3-2-1-1-0 규칙이 실제로 말하는 것
3-2-1-1-0 규칙은 데이터 사본을 몇 개, 어떤 종류의 미디어에 보관하고, 그 사본이 실제로 작동한다는 것을 어떻게 입증할지를 정한 데이터 보호 공식입니다.
- 데이터 사본 3개: 프로덕션 사본과 최소 두 개의 백업.
- 2가지 서로 다른 미디어 또는 스토리지 플랫폼: 단일 기술 장애나 벤더 장애가 모든 사본을 한꺼번에 파괴할 수 없도록 합니다.
- 오프사이트에 보관하는 사본 1개: 주 사이트와 지리적으로 분리되어 있어야 합니다.
- 불변 또는 에어갭 상태의 추가 사본 1개: 관리자 자격 증명을 가진 공격자조차 변경하거나 접근할 수 없어야 합니다.
- 오류 0: 모든 백업이 검증되고 복원이 테스트되어야 하며, 그저 작동하리라고 가정해서는 안 됩니다.
앞의 세 자리는 고전적인 3-2-1 규칙입니다. 두 번째 "1"과 "0"은 나중에 추가되었습니다. Veeam은 자사가 "extended the rule to 3-2-1-1-0"(규칙을 3-2-1-1-0으로 확장했다)이라고 말하며, 추가 사본이 필요한 이유를 직접 제시합니다. "ransomware increasingly targets backups."(랜섬웨어가 점점 더 백업을 표적으로 삼고 있다.) 두 자리가 왜 추가되었는지 이해하면, 체크리스트만 보는 것보다 현대 백업 전략에 대해 더 많은 것을 알 수 있습니다.
규칙의 기원
이름 중 "3-2-1" 부분은 랜섬웨어가 주류 위협이 되기 전부터 있었습니다. 이 이름은 사진작가 Peter Krogh와 그의 책 The DAM Book: Digital Asset Management for Photographers에서 비롯된 것으로 알려져 있습니다. Krogh가 중복된 오프사이트 사본이라는 발상을 발명한 것은 아닙니다. 기억하기 쉬울 만큼 단순한 이름을 붙였을 뿐입니다.
일반적으로 참조되는 문서는 US-CERT를 위해 작성된 2012년 문서 Data Backup Options입니다. 이 문서는 규칙을 "Keep 3 copies of any important file: 1 primary and 2 backups"(중요한 파일은 모두 3개의 사본을 유지하라: 원본 1개와 백업 2개), "Keep the files on 2 different media types to protect against different types of hazards"(여러 유형의 위험에 대비해 파일을 2가지 서로 다른 미디어 유형에 보관하라), "Store 1 copy offsite"(사본 1개는 오프사이트에 보관하라)로 제시하며, 그 출처로 Krogh 책의 2009년 제2판을 인용합니다.
같은 기본 원칙은 현재의 지침에도 여전히 담겨 있습니다. NIST의 Cybersecurity Framework 2.0은 "Backups of data are created, protected, maintained, and tested"(데이터 백업이 생성, 보호, 유지, 테스트된다)라는 결과를 제시합니다(PR.DS-11). CISA의 #StopRansomware Guide는 조직에 "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario"(핵심 데이터의 오프라인 암호화 백업을 유지하고, 재해 복구 시나리오에서 백업의 가용성과 무결성을 정기적으로 테스트하라)라고 권고합니다.
원래의 3-2-1 규칙은 당대의 위협, 즉 디스크 장애, 화재, 홍수, 도난, 실수로 인한 삭제를 위해 설계되었습니다. 그 핵심 가정은 두 가지 미디어 유형과 두 장소에 분산된 세 개의 데이터 사본을 단일 물리적 사건이 모두 파괴할 가능성은 현실적으로 없다는 것이었습니다.
