하라” |
| 클라우드는 한 곳에 몰지 말 것 | “같은 사업자 아래 모든 계정이 영향을 받는 경우에 대비해 멀티 클라우드를 고려하라” |
왜 「오프라인」을 그렇게 강조하는지 원문이 직접 설명합니다.
“많은 랜섬웨어 변종이 접근 가능한 백업을 찾아내 삭제하거나 암호화해, 몸값을 내지 않으면 복구가 불가능하게 만들려 하기 때문에 백업을 오프라인으로 유지하는 것이 중요하다.”
이게 이 글 2절에서 말한 「클라우드 동기화는 백업이 아니다」의 기관 근거입니다. 연결돼 있으면 같이 당합니다.
그래서 이 글은 이름을 빌려 쓰되, 기관이 요구한 두 가지를 앞에 둡니다 — 마지막 한 벌은 반드시 오프라인이고, 복구를 해 본 적 없는 백업은 백업이 아니라는 것. 6절의 복구 테스트가 그래서 있습니다.
1. 3-2-1 규칙, 왜 이렇게 나눌까
| 원칙 | 의미 · 막아주는 사고 |
| 3개의 사본 | 원본 1 + 백업 2 → 백업 하나가 실패해도 남는 게 있음 |
| 2가지 매체 | 예: 외장하드 + 클라우드 → 한 종류의 고장에 전멸 방지 |
| 1개는 다른 장소 | 화재·도난·침수 → 집 전체를 잃어도 살아남음 |
외장하드 하나에만 백업해뒀다가 그 하드가 고장 나는 경우가 정말 흔해요. 백업 매체도 똑같이 고장 납니다.
2. 클라우드 「동기화」는 백업이 아닙니다
가장 많은 사람이 오해하는 부분이에요. 이것만 알아도 이 글을 읽은 값을 합니다.
동기화(Sync)는 실시간 거울입니다. 내 컴퓨터에서 파일을 지우면 클라우드에서도 지워집니다. 랜섬웨어에 감염돼 파일이 암호화되면, 암호화된 파일이 그대로 클라우드로 올라가요. 즉 실수와 공격을 그대로 복사합니다.
| 구분 | 동기화 / 백업 |
| 목적 | 여러 기기에서 같은 파일 보기 / 과거 상태를 보존 |
| 파일 삭제 시 | 양쪽 다 삭제 / 백업본은 남음 |
| 랜섬웨어 | 함께 감염 / 이전 시점으로 복구 가능 |
| 버전 관리 | 제한적 / 시점별 복원 |
다만 대부분의 클라우드 서비스는 휴지통과 버전 기록을 일정 기간(보통 30일 내외) 제공합니다. 그 기간이 지나면 복구가 안 되니, 동기화만 믿지 말고 별도 백업을 두세요.
3. 백업 방법 비교
| 방법 | 장점 / 단점 |
| 클라우드 저장소 | 자동·다른 장소 확보 / 용량 늘리면 유료, 계정 잃으면 접근 불가 |
| 외장 하드·SSD | 저렴·대용량 / 수동, 고장·분실 위험, 집에 함께 있음 |
| NAS(가정용 서버) | 대용량·자동 / 초기 비용·설정 필요, 역시 집에 있음 |
| USB 메모리 | 간편 / 장기 보관에 부적합, 분실 쉬움 |
가장 현실적인 조합은 클라우드 + 외장하드예요. 클라우드가 「다른 장소」 조건을 자동으로 채워주고, 외장하드가 「다른 매체」 조건을 채웁니다.
4. 무엇부터 백업할까 — 우선순위
전부 백업하려면 시작을 못 합니다. 다시 못 만드는 것부터 하세요.
| 순위 | 대상 · 이유 |
| 1순위 | 사진·동영상 — 대체 불가능, 가장 많이 후회하는 항목 |
| 2순위 | 신분증·계약서 등 중요 문서 스캔본 |
| 3순위 | 업무·학업 파일, 작업물 |
| 4순위 | 연락처·메모·일정 (대부분 계정에 자동 저장) |
| 5순위 | 설치 프로그램·영화 등 다시 받을 수 있는 것 |
5순위는 사실 백업할 필요가 없어요. 다시 내려받으면 됩니다. 백업 용량이 부족하다면 이런 것부터 빼세요. “다시 구할 수 있는가”가 유일한 기준입니다.
5. 처음 시작하는 30분 세팅
| 단계 | 할 일 |
| 1 | 휴대폰 사진 자동 백업 켜기 (설정에서 몇 번 터치면 끝) |
| 2 | 클라우드 용량 확인 — 부족하면 정리하거나 요금제 검토 |
| 3 | 외장하드에 사진·문서 폴더 복사 |
| 4 | 클라우드 계정에 2단계 인증 설정 (계정을 잃으면 백업도 잃음) |
| 5 | 캘린더에 분기별 백업 알림 설정 |
4번이 중요해요. 클라우드에만 백업했는데 계정을 해킹당하거나 잃어버리면 백업도 함께 사라집니다. 백업 계정일수록 보안을 강하게 해야 해요.
