보안 사고 대응 계획, 작은 회사가 문서로 정리할 5가지
보안 사고 대응 계획은 해킹, 개인정보 유출, 사이트 중단이 생겼을 때 누가 판단하고 누구에게 연락하며 어떤 순서로 움직일지 미리 적어 둔 문서로, 연락망·역할·초동 절차·신고 기준·복구 자료 5가지를 담으면 됩니다. 이 글에서는 항목별 작성법과 점검 방법을 정리했습니다.
보안 사고 대응 계획이 필요한 이유
보안 사고는 담당자가 자리에 있을 때만 생기지 않습니다. 주말이나 휴가 중에 사이트가 바뀌어 있거나 고객 문의로 유출을 알게 되는 경우, 누가 결정할지 정해져 있지 않으면 연락을 돌리는 데만 시간을 씁니다.
급한 마음에 파일을 지우면 원인을 찾을 기록이 사라지고, 신고 기한을 놓칠 수도 있습니다. 대응 계획은 이런 판단을 사고가 나기 전에 미리 해 두는 문서입니다. 「개인정보의 안전성 확보조치 기준」 제4조도 내부 관리계획에 개인정보 유출사고 대응 계획의 수립·시행에 관한 사항을 넣도록 정하고 있습니다.
보안 사고 대응 계획에 담을 5가지
아래 표는 작은 회사나 연구실도 한두 장으로 정리할 수 있는 대응 계획의 5가지 항목을 담을 내용과 작성 요령으로 정리한 것입니다.
| 항목 | 담을 내용 | 작성 요령 |
|---|---|---|
| 연락망 | 내부 담당자와 대표, 호스팅·유지보수 업체, 도메인 등록업체, 결제대행사, KISA 118 | 평일·야간 연락처를 함께 적고 갱신 날짜를 표시 |
| 역할 | 최종 판단, 기술 대응, 고객 안내, 기록 담당 | 사람이 적으면 겸해도 되지만 부재 시 대리인을 지정 |
| 초동 절차 | 기록 남기기, 사이트 차단, 비밀번호 변경 등 첫날 할 일 | 순서를 번호로 적고 하지 말아야 할 일도 함께 적기 |
| 신고·통지 기준 | 개인정보 유출 신고·통지, 침해사고 신고 기준과 기한 | 공식 안내 페이지 주소를 함께 적어 두기 |
| 복구 자료 | 백업 위치, 서버·도메인 정보, 관리자 계정 목록, 계약서 | 비밀번호 자체는 문서에 적지 않고 보관 위치만 적기 |
표의 연락망과 역할은 사람이 바뀔 때마다 고쳐야 하는 항목입니다. 특히 외부 업체의 담당자와 연락처는 계약이 바뀌면서 오래된 정보로 남기 쉬우므로 갱신 날짜를 꼭 적어 둡니다.
사고가 났을 때 따를 초동 절차
대응 계획의 핵심은 처음 몇 시간 동안 할 일을 순서대로 적어 두는 것입니다. 아래는 홈페이지 운영자가 쓸 수 있는 기본 순서입니다.
- 발견과 보고: 이상을 발견한 사람은 화면을 캡처하고 시각을 적은 뒤 연락망의 최종 판단 담당자에게 바로 알립니다.
- 기록 보존: 서버 접속 기록과 의심 파일은 지우지 말고, 호스팅 업체에 기록 보관을 요청합니다.
- 확산 차단: 사이트를 점검 화면으로 바꾸거나 접속을 막아 방문자 피해를 줄입니다.
- 계정 보호: 관리자, 서버, 데이터베이스, 호스팅 계정의 비밀번호를 안전한 기기에서 바꿉니다.
- 피해 범위 확인: 바뀐 파일, 새로 생긴 계정, 개인정보에 접근한 흔적을 확인합니다.
- 신고와 통지 판단: 신고·통지 기준에 해당하는지 판단하고 기한 안에 진행합니다.
- 복구와 사후 검토: 원인을 없앤 뒤 복구하고, 무엇이 잘 안 되었는지 기록해 계획을 고칩니다.
그림의 1~4단계는 발견한 당일에 끝내야 하는 일이고, 5~7단계는 원인이 드러나는 대로 진행합니다. 원인을 확인하기 전에 파일부터 지우지 않는다는 문장은 계획서에 꼭 적어 둡니다. 단계별 세부 내용은 홈페이지 해킹 대처 순서 7단계에서 자세히 다뤘습니다.