3-2-1만으로는 더 이상 충분하지 않게 된 이유
랜섬웨어 운영자들이 백업 인프라를 우회해야 할 장애물이 아니라 주요 표적으로 다루기 시작하면서 이 가정은 무너졌습니다. 두 가지 미디어 유형에 있고 그중 하나가 오프사이트인 세 개의 사본은, 세 사본 모두 같은 침해된 자격 증명으로 접근할 수 있더라도 3-2-1을 완전히 충족합니다. 현대 랜섬웨어 그룹이 찾는 것이 정확히 이런 상황입니다. CISA의 가이드는 이를 분명하게 말합니다. "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid."(대부분의 랜섬웨어 행위자는 접근 가능한 백업을 찾아내 삭제하거나 암호화하여, 몸값을 지불하지 않으면 복원이 불가능하게 만들려 한다.)
설문 데이터도 같은 방향을 가리킵니다. 1,300개 조직(그중 900개는 지난 12개월 동안 랜섬웨어 피해를 입음)을 대상으로 한 설문조사를 바탕으로 한 Veeam의 2025 Ransomware Trends 보고서에 따르면 공격받은 조직의 89%에서 백업 리포지토리가 위협 행위자의 표적이 되었으며, 평균적으로 백업 리포지토리의 34%가 변경되거나 삭제되었습니다. 조직이 랜섬웨어 피해를 입은 IT 및 사이버 보안 책임자 3,400명을 대상으로 한 Sophos의 State of Ransomware 2025에 따르면 데이터가 암호화된 조직 중 백업으로 데이터를 복원한 곳은 54%에 불과했으며, Sophos는 이를 6년 만의 최저치라고 부릅니다. 이 설문조사에서 공격자의 최초 요구액보다 많이 지불한 151개 조직 중 38%는 백업이 실패했거나 오작동했다고 답했습니다.
지리적으로 분리된 세 개의 사본도 이미 세 사본 모두를 삭제할 자격 증명을 가진 공격자를 막는 데는 아무 소용이 없습니다. 추가된 두 자리는 바로 이 공백을 메우기 위해 설계되었습니다.
추가된 "1": 공격자가 정말로 닿을 수 없는 사본 하나
추가된 "1"은 적어도 하나의 사본이 불변이거나 에어갭 상태일 것을 요구합니다. 불변이란 정해진 보존 기간 동안 수정이나 삭제로부터 보호된다는 뜻이며, 일반적으로 클라우드 오브젝트 스토리지의 Object Lock, WORM(Write Once Read Many) 하드웨어, 또는 스토리지 계층에서 보존을 강제하는 강화된 리포지토리(hardened repository)로 구현합니다. 에어갭이란 프로덕션에서 해당 사본으로 이어지는 상시 네트워크 경로가 전혀 없다는 뜻입니다.
이는 처음 보이는 것보다 엄격한 요건입니다. 같은 공급자의 두 클라우드 리전이 같은 관리자 계정으로 모두 접근 가능하다면 이 요건을 충족하지 못합니다. 자격 증명의 분리 없는 지리적 분리는 이미 도메인 관리자 권한을 가진 공격자로부터 여러분을 보호하지 못합니다. CISA도 클라우드 백업과 관련해 비슷한 점을 지적하며, "in case all accounts under the same vendor are impacted"(같은 벤더의 모든 계정이 영향을 받는 경우에 대비해) 멀티 클라우드 접근 방식을 제안합니다. 더 강력한 구현은 빠른 복구를 위한 불변 클라우드 스토리지와, 불변 계층의 관리 평면까지 침해된 최악의 경우를 위한 오프라인 또는 에어갭 사본을 결합하는 경우가 많습니다.
불변성에도 나름의 트레이드오프가 있습니다. CISA의 가이드는 일부 클라우드 벤더가 별도의 환경 없이도 데이터를 보호하는 불변 스토리지를 제공한다고 언급하면서 경고를 덧붙입니다. "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost."(불변 스토리지는 특정 규정의 준수 기준을 충족하지 않으며 잘못 구성하면 상당한 비용이 발생할 수 있으므로 신중하게 사용하라.)
