같은 말이 아닙니다. 이 글에서 offline은 운영 환경과의 네트워크·접속 경로를 끊어 공격이 곧바로 닿기 어렵게 둔 상태를 뜻하고, immutable은 정해진 보존 기간에 승인된 조건 없이는 내용을 수정하거나 삭제하기 어렵게 통제한 상태를 뜻합니다. 전자는 접근 경로, 후자는 변경 권한이라는 서로 다른 판단 축입니다.
연결이 끊긴 매체도 누군가 물리적으로 가져가거나 지울 수 있고, 온라인 저장소도 변경 방지 정책을 둘 수 있습니다. 어느 보호 특성도 백업이 실제로 복구된다는 사실을 혼자 증명하지 않습니다. 이 구분은 학습을 위한 운영상 비교이며 NIST가 제시한 공식 2단계 taxonomy가 아닙니다.
접속 경로와 변경 권한을 다른 질문으로 봅니다
백업을 점검할 때 ‘운영 시스템이 침해되면 백업도 같이 바뀔 수 있는가’와 ‘관리자나 공격자가 보존 중인 사본을 수정·삭제할 수 있는가’를 따로 물어야 합니다. 첫 질문은 백업 저장소와 운영망 사이에 연결 경로가 있는지 확인합니다. offline 백업은 접근 경로가 분리된 상태를 가리키는 운영상 표현입니다. 두 번째 질문은 보존 기간, 역할 분리, 삭제 승인, 변경 방지 잠금 같은 통제가 누구에게 어떻게 허용되는지 살핍니다. immutable backup이라는 표현은 이 글에서 그 기간 동안 변경을 제한하는 상태를 뜻합니다. 이 정의는 설명을 위한 실무 구분이며 NIST 표준 용어 정의라고 주장하지 않습니다.
둘은 독립적으로 조합될 수 있습니다. 분리된 외장 매체는 네트워크 연결을 끊어 두었어도 금고 접근 권한이 넓거나 보존 라벨을 지울 수 있다면 삭제 위험이 남습니다. 반대로 온라인 storage service는 별도 관리 계정과 보존 잠금으로 변경을 제한할 수 있지만 운영 계정 탈취 경로는 남습니다. 예를 들어 Amazon S3 Object Lock은 버전 관리가 켜진 버킷의 지정한 객체 버전을 WORM 방식으로 보호합니다. Governance mode는 특별 우회 권한을 가진 주체가 보존 설정을 바꾸거나 삭제할 수 있지만, Compliance mode는 보존기간 동안 계정 root를 포함한 누구도 해당 버전을 삭제하거나 덮어쓸 수 없도록 합니다. 잠금 모드와 보존 기간은 버전 단위로 확인해야 합니다. NIST SP 800-209의 데이터 보호·격리·복구 보증과 AWS의 모드별 잠금은 서로 다른 확인 축입니다.
| 저장 사본 | 운영망 연결 | 보존 중 변경 통제 | 복구 시험 | 판단 |
|---|---|---|---|---|
| A: 교체 가능한 외장 매체 | 사용 후 분리 | 담당자가 언제든 덮어쓰기 가능 | 최근 확인 기록 없음 | offline일 수 있지만 immutable이나 복구 확인은 아님 |
| B: Amazon S3 Object Lock Governance mode | 온라인, 버전 관리 사용 | 잠금된 객체 버전은 일반 권한으로 삭제 불가하나 s3:BypassGovernanceRetention 권한과 명시적 우회 요청이 있는 주체는 예외 가능 | 분기별 복구 연습 확인 | 버전별 WORM 보존과 특별권한 예외가 함께 있음; 오프라인은 아님 |
| C: Amazon S3 Object Lock Compliance mode | 온라인, 버전 관리 사용 | 보존기간 중 잠금된 객체 버전은 계정 root를 포함해 덮어쓰기·삭제 불가 | 일부 파일만 시험했고 전체 서비스 복구는 미확인 | 강한 버전별 변경 방지이나 오프라인이나 복구 성공을 뜻하지 않음 |
세 가지 속성은 각각 증거를 요구합니다
가상 조직이 중요 파일을 매일 백업하고 매주 매체를 분리한다고 합시다. 보안 점검표에 ‘오프라인 백업 있음’이라고 적혀도 관리자 계정이 모든 사본을 삭제할 수 있거나 보관 장소 열쇠가 공유되면 보존 중 변경 위험은 남습니다. 담당자는 분리 시각, 다시 연결하는 승인 절차, 보관 위치의 접근 권한을 확인하고 변경 제한은 별도 권한표와 보존 설정으로 대조해야 합니다. 기록이 존재한다는 것과 실제 잠금이 적용됐다는 사실을 섞지 않습니다.