신고·통지 기준 정리
대응 계획에는 법령이 정한 신고와 통지 기준을 미리 적어 둡니다. 아래 표는 2026년 10월 현재 국가법령정보센터에서 확인한 현행 법령 기준을 정리한 것입니다.
| 구분 | 기준 | 대상 기관·사람 | 기한 | 근거 |
|---|---|---|---|---|
| 개인정보 유출 통지 | 개인정보가 유출등이 되었음을 알게 된 경우 | 해당 정보주체 | 72시간 이내(예외 사유 있음) | 개인정보 보호법 제34조, 시행령 제39조 |
| 개인정보 유출 신고 | 1천 명 이상, 민감정보·고유식별정보, 외부의 불법적인 접근에 의한 유출 | 개인정보보호위원회 또는 KISA | 72시간 이내 | 개인정보 보호법 제34조, 시행령 제40조 |
| 침해사고 신고 | 정보통신서비스 제공자에게 침해사고가 발생한 경우 | 과학기술정보통신부 또는 KISA | 알게 된 때부터 24시간 이내 | 정보통신망법 제48조의3 |
신고 방법과 접수 창구는 KISA 개인정보 침해사고 신고 및 상담 안내에서 확인할 수 있습니다. 법령은 개정될 수 있으므로 계획서에는 기한과 함께 확인한 날짜를 적고, 실제 사고 때는 공식 안내를 다시 확인하세요. 우리 회사가 어느 신고 대상인지 판단이 어렵다면 KISA 상담이나 전문가의 도움을 받는 것이 안전합니다. 이용자에게 알릴 내용은 개인정보 유출 통지 항목과 절차에서 정리했습니다.
대응 계획을 쓸모 있게 유지하는 점검
대응 계획은 만들어 두기만 하면 금방 낡습니다. 아래 항목을 정기적으로 확인합니다.
- 연락망의 이름과 연락처가 지금 담당자와 맞는가
- 역할마다 부재 시 대리인이 정해져 있는가
- 사이트와 메일이 멈춰도 볼 수 있도록 출력본과 서버 밖 사본이 있는가
- 백업 위치와 복원 방법이 실제와 맞는가
- 신고·통지 기준을 최근에 공식 자료로 다시 확인했는가
- 연 1회 이상 사고 상황을 가정해 순서대로 읽어 보는 연습을 했는가
체크리스트의 마지막 항목처럼 실제로 한 번 읽어 보며 따라 해 보면 빠진 연락처나 모호한 역할이 드러납니다. 안전성 확보조치 기준도 개인정보 보호책임자가 내부 관리계획의 이행 실태를 연 1회 이상 점검하도록 정하고 있으므로, 그 점검 때 대응 계획을 함께 확인하면 편합니다.
디코랩이 돕는 방식
디코랩은 홈페이지 제작과 함께 운영 중인 사이트의 유지보수·개선을 맡습니다. 대응 계획의 복구 자료에 들어갈 서버·백업·관리자 계정 현황을 정리해야 한다면 상담을 요청해 주세요. 제작부터 운영까지 맡는 범위는 디코랩 서비스 소개에서 확인할 수 있습니다.
자주 묻는 질문
직원이 두세 명뿐인데도 대응 계획이 필요한가요?
사람이 적을수록 한 사람이 자리를 비우면 대응이 멈추기 쉽습니다. 거창한 문서가 아니어도 연락망, 첫날 할 일, 신고 기준을 한 장에 적어 두는 것만으로 충분히 도움이 됩니다.
유지보수 업체가 있으면 업체가 다 알아서 하지 않나요?
기술 복구는 업체가 맡더라도 신고 판단, 고객 안내, 최종 결정은 사이트를 운영하는 회사의 몫입니다. 업체와 우리 회사가 각각 무엇을 맡는지 계획서에 나눠 적어 두세요.
대응 계획 문서는 어디에 보관해야 하나요?
사고 때는 사이트나 회사 메일을 쓸 수 없을 수도 있습니다. 출력본을 사무실에 두고, 서버와 분리된 곳에 사본을 하나 더 보관하는 것이 좋습니다.
얼마나 자주 고쳐야 하나요?
담당자나 외부 업체가 바뀔 때는 바로 고치고, 그렇지 않더라도 최소 1년에 한 번은 전체를 다시 확인합니다. 법령 개정 소식이 있으면 신고·통지 기준도 함께 고칩니다.
대응 계획에 적을 사이트 운영 정보를 정리하기 어렵다면 사이트 주소와 현재 관리 방식을 적어 디코랩 프로젝트 문의로 보내 주세요.
댓글0
댓글 작성 권한이 없습니다