"0": 백업이 실제로 작동한다는 것을 입증하기
"0"은 규칙의 운영적 절반이며, 건너뛰기 가장 쉬운 부분입니다. 검증되지 않은 백업이 하나도 없어야 한다는 요구입니다. 모든 백업의 무결성을 확인하고 모든 복원 경로를 주기적으로 처음부터 끝까지 테스트해야 하며, 녹색 "작업 성공" 알림만 지켜보는 것으로는 부족합니다. Veeam은 이 자리를 "zero recovery errors"(복구 오류 0)로 설명하고, CISA의 표현은 "regularly test the availability and integrity of backups"(백업의 가용성과 무결성을 정기적으로 테스트하라)입니다.
성공한 백업 작업과 깨끗한 복원은 서로 다른 것입니다. Veeam의 2024 Ransomware Trends 보고서에 따르면, 조사 대상 중 공격받은 조직 가운데 복구 과정에서 어떤 형태로든 샌드박스를 사용한 곳은 37%에 불과했습니다. 복구된 데이터를 프로덕션으로 되돌리기 전에 검사하는 스테이징 영역이 없으면, 복원이 공격자의 악성코드까지 함께 되살려 복구를 두 번째 사고로 바꿔 놓을 수 있습니다.
"0"이 존재하는 이유는 한 번도 복원해 본 적 없는 백업은 통제가 아니기 때문입니다. 그것은 가정입니다. 정해진 일정에 따라 수행하고 현실적인 복구 시간 목표에 비추어 측정하는 검증이야말로, 그 가정을 실제 사고 중에 믿을 수 있는 사실로 바꿔 줍니다.
3-2-1-1-0을 구현할 때 흔히 저지르는 실수
- 두 클라우드 리전을 "두 가지 미디어"로 계산하는 것. 미디어 유형의 다양성은 같은 오브젝트 스토어의 인스턴스 두 개가 아니라, 실제로 서로 다른 스토리지 기술이나 플랫폼을 뜻합니다.
- 아무 오프사이트 사본이나 추가된 "1"을 충족한다고 보는 것. 오프사이트는 지리적 문제를 다루고, 불변 또는 에어갭은 자격 증명 침해 문제를 다룹니다. 규칙에 맞는 오프사이트 사본이라도 프로덕션과 ID 평면을 공유한다면, 이 자리를 추가하게 만든 공백을 메우지 못합니다.
- 백업 작업이 녹색으로 보고된다고 "0"을 건너뛰는 것. 성공한 백업 작업은 데이터가 기록되었다는 것을 확인해 줍니다. 그 데이터가 복원 가능한지, 애플리케이션 일관성이 있는지, 복원을 필요하게 만들 악성코드가 없는지는 확인해 주지 않습니다.
- 데이터의 중요도와 관계없이 규칙을 일률적으로 적용하는 것. 티어 1 시스템은 일반적으로 아카이브 데이터보다 더 잦은 검증과 더 짧은 RTO가 필요합니다. 전체 환경에 단일한 보존 및 테스트 정책을 적용하면 대개 가장 중요한 시스템은 과소 보호하고, 그렇지 않은 시스템에는 과다 지출하게 됩니다.
2026년에도 3-2-1-1-0으로 충분한가?
대부분의 조직에게 3-2-1-1-0을 올바르게 구현하는 것은, 랜섬웨어가 백업 인프라를 표적으로 바꿔 놓게 만드는 공백의 상당 부분을 메워 줍니다. 여기서 올바르게란 불변 또는 격리된 사본과 복구 검증이 체크 표시만 된 것이 아니라 실제로 강제되고 있다는 뜻입니다.
이 규칙은 여전히 견실한 운영 기준선입니다. Veeam은 3-2-1-1-0 모델을 명시적으로 권장합니다. NIST와 CISA는 그 바탕이 되는 통제, 즉 보호된 백업, 오프라인 사본, 정기적인 테스트를 뒷받침합니다. CISA는 불변 스토리지도 하나의 선택지로 언급하지만, 위에서 인용한 단서를 답니다.