가상 사례 B의 S3 Object Lock Governance mode는 버전 관리가 켜진 온라인 버킷에서 지정 버전을 보존기간 동안 WORM으로 보호합니다. 다만 s3:BypassGovernanceRetention 권한과 명시적 우회 요청을 가진 관리자는 예외적으로 설정을 풀거나 삭제할 수 있습니다. 이는 ‘immutable’이라는 말만으로 예외 권한이 없다고 추정하면 안 된다는 뜻입니다. 비교 사례 C의 Compliance mode는 그 보존기간 동안 해당 버전을 계정 root를 포함해 누구도 삭제·덮어쓰기할 수 없지만, 버킷이 온라인이라는 사실은 변하지 않습니다. Object Lock은 특정 버전에 적용되며 새 버전이 만들어질 수 있으므로 보존 대상 버전을 확인해야 합니다. 두 모드 모두 실제 파일 복구, 암호화 키 보존, 시스템 일관성을 증명하지는 않습니다.
백업 증거를 다섯 항목으로 나눠 읽습니다
- 운영망·관리망·저장소 사이의 연결 경로와 분리된 시간대를 확인합니다.
- 보존 기간에 누가 읽고, 수정하고, 삭제할 수 있는지 계정·역할·예외 권한을 확인합니다.
- 장애·침해 뒤 필요한 데이터, 설정, 복호화 키가 함께 보존되는지 확인합니다.
- 복구 시험의 날짜, 표본, 복원 범위, 성공 기준과 미해결 항목을 읽습니다.
- 격리 상태, 변경 통제, 복구 시험을 서로 다른 증거로 기록하고 확인되지 않은 능력은 미확인으로 둡니다.
NIST SP 1339는 OT 백업 관리가 정기 생성, 시험, 복구 연습에서의 검토를 포함한다고 설명합니다. 적용 대상은 OT 환경이므로 모든 조직의 저장 제품 설정을 정하는 규격처럼 다루지 않습니다. NIST SP 800-209도 저장 인프라 보호와 격리, 복구 보증을 고려하도록 돕는 지침입니다. 두 출처는 복구·격리 확인의 근거로 쓰지만, ‘offline’과 ‘immutable’을 서로 대체할 수 없는 고정 법적 정의로 선언하지 않습니다. 이 글은 그 차이를 검토하기 쉽게 만든 학습 프레임입니다.
분리·잠금·복구 성공을 하나의 체크 표시로 처리하지 않습니다
흔한 실수는 ‘백업이 있다’는 설명만으로 랜섬웨어에 영향을 받지 않는다고 판단하거나, 스토리지 공급자가 immutable이라고 부른다는 이유로 어떤 관리자도 삭제할 수 없다고 단정하는 것입니다. Object Lock 사례에서는 잠금된 버전, 보존 기한, Governance 우회 권한 또는 Compliance 모드를 확인해야 합니다. 그 잠금이 온라인 사본의 오프라인 분리를 뜻하지도 않고, 복구 성공을 보증하지도 않습니다. 분리, 변경 방지, 암호화, 접근 권한, 복원 시험은 목적과 증거가 다릅니다.
각 가상 저장본에서 확인되지 않은 칸을 찾습니다
회상 연습: A는 매주 연결을 끊는 외장 매체지만 담당자 누구나 다시 연결해 덮어쓸 수 있고 복구 시험 기록도 없습니다. B는 온라인 S3 Object Lock Governance mode의 특정 객체 버전에 30일 보존을 걸었으나, 지정된 예외 권한을 가진 담당자가 우회 요청을 할 수 있습니다. C는 온라인 Compliance mode의 잠금 버전에 같은 기간을 적용했고 아직 복구 시험은 일부 파일에만 했습니다. A의 확인 사실은 분리뿐, B는 버전별 변경 제한과 명시적 예외, C는 기간 중 root도 삭제할 수 없는 버전 보호입니다. B와 C 어느 쪽도 오프라인을 뜻하지 않으며, C도 전체 서비스 복구를 증명하지 않습니다. 예시는 직접 만든 교육자료이며 실제 시험 기출이나 집중 180제 카드가 아닙니다. 상품 구성은 /decks/security#focus-180에서 확인하세요.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
A는 사용 후 분리하지만 담당자가 덮어쓸 수 있고 복구 시험이 없다. B는 온라인 S3 Object Lock Governance mode에서 30일 보존하지만 우회 특별권한이 있다. C는 온라인 Compliance mode의 잠금 버전이지만 전체 복구 시험은 없다. 연결 상태·보존 예외·복구 증거를 각각 답하라.
정답과 해설 확인
A는 일정 시간 오프라인이어도 변경 방지와 복구 가능성은 확인되지 않았다. B는 특정 버전을 WORM 보존하지만 명시적 우회 권한 예외가 있다. C는 보존기간 중 해당 버전을 root도 삭제할 수 없지만 온라인이며 전체 복구 가능성은 확인되지 않았다.AWS S3 Object Lock은 버전 관리 버킷에서 특정 객체 버전에 적용된다. Governance는 s3:BypassGovernanceRetention 등 특별 권한을 이용한 명시적 우회 예외가 있고, Compliance는 보존기간 중 root도 삭제·덮어쓰기할 수 없다. 두 모드 모두 오프라인 또는 복구 성공을 뜻하지 않는다.