[인프라진단] #CA-18 백업 사용 여부

1. 항목 설명

중요 클라우드 데이터와 시스템에 정기 백업이 설정되어 있고 장애·삭제 사고 시 실제 복구 가능한지 점검하는 항목입니다.

업무 요구에 맞는 백업 주기와 보존 기간이 적용되고 복구 시험이 수행되는 경우 양호합니다.

2026 가이드 근거

출처: 과학기술정보통신부·한국인터넷진흥원, 「2026 주요정보통신기반시설 기술적 취약점 분석·평가 방법 상세가이드」, CA-18, p.871. 본 게시글은 위 가이드의 판단 기준을 참고하여 작성했으며, 진단 결과와 증적은 개인 실습 환경에서 직접 수집했습니다.

2. 점검 목적

실수, 장애, 랜섬웨어와 서비스 삭제로 인한 데이터 손실을 줄이고 요구 시간 내 업무를 복구할 수 있도록 하는 것이 목적입니다.

3. 실습 환경

• 클라우드: NAVER Cloud Platform 개인 실습 계정
• 확인 서비스: Cloud DB for MySQL Backup
• DB Server: 0대
• 생성 Backup: 0개
• 중요 업무 데이터: 없음

4. 취약 상태 구성

백업할 DB나 중요 데이터가 없어 백업이 해제된 유료 리소스를 만들지 않았습니다. 대상 부재를 N/A로 기록하고 리소스 생성 시 백업을 함께 설정하는 예방 통제를 검토했습니다.

5. 최초진단 결과

• 최초진단 판정: 해당 없음(N/A)
• 판정 근거: 백업 대상 DB Server와 데이터가 없음
• 확인 현황: Cloud DB for MySQL Backup 0개

6. 조치 방법

업무별 RPO와 RTO를 정의한 뒤 자동 백업 주기와 보존 기간을 설정합니다. 백업 파일은 원본 장애와 계정 침해에 함께 영향받지 않도록 분리하고 정기적으로 복원 시험을 수행합니다.

콘솔 경로 예시: Cloud DB for MySQL → Backup

7. 이행진단 결과

• 이행진단 판정: 예방 통제 확인
• 판정 근거: 리소스 도입 시 적용할 자동 백업·보존·복원 시험 기준을 정리함
• 제한 사항: 실제 백업 및 복원을 수행하지 않아 운영 환경 양호 판정으로 확대할 수 없음

8. 실무 주의사항

백업 성공 표시는 복구 성공을 보장하지 않습니다. 애플리케이션 의존성, 암호화 키, 계정 권한과 복구 순서까지 포함한 시험이 필요합니다.

컨설턴트 조언

• 업무별 허용 데이터 손실 시간인 RPO와 복구 목표 시간인 RTO를 먼저 합의합니다.
• 운영 계정·리전 장애와 랜섬웨어를 고려해 별도 계정 또는 분리 저장 전략을 검토합니다.
• 자동 백업 실패, 보존 만료와 용량 이상을 알림 대상으로 설정합니다.
• 복원 시험 결과에는 소요 시간, 데이터 정합성, 실패 원인과 개선 조치를 기록합니다.

9. 마무리

현재 백업 대상 리소스가 없어 N/A로 판정했습니다. 백업은 생성 여부보다 정해진 시간 안에 신뢰할 수 있게 복원되는지를 기준으로 관리해야 합니다.