이 규칙이 부족한 부분은 중복성이 아니라 그것을 둘러싼 보안 아키텍처입니다. 규칙은 사본을 몇 개 유지해야 하는지, 어디에 두어야 하는지, 어떤 상태여야 하는지를 알려 줍니다. 하지만 공격이 진행 중인 동안 그 사본들을 보호하는 데 필요한 접근 거버넌스, 관리 신뢰 경계, 네트워크 세분화, 모니터링, 복구 아키텍처를 완전히 정의하지는 않습니다.
BackupSec의 백업 보안의 피보나치 규칙(5-3-2-1-1-0)은 바로 이 공백을 다루기 위해 설계되었습니다. 3-2-1-1-0을 대체하는 것이 아니라, 다섯 가지 기본 보안 원칙으로 이를 확장합니다.
완전히 구현되고 정기적으로 검증되는 3-2-1-1-0 전략을 아직 갖춰 가는 중인 조직이라면, 그 토대가 먼저입니다. 피보나치 규칙은 그 위에 쌓아 올리는 아키텍처 계층입니다.
BackupSec의 역할
BackupSec은 이 문제의 Veeam 쪽을 다룹니다. 저희 서비스 중 네 가지가 이 규칙에 대응합니다.
- ZeroMON은 Veeam Backup & Replication을 모니터링합니다. OVA 형태로 온프레미스에서 실행되고, 읽기 전용 계정으로 연결되며, BackupSec이나 어떤 제3자에게도 아무것도 보내지 않습니다. 작업 상태를 추적하고, 구성 변경(누가 무엇을 언제 변경했는지)을 기록하고, 보안 체크리스트를 실행하며, Veeam이 자체 리포지토리 설정을 바탕으로 보고하는 불변성 상태를 보여 줍니다. 경보는 이메일과 인앱 알림으로 도착합니다. ZeroMON은 Veeam의 구성을 읽을 뿐, 스토리지 자체의 잠금을 검증하지 않으며 복원 테스트도 실행하지 않습니다. 여러분의 "1"과 "0"을 뒷받침하는 조건이 바뀌면 이를 알려 주며, 복원 테스트는 별도의 작업입니다.
- ZeroVault는 Object Lock을 지원하는 S3 호환 클라우드 오브젝트 스토리지로, Veeam 백업의 오프사이트 불변 대상으로 사용됩니다. ZeroMON과 달리 ZeroVault는 설계상 백업 데이터를 여러분의 환경 밖에 보관합니다. 오프사이트 사본이란 원래 그런 것이기 때문입니다.
- ZeroTAM은 아키텍처, 용량, 랜섬웨어 복구 계획, 위기 시 우선 지원을 위한 전담 백업 보안 어드바이저를 제공합니다. 소프트웨어가 아니라 자문 업무입니다. 여러분의 추가된 "1"이 실제로 격리되어 있는지, 아니면 그저 멀리 떨어져 있을 뿐인지 물어볼 수 있는 사람입니다.
- ZeroPEN은 Veeam Backup & Replication, Veeam ONE, Enterprise Manager를 대상으로 하는 위협 주도형 모의 침투 테스트입니다. MITRE ATT&CK에 매핑된 8단계로 랜섬웨어 킬 체인을 시뮬레이션하며, 초기 접근부터 리포지토리 접근과 백업 무력화를 거쳐 암호화 능력 입증까지 진행합니다. 비파괴적 방식입니다. ZeroPEN은 "never deletes real backups, performs real encryption, or stops production or backup services."(실제 백업을 삭제하거나, 실제 암호화를 수행하거나, 프로덕션 또는 백업 서비스를 중단하는 일이 절대 없습니다.) 이 과정에는 복원 무결성 및 불변성 검증도 포함되며, 감사 대응이 가능한 보고서 패키지로 마무리되고, 치명적 발견 사항에 대한 재테스트가 포함됩니다.
백업 보안 태세에 대해 BackupSec과 상담하기 →
먼저 간단히 자가 점검을 해 보고 싶으신가요? 무료 Backup Security Assessment는 백업 전략과 접근 제어부터 복구 테스트까지 일곱 개 영역에 걸쳐 28개의 질문을 던집니다.