2026 IT 기기 보안 설정 체크리스트 | 랜섬웨어·피싱 막는 필수 보안 가이드

보안은 거창한 솔루션을 사는 게 아니라, 기본 설정을 “끝까지” 해두는 게임입니다. 저는 주변에서 사고가 났을 때 공통점을 자주 봤습니다. 비밀번호는 강했는데 MFA가 없었거나, 백업은 했는데 복원 테스트를 한 번도 안 했거나, 회사 노트북에 EDR을 깔았는데 사용자가 임의로 꺼버렸거나. 공격자는 대단한 해킹보다 이런 빈틈을 제일 좋아합니다. 2026년은 랜섬웨어와 피싱이 더 교묘해진 만큼, 체크리스트를 한 번에 완성하는 것보다 “우선순위 3개부터” 적용하는 게 현실적으로 효과가 큽니다.

0단계: 내 환경을 한 줄로 정의하기

먼저 본인 환경을 적어두면 설정이 쉬워집니다. 예: 맥북 1대 + 아이폰 + 회사 구글워크스페이스, 또는 윈도우 노트북 + 갤럭시탭 + 개인 NAS. 저는 이 작업만 해도 불필요한 앱과 계정을 20% 정도 줄이게 되더라고요. 계정이 줄면 공격 표면도 줄어듭니다.

1단계: 엔드포인트(기기)부터 잠그기

가장 먼저 할 일은 디스크 암호화와 업데이트 주기입니다. 노트북을 분실했을 때 암호화가 꺼져 있으면 그 순간 게임 끝입니다. 윈도우는 BitLocker, 맥은 FileVault를 켜고, OS/브라우저/업무 앱 업데이트는 7일 안에 끝내는 습관이 필요합니다. 다음은 EDR입니다. “백신이 있는데 굳이?”라고 생각하기 쉬운데, 요즘 공격은 정상 프로그램처럼 움직이기 때문에 행동 기반 탐지가 큰 차이를 만듭니다. 회사라면 MDM까지 붙여서 원격 잠금과 초기화를 켜두면 BYOD(개인 기기 업무 사용) 리스크가 확 줄어듭니다.

2단계: 계정 보안은 MFA가 1순위

피싱이 무서운 이유는 사용자가 한 번만 속아도 계정이 털릴 수 있기 때문입니다. 그래서 저는 “비밀번호를 바꾸기 전에 MFA부터”를 추천합니다. 이메일, VPN, 클라우드(드라이브), 메신저까지 MFA를 100% 적용하고, 가능하면 인증 앱 또는 보안키를 씁니다. 비밀번호는 길게(16자 이상), 재사용 금지, 그리고 비밀번호 관리자를 쓰는 순간 삶의 난이도가 내려갑니다. 마지막으로, 퇴사자/정리된 계정은 즉시 비활성화가 원칙입니다. 계정 하나가 남아 있으면 공격자가 그 계정을 ‘문 손잡이’로 씁니다.

3단계: 네트워크는 “분리”와 “기록”

집이나 소규모 사무실에서도 네트워크 분리는 효과가 큽니다. 업무용 기기와 IoT(프린터, 카메라, 스마트TV)를 같은 와이파이에 두면, 약한 기기 하나가 전체로 번질 수 있습니다. 가능하면 게스트 네트워크를 따로 만들고, 원격 접속은 VPN을 강제합니다. 회사 환경이라면 방화벽 규칙을 분기마다 검토하고, IDS/로그 모니터링으로 이상 징후를 빠르게 잡는 게 핵심입니다. “기록이 없으면 원인도 없다”는 말을 저는 사고 대응 때마다 체감합니다.

4단계: 백업은 3-2-1 + 복원 테스트가 핵심

랜섬웨어를 100% 막는 건 어렵지만, 백업으로 피해를 0에 가깝게 만들 수는 있습니다. 저는 백업을 이렇게 운영합니다. 중요한 폴더는 자동 백업 1개(클라우드), 로컬 백업 1개(외장 SSD/NAS), 그리고 오프라인 1개(평소 분리 보관). 여기서 가장 중요한 건 복원 테스트입니다. 백업은 있는데 복원이 안 되면 그냥 장식입니다. 월 1회 “파일 10개”만이라도 복원해보면, 진짜 위기 때 살길이 됩니다.

카테고리	체크 항목	권장 주기	우선순위
엔드포인트	디스크 암호화(BitLocker/FileVault) 켜기	초기 1회	최상
계정	이메일/클라우드/VPN MFA 100% 적용	즉시	최상
백업	3-2-1 백업 + 월 1회 복원 테스트	월 1회	최상
패치	OS/브라우저/업무앱 업데이트 7일 내 적용	주간	상
네트워크	업무/IoT 분리(게스트 Wi-Fi), 원격접속은 VPN	초기+분기	상
관리	관리자 권한 최소화, 권한/로그 점검	분기	중

실사용 팁: 개인 기기는 이렇게만 해도 체감이 큽니다

개인(맥북/태블릿/폰) 기준으로는 3개만 먼저 해도 안전도가 확 올라갑니다. 1) 디스크/기기 암호화, 2) 이메일 MFA, 3) 자동 백업과 복원 테스트. 여기까지 되면 피싱에 한 번 흔들려도 피해를 크게 줄일 수 있습니다. 반대로 “보안앱을 많이 깔았는데 불안하다”는 경우는 대개 기본이 빠져 있거나, 계정이 정리되지 않은 경우가 많았습니다.

마무리: 보안은 1회성 작업이 아니라 루틴

보안 설정은 한 번 켜두면 끝이 아니라, 작은 루틴으로 유지할 때 진짜 효과가 납니다. 저는 매달 첫째 주에 업데이트 확인, 백업 복원 10분 테스트, 비밀번호 관리자 점검을 합니다. 이 30분이 사고 대응으로 날릴 3일을 막아줍니다. 체크리스트를 오늘 30%만 적용해도 괜찮습니다. 중요한 건 “완벽”이 아니라 “지속”입니다.