6. 백업의 마지막 단계 — 복구 테스트
가장 많이 빠뜨리는 단계입니다. “백업이 돌아가고 있다”와 “실제로 복구된다”는 다른 이야기예요. 몇 달째 오류로 멈춰 있었는데 모르는 경우가 흔합니다.
- 1년에 한 번, 백업에서 파일 몇 개를 실제로 꺼내 열어보세요
- 사진이 제대로 열리는지, 문서가 깨지지 않았는지 확인
- 외장하드는 연결이 되는지부터 확인 (몇 년 방치하면 인식 안 되는 경우가 있어요)
- 백업 앱의 마지막 성공 날짜를 확인하는 습관
7. 상황별 대응
| 휴대폰 분실·파손 | 클라우드 자동 백업이 켜져 있으면 새 기기에서 복원 |
| 실수로 삭제 | 먼저 휴지통·최근 삭제함 확인 (보통 30일 보관) |
| 하드디스크 고장 | 다른 매체 백업본에서 복구 — 3-2-1이 빛나는 순간 |
| 랜섬웨어 감염 | 감염 기기 즉시 네트워크 분리 후 이전 시점 백업으로 복구 |
| 계정 해킹 | 비밀번호 변경 + 2단계 인증, 오프라인 백업이 있으면 안전 |
남는 질문들
클라우드 하나면 충분하지 않나요?
편리하지만 계정 문제·실수 삭제·랜섬웨어에는 취약해요. 최소한 외장하드 하나는 함께 두는 걸 권합니다.
외장하드는 몇 년 쓸 수 있나요?
보통 수년 단위로 보지만 고장 시점은 예측 불가예요. 그래서 하나만 믿으면 안 됩니다. 오래된 하드는 새것으로 옮겨두세요.
사진이 너무 많아 용량이 부족해요.
중복 사진·스크린샷·흐린 사진만 정리해도 상당히 줄어듭니다. 그다음에도 부족하면 유료 요금제가 가장 현실적이에요.
백업 주기는 어느 정도가 좋나요?
사진은 자동(실시간), 문서·작업물은 주 1회, 전체 백업은 분기 1회 정도면 충분합니다.
USB에 백업해도 되나요?
임시로는 괜찮지만 장기 보관에는 부적합해요. 분실도 쉽고 오래 두면 데이터가 손상될 수 있습니다.
백업은 사고가 난 뒤에 만들 수 없습니다. 오늘 휴대폰 사진 자동 백업 하나만 켜두세요. 그것만으로도 가장 후회할 손실은 막습니다.
근거로 삼은 자료
- 미국 사이버보안·인프라보안국(CISA) — 랜섬웨어 가이드(2026년 7월 확인). “오프라인, 암호화된 백업”, “가용성과 무결성을 정기적으로 시험”, “백업 절차를 정기적으로 시험”, 오프라인이 중요한 이유, 멀티 클라우드 권고의 출처입니다.
- 미국 사이버보안·인프라보안국(CISA) — Secure Our World(2026년 7월 확인). “소프트웨어의 결함이 범죄자에게 파일이나 계정 접근권을 줄 수 있다”는 업데이트 권고의 출처입니다.
더 확인할 곳
- 「3-2-1」이라는 이름의 출처. CISA 랜섬웨어 가이드에 이 표현이 없습니다 — 널리 쓰이지만 어느 기관이 정한 것인지 확인하지 못했습니다. 이 글은 이름은 빌려 쓰되 기관이 실제로 요구한 것(오프라인·암호화·테스트)을 앞에 두었습니다.
- 복구 테스트를 얼마나 자주 해야 하는지. 원문은 「정기적으로」까지만 적고 주기를 정하지 않아, 본문의 주기는 우리 제안입니다. 주기보다 중요한 건 「한 번이라도 실제로 복구해 봤는가」예요.
- 국내 기관의 백업 권고. 이번에 확보하지 못해 근거는 전부 미국 CISA입니다. 한국인터넷진흥원(KISA)의 랜섬웨어 대응 안내에 국내 신고 절차까지 함께 나와 있습니다.
2026년 7월 기준으로 작성했습니다. 오프라인·암호화·복구 테스트 요구는 CISA 원문에서 확인했고, 「3-2-1」이라는 이름은 기관 문서에서 찾지 못했습니다. 계정 쪽 보안은 비밀번호·2단계 인증 편, 명의도용 확인은 명의도용 확인 편을 보세요. 휴대폰을 오래 쓰려면 배터리 관리 편, 기기값을 줄이려면 알뜰폰 편도 함께 보시고요. 현금 쪽 대비는 비상금 보관처 편에 있습니